Binance ha dichiarato che il suo team di sicurezza ha rilevato e fermato 57 sospetti casi di minacce informatiche legate alla Corea del Nord nel 2026 prima che un singolo attacco andasse a segno — un attacco che ha utilizzato un finto colloquio di lavoro e che alla fine ha svuotato gli hot wallet dell'exchange, i wallet connessi a Internet su cui gli exchange fanno affidamento per elaborare i prelievi degli utenti.

Nel suo rapporto iniziale sulla breccia, pubblicato su X, Binance ha dichiarato che circa 6,34 miliardi di dollari in asset digitali sono stati coinvolti e che circa 2,85 miliardi di dollari sono stati congelati o intercettati. L'exchange ha detto che assorbirà le perdite anziché scaricarle sugli utenti, e che il 98% degli asset token colpiti è stato reintegrato — una cifra che, secondo l'azienda, può essere verificata sulla sua pagina Proof of Reserves.

Come termine di confronto, il più grande furto crypto mai registrato in precedenza era la breccia di febbraio 2025 ai danni dell'exchange Bybit, che coinvolse circa 1,5 miliardi di dollari e fu attribuita da Bybit a hacker legati alla Corea del Nord.

Citando le informazioni più recenti del Federal Bureau of Investigation (FBI), Binance ha attribuito l'incidente alla Corea del Nord.

Un Anno di Tentativi Mirati

Secondo l'exchange, i 57 casi riflettono la minaccia persistente di attori sponsorizzati da stati che prendono di mira l'industria crypto. Le tecniche osservate includevano colloqui di lavoro fraudolenti, software dannosi travestiti da popolari strumenti per sviluppatori, pacchetti software ed estensioni del browser compromessi, false app di videoconferenza e campagne di social engineering progettate per rubare credenziali o distribuire malware con accesso remoto.

Questo approccio basato sul reclutamento è in linea con gli avvisi pubblici che le agenzie statunitensi hanno emesso negli ultimi anni, avvertendo che operativi legati alla Corea del Nord si spacciano per reclutatori o datori di lavoro per infettare i computer dei bersagli con malware.

Binance ha descritto la breccia come una campagna articolata in più fasi, non come una singola breccia isolata o un semplice tentativo di phishing. Ha fatto risalire il primo segnale d'allarme a giugno, quando un ingegnere DevOps del team wallet ha scaricato un'installazione di Homebrew manomessa mentre cercava uno strumento di coding basato su AI. Binance ha detto di aver rilevato l'anomalia, sostituito il dispositivo e ruotato le credenziali correlate — ma il ruolo dell'ingegnere e i suoi colleghi del team wallet erano già stati esposti all'attaccante.

Come Ha Funzionato il Colloquio

A settembre, un secondo ingegnere il cui profilo su una piattaforma di ricerca di lavoro menzionava la sua esperienza in Binance è stato contattato da una persona che si spacciava per un direttore di progetto. È seguito un colloquio video di primo round con una presunta responsabile HR, che ha condiviso un account social con foto e video personali per creare fiducia. Binance ha descritto questo approccio come più ingannevole rispetto alle precedenti tattiche di social engineering.

Il secondo round si è svolto su una popolare app di chat con una persona che sosteneva di essere il CEO di un'azienda fittizia. Verso la fine, all'ingegnere è stato chiesto di scaricare un "compito" sul suo computer di lavoro. Il codice al suo interno è stato eseguito durante l'installazione e ha aperto un canale verso un server controllato dall'attaccante. Binance ha dichiarato che il malware zero-day non è stato rilevato in quel momento dai suoi strumenti di sicurezza degli endpoint.

L'attaccante ha quindi utilizzato il computer compromesso e uno strumento AI interno per prendere il controllo di altri due ingegneri del team wallet. Binance ha detto che un token di autorizzazione per il deployment di container trovato sul computer di uno degli ingegneri è stato utilizzato il giorno dell'attacco per distribuire un container e attivare lo script dannoso.

Perché il Contenimento Ha Richiesto Tempo

Binance ha dichiarato che gli attaccanti hanno utilizzato il servizio di firma per sfruttare il meccanismo di autorizzazione EIP-7702 di Ethereum — una funzionalità degli account introdotta nell'aggiornamento Pectra di Ethereum del 2025 che consente agli account utente standard di operare con funzionalità di smart contract — che ha continuato a spostare asset anche dopo la sospensione dei prelievi. Poiché l'hot wallet utilizzava la multi-party computation (MPC), non esisteva una singola chiave privata per revocare le autorizzazioni dannose, quindi il team ha dovuto creare una procedura specializzata che ha richiesto tempo aggiuntivo.

L'exchange ha detto di aver da allora ricostruito il sistema wallet interessato e lo strumento AI interno, sostituito i dispositivi colpiti, dismesso le credenziali correlate e rafforzato il rilevamento delle anomalie. Ha inoltre pianificato una revisione di sicurezza indipendente, e alcuni dettagli tecnici rimarranno riservati.

Binance ha descritto il suo rapporto come iniziale, il che significa che le sue conclusioni sono ancora soggette a revisione indipendente — con l'esito della revisione pianificata e eventuali aggiornamenti delle cifre di perdita o recupero che restano gli elementi da seguire da qui in avanti.