I wallet collegati al presunto attacco informatico a Binance hanno ricevuto decine di migliaia di ETH da contratti Uniswap e hanno preso in prestito 19.762 ETH su Aave contro circa 60 milioni di dollari in USDT. Non vi sono indicazioni che una delle due applicazioni sia stata sfruttata.

Alle 22:07 UTC, circa 253.000 ETH — per un valore di circa 570 milioni di dollari — erano detenuti in due wallet senza alcun trasferimento in uscita. A differenza delle stablecoin centralizzate, l'ETH non ha alcun emittente in grado di congelare l'asset.

L'attività è avvenuta mentre l'attaccante alle spalle dei wallet che stanno prosciugando Binance utilizzava exchange decentralizzati e protocolli di prestito come vie di uscita. I record di Etherscan relativi a 10 wallet, otto dei quali etichettati come exploiters, mostrano il sospetto attaccante convertire stablecoin che gli emittenti possono congelare in ETH, che nessun emittente può bloccare.

I wallet collegati al più grande exchange di crypto al mondo sono stati prosciugati di almeno 5,5 miliardi di dollari giovedì, con il totale ancora in crescita. Binance ha dichiarato di stare indagando su un incidente di sicurezza senza confermare se i fondi degli utenti siano stati coinvolti. Gli esperti di sicurezza ritengono ampiamente che l'exchange sia stato effettivamente attaccato. Se confermato, l'incidente sarebbe il più grande attacco informatico nella storia di 18 anni del settore crypto.

Gli emittenti di stablecoin Tether e Circle si sono mossi rapidamente per inserire in blacklist gli indirizzi associati al sospetto attaccante, congelando una parte dei fondi e rendendoli inaccessibili. In quanto emittenti centralizzati, entrambe le società possono inserire indirizzi in blacklist in modo che i loro token non possano spostarsi. Oltre 2 miliardi di dollari in USDT e USDC sono stati finora congelati da diversi fornitori di stablecoin. L'ETH non ha alcun emittente, il che significa che i fondi convertiti in ETH prima di un congelamento non possono più essere bloccati allo stesso modo.

Gli swap sono stati eseguiti tramite Uniswap, un exchange decentralizzato in cui le transazioni si regolano automaticamente senza una società che funga da intermediario. Un wallet di inoltro ha ricevuto 20.940 ETH, per un valore di 45,58 milioni di dollari, dal contratto UniswapX di Uniswap alle 20:34 UTC. Un altro ne ha ricevuti 3.552, per un valore di oltre 8 milioni di dollari, alle 20:47 UTC.

Due wallet successivi hanno ricevuto circa 18.085 ETH, per un valore di circa 41 milioni di dollari, da contratti Uniswap in tranche da 7.444 ETH e 10.642 ETH. Hanno inoltre ricevuto circa 16.498 ETH, per un valore di 37,5 milioni di dollari, in tranche da 6.946 ETH e 9.552 ETH.

Aave, un'applicazione di prestito che consente agli utenti di depositare crypto come garanzia e prendere in prestito altri asset, ha fornito una seconda via di uscita. Tra le 20:57 e le 21:01 UTC, un wallet ha depositato 10 milioni e poi 50 milioni di dollari in USDT. Contro quei depositi, ha preso in prestito 3.271 ETH, per un valore di 7,43 milioni di dollari, e poi 16.491 ETH, per un valore di 37,47 milioni di dollari. La via del prestito conduce alla stessa destinazione degli swap: le stablecoin depositate restano come garanzia, mentre l'ETH preso in prestito non ha alcun emittente con il potere di congelarlo.

Le transazioni hanno spinto Odysseas Lamtzidi, fondatore della società di cybersecurity Phylax Systems, ad avvertire di un "contagio in pieno corso".

Update: They just approved AAVE. Contagion in full effect — Odysseus | phylax.systems (@odysseas_eth) October 29, 2026

Aave ha successivamente congelato i propri mercati V3 sulla mainnet di Ethereum, bloccando nuovi depositi e prestiti. La mossa evidenzia una differenza strutturale nelle modalità di risposta del settore: gli emittenti di stablecoin inseriscono singoli indirizzi in blacklist, mentre i protocolli decentralizzati sospendono interi mercati.

Kamino, un protocollo di finanza decentralizzata costruito su Solana, ha anch'esso sospeso i propri mercati Solana e Bitcoin come precauzione. Kamino ha dichiarato di non essere toccato dalla situazione Binance e di aver temporaneamente sospeso i prestiti nel mercato SOL/BTC mentre monitora gli sviluppi e comunica con i partner.

Kamino can confirm that it is currently unaffected by the ongoing Binance situation Out of an abundance of caution, we have temporarily paused borrowing in the SOL/BTC Market We are actively monitoring the situation and are in communication with various partners. Any further… — Kamino (@kamino) October 29, 2026

L'ETH si è accumulato nei wallet dei sospetti exploiters senza spostarsi oltre. Un wallet etichettato Exploiter 8 deteneva 195.460 ETH, per un valore di 444,2 milioni di dollari, alle 22:03 UTC. Altri 57.891,77 ETH, per un valore di 131,6 milioni di dollari, erano arrivati in un wallet etichettato Exploiter 11. Insieme, le partecipazioni totalizzavano circa 253.000 ETH, ossia circa 570 milioni di dollari.

Il secondo gruppo di fondi è arrivato dopo quattro trasferimenti nell'arco di 28 minuti: da Exploiter 4 a Exploiter 5, da 5 a 6, da 6 a 7 e da 7 a 11.

L'attaccante ha inoltre scambiato 36 milioni di RLUSD, la stablecoin di Ripple ancorata al dollaro, con 15.439 ETH. Altri 52,54 milioni di RLUSD risultavano non congelati nel wallet di detenzione, secondo un aggiornamento on-chain che circola su X. Etherscan mostrava il principale wallet di ricezione con circa 88,5 milioni di dollari in RLUSD alle 20:41 UTC, in linea con il valore combinato dei due importi. Se i restanti RLUSD verranno congelati integralmente, se l'ETH accumulato inizierà a muoversi, se Aave e Kamino riapriranno i mercati sospesi e se Binance dettaglierà l'impatto sui fondi degli utenti sono gli sviluppi immediati da seguire.

Il co-CEO di Binance Yi He ha dichiarato che Ripple ha successivamente congelato circa 200 milioni di dollari in RLUSD, in aggiunta a oltre 2 miliardi di dollari in USDT e USDC congelati dai fornitori di stablecoin.

"Grazie al team Ripple per aver tempestivamente congelato circa 200 milioni. User Funds are SAFU", ha scritto Yi He su X, riferendosi al fondo di riserva di emergenza dell'exchange.

"Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds", ha dichiarato in una nota Jack McDonald, vicepresidente senior di Ripple per le stablecoin. "We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users protected."

Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds. We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users… — Jack McDonald (@JackMcDonald) October 29, 2026

Tornado Cash, un mixer che oscura la traccia dei pagamenti in crypto, finora appare solo come fonte di finanziamento per l'indirizzo che ha predisposto l'attacco.

Per una lettura di come incidenti di questa portata si siano svolti in passato, l'attacco a Bybit è il precedente più recente: dopo quell'attacco, il gruppo Lazarus della Corea del Nord ha convertito l'84,45% dell'ETH rubato in Bitcoin tramite Thorchain, una rete di swap cross-chain, secondo il CEO di Bybit. Monero, una privacy coin che nasconde l'identità dei partecipanti alle transazioni, è salita di circa il 6% giovedì, suggerendo una possibile rotazione verso la privacy coin.

Fonte: https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum