Gli asset tracciati di Binance sono aumentati di 3,4 miliardi di dollari nei due giorni successivi alla riattivazione dei prelievi, dopo una violazione degli hot wallet che ha prosciugato circa 6,3 miliardi di dollari in token dal più grande exchange di criptovalute al mondo. Il rimbalzo, seguito alla sospensione dei prelievi imposta immediatamente dopo l'attacco del 29 ottobre, offre il primo segnale più chiaro sulla fiducia degli utenti nella piattaforma dopo il più grande hack mai visto nel settore.

Da un prosciugamento di 20 minuti a una riapertura graduale

L'attacco è avvenuto il 29 ottobre 2026, alle ore 20:05 UTC circa. Gli aggressori hanno sfruttato vulnerabilità negli hot wallet di Binance e sottratto token su più blockchain in circa 20 minuti. Gli hot wallet sono i saldi connessi a internet che gli exchange mantengono liquidi per i prelievi quotidiani, e rappresentano quindi il punto d'ingresso naturale in una violazione, anche quando la maggior parte dei fondi dei clienti è conservata in cold storage offline. La violazione è stata attribuita a TraderTraitor, un gruppo legato alla Corea del Nord, le cui unità di hacking sono ritenute responsabili dalle autorità di una serie di importanti furti di criptovalute nel settore negli ultimi anni.

Binance ha bloccato tutti i prelievi subito dopo l'attacco e ha quindi messo da parte oltre 6,34 miliardi di dollari di risorse aziendali per coprire integralmente le perdite. Parte di quel denaro è provenuta dalla riserva SAFU — il Secure Asset Fund for Users, fondo di emergenza creato da Binance nel 2018 proprio per questo tipo di situazione — e parte dal fondo assicurativo dei futures.

Il recupero è stato rapido. Entro il 31 ottobre, Binance aveva ricostituito circa il 90% degli asset interessati, principalmente attraverso acquisti di token di grandi dimensioni sul mercato aperto e operazioni over-the-counter. Tale cifra è stata successivamente aggiornata a circa il 95%.

Anche l'aiuto esterno è stato determinante. I partner hanno congelato circa 3 miliardi di dollari di asset rubati legati all'hack, limitando quanto gli aggressori potevano effettivamente spostare o incassare. Binance ha inoltre pubblicato un nuovo snapshot proof-of-reserves effettuato alle 00:00 UTC del 31 ottobre, che secondo l'exchange confermava la piena copertura dei suoi principali asset. La pubblicazione dei proof-of-reserves è divenuta una pratica diffusa nel settore dopo il crollo di FTX nel 2022, quando gli exchange sono stati sotto pressione per dimostrare che i saldi dei clienti erano effettivamente coperti — sebbene uno snapshot attesti solo un singolo momento nel tempo.

Prima i deflussi, poi un rimbalzo di 3,4 miliardi di dollari

I prelievi sono ripresi il 1° novembre 2026, con un rollout graduale su più di 15 reti.

I deflussi netti iniziali si sono attestati intorno ai 3,64 miliardi di dollari. Nel contesto, ciò equivale a circa il 2,1% degli attivi totali gestiti da Binance, che si collocano approssimativamente a 171 miliardi di dollari.

Il dato si è poi invertito. Gli asset tracciati di Binance sono saliti di 3,4 miliardi di dollari nei due giorni successivi al riavvio dei prelievi. Messi a confronto, il guadagno di 3,4 miliardi di dollari si colloca vicino ai 3,64 miliardi di dollari di deflussi iniziali. L'exchange non è tornato esattamente al punto di partenza, ma ci si è avvicinato abbastanza da trasformare la narrazione dalla fuga al recupero.

Un'avvertenza merita di essere tenuta presente. Il dato degli asset tracciati non distingue i nuovi depositi dei clienti dagli altri movimenti di bilancio. Binance stava acquistando attivamente token per ricostituire quanto rubato, e tali acquisti potrebbero rappresentare parte dell'aumento.

Perché questo hack è diverso

Gli hack agli exchange non sono una novità. A distinguere questo è la scala: a circa 6,3 miliardi di dollari, la violazione segna il più grande hack nella storia delle criptovalute. Il precedente di riferimento, la violazione di Mt. Gox nel 2014, riguardava circa 850.000 bitcoin — per un valore di circa 450 milioni di dollari all'epoca — e ha lasciato i creditori in attesa di un decennio prima dell'inizio dei rimborsi.

Anche la risposta è inusuale. Molti hack passati agli exchange si sono conclusi con conti congelati, perdite socializzate o dichiarazioni di bankruptcja. Binance ha scelto di assorbire l'intero colpo con i propri fondi e ha dichiarato che gli asset dei clienti erano rimasti intatti.

Questo approccio funziona solo se un exchange dispone di riserve consistenti pronte all'uso. Messa da parte di oltre 6,34 miliardi di dollari con breve preavviso è una capacità che poche piattaforme del settore possono eguagliare.

Cosa significa per Binance e per il mercato più ampio

Per Binance, il rimbalzo di due giorni è il dato più importante dall'attacco. Coprire le perdite è un problema di bilancio, mentre trattenere i clienti è un problema di fiducia. L'aumento di 3,4 miliardi di dollari suggerisce che l'exchange sta facendo progressi sul secondo fronte, anche se parte di quel numero riflette i suoi stessi acquisti di ricostituzione.

I deflussi iniziali di 3,64 miliardi di dollari restano rilevanti. Circa il 2,1% degli attivi che lasciano la piattaforma nella prima fase di riapertura è un livello ancora gestibile per Binance.

Il legame con la Corea del Nord aggiunge una dimensione geopolitica. Se l'attribuzione a TraderTraitor dovesse confermarsi, i circa 3 miliardi di dollari congelati dai partner diventeranno un terreno cruciale nella corsa per recuperare i fondi rubati.

Gli elementi da monitorare nei prossimi passi sono abbastanza chiari. Primo, se il dato di ricostituzione passerà da circa il 95% alla copertura completa. Secondo, se i flussi netti resteranno positivi con il ritorno alla normale operatività di tutte le oltre 15 reti. Terzo, se Binance pubblicherà ulteriori snapshot proof-of-reserves a conferma del quadro del 31 ottobre.

Questo articolo è basato sul servizio di CryptoBriefing; l'articolo originale è stato curato da John Chen. Servizio originale: Binance tracked assets climb $3.4 billion in two days after post-hack withdrawal restart.