Binance ha confermato venerdì che gli aggressori hanno rubato circa 6,3 miliardi di dollari su diverse blockchain, in quella che l'exchange ha descritto come la più grande rapina nella storia delle criptovalute. La società si è impegnata a coprire tutte le perdite.

Solo su Ethereum, circa 2,5 miliardi di dollari sono stati prosciugati da un wallet di Binance in meno di quattro minuti utilizzando la funzionalità EIP-7702 della rete, e circa 3 miliardi di dollari delle attività interessate sono stati da allora congelati.

L'exchange ha dichiarato che l'indagine iniziale suggeriva che l'incidente di sicurezza potesse coinvolgere un laptop compromesso, ma che un'indagine successiva ha portato alla luce ulteriori punti di violazione.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Un prosciugamento in quattro minuti su Ethereum

L'aggressore ha utilizzato EIP-7702, una funzionalità attivata a maggio 2025 come parte dell'aggiornamento Pectra di Ethereum, per spostare circa 2,5 miliardi di dollari in ether e token da un wallet di Binance in meno di quattro minuti giovedì.

La maggior parte dei wallet Ethereum è controllata da un'unica chiave privata e non può applicare regole come i limiti di spesa. EIP-7702 consente a un wallet ordinario di prendere in prestito codice da uno smart contract firmando un breve messaggio noto come autorizzazione. La funzionalità è stata sviluppata per aiutare i wallet ad aggregare i pagamenti e consentire a terzi di coprire le commissioni di transazione.

Entro poche settimane dal lancio dell'aggiornamento, la società di trading Wintermute ha rilevato che la maggior parte delle prime delegazioni puntava a script "sweeper" — programmi che dirottano i fondi di un wallet verso un ladro — un segnale precoce che la funzionalità veniva sfruttata per furti.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

Come si è svolto l'attacco

L'aggressore ha iniziato ad alimentare il proprio wallet principale tramite Tornado Cash, un servizio di mixing di criptovalute, a partire da mercoledì. Ha testato il piano sui propri wallet e ha distribuito un contratto sweeper alle 16:00 UTC di giovedì circa, configurato in modo che solo il wallet dell'aggressore potesse utilizzarlo.

Alle 20:20 UTC, l'aggressore ha inviato un'unica transazione contenente 50 autorizzazioni. Ciascuna era firmata da un wallet etichettato "Binance 14" su Etherscan e riportava un valore diverso del contatore delle transazioni, o nonce, così che una corrispondesse mentre il wallet continuava a inviare prelievi. Ethereum ha accettato l'autorizzazione numerata 18.914.809 ignorando le altre 49.

Alle 20:24 UTC, l'aggressore ha spostato circa 167.464 ETH e 63 token, compresi circa 1,6 miliardi di USDT. Altri depositi dei clienti sono stati prosciugati dal wallet alle 21:04 e alle 21:44 UTC. Secondo TRM Labs, l'aggressore ha inoltre utilizzato il wallet per ordinare a un altro wallet di Binance di inviare 823 milioni di USDC. L'autorizzazione non è stata revocata fino alle 00:10 UTC di venerdì — quasi quattro ore dopo la transazione iniziale.

Il furto si è esteso oltre Ethereum

L'operazione non si è limitata a Ethereum. L'aggressore ha anche spostato 18.270 bitcoin, centinaia di milioni di XRP e fondi su Solana e Tron. Queste reti non utilizzano EIP-7702, e i fondi sono usciti tramite trasferimenti firmati ordinari, ha dichiarato TRM Labs.

L'indagine punta a un laptop compromesso

Il co-CEO di Binance Richard Teng ha dichiarato che i primi risultati indicavano un laptop di un ingegnere DevOps compromesso. Ha precisato che l'attacco non è stato una singola azione "con un clic" e che non vi erano prove che le chiavi private fossero trapelate.

Binance ha poi dichiarato che gli investigatori hanno trovato ulteriori punti di violazione, ma la società non li ha indicati né spiegato come l'aggressore abbia ottenuto le firme.

Le società di sicurezza si esprimono

Le società di sicurezza hanno dichiarato che l'aggiornamento non ha causato l'hack, ma potrebbe aver aiutato gli aggressori a aggirare alcuni controlli. Ido Ben-Natan, CEO della società di sicurezza Blockaid, ha affermato che gli aggressori avrebbero potuto rubare i fondi anche senza EIP-7702, ma che la funzionalità ha consentito loro di farlo in un'unica azione e potrebbe aver aiutato a aggirare alcuni controlli. Ivo Georgiev, CEO del fornitore di wallet Ambire, ha offerto una valutazione contrastante, affermando che la funzionalità ha fatto poca differenza poiché gli hacker potevano già autorizzare transazioni.

Poiché l'operazione ha coinvolto anche trasferimenti firmati ordinari su reti che non utilizzano EIP-7702, l'incidente non dimostra che la sola funzionalità di Ethereum sia responsabile dell'intero furto. I punti di violazione aggiuntivi e il percorso dell'attacco ancora non pubblicato lasciano irrisolta l'entità di eventuali modifiche alla sicurezza.

Binance si impegna a coprire le perdite

Binance ha dichiarato che circa 3 miliardi di dollari delle attività interessate sono stati congelati. L'exchange prevede di utilizzare il proprio fondo di emergenza SAFU e fondi aziendali per coprire le perdite. Il percorso completo dell'attacco non è stato pubblicato. Ulteriori chiarimenti dipenderanno dall'indagine di Binance, compresa una spiegazione dei punti di violazione aggiuntivi e di come sono state ottenute le firme.