Tre società di analisi blockchain hanno attribuito l'hack di questa settimana ai danni di Binance alla Corea del Nord, con due delle più grandi—TRM Labs e Chainalysis—che hanno indicato il gruppo TraderTraitor, un'organizzazione di hacker nordcoreana, come responsabile di quella che entrambe descrivono come la più grande rapina di criptovalute mai registrata.

TRM Labs ha dichiarato di aver effettuato l'attribuzione "con elevata confidenza", basandosi su "solide intelligence on-chain e off-chain". La società ha stimato il furto in circa 6,36 miliardi di dollari, spostati dai wallet di Binance su 10 blockchain, con la maggior parte trasferita in circa 20 minuti a partire dalle 16:05 ET di giovedì. Si tratta di circa quattro volte l'hack da 1,5 miliardi di dollari di Bybit di febbraio 2025, attribuito dall'FBI allo stesso gruppo, ha ricordato TRM.

Chainalysis, che ha stimato il totale in circa 6,4 miliardi di dollari, ha dichiarato che la prova più forte è giunta quando i suoi investigatori hanno visto i fondi rubati a Binance commisti in tempo reale con i proventi dell'exploit di Bitget del mese scorso, attribuito ad attori nordcoreani. Un portavoce di Chainalysis ha dichiarato a CNN che la società aveva "elevata confidenza" sul fatto che la Corea del Nord fosse dietro l'attacco.

Anche Pangolin Intelligence, con sede a Singapore, ha detto a CNN di ritenere responsabile un'unità di hacker nordcoreana, basandosi sull'"analisi dell'attività on-chain relativa a questo attacco e sulla correlazione con le informazioni raccolte da precedenti incidenti noti". La Corea del Nord ha in passato negato le accuse di hacking.

Come si è svolto l'attacco

TRM e Chainalysis hanno entrambe dichiarato che il wallet operativo dell'attaccante è stato finanziato tramite Tornado Cash, un crypto mixer. TRM ha affermato che questo, insieme ad altre caratteristiche—tra cui una preparazione iniziata ben prima del furto—corrispondeva a precedenti attacchi legati alla Corea del Nord, come l'hack di Bybit e l'exploit di KelpDAO di aprile.

Su Ethereum, l'attaccante ha utilizzato una delega EIP-7702—una funzionalità introdotta con l'aggiornamento Pectra di Ethereum che consente a un wallet ordinario di eseguire codice di smart contract—per trasformare un hot wallet di Binance (un wallet connesso a internet) in uno sweeper sotto il proprio controllo, con 50 autorizzazioni pre-firmate preparate in anticipo, secondo TRM. Uno sweeper trasferisce automaticamente tutti i fondi inviati a un indirizzo. I wallet di Binance sulle altre nove blockchain hanno inviato fondi all'attaccante tramite normali trasferimenti firmati. Secondo la valutazione di TRM, questo indica una compromissione dell'infrastruttura di firma dei hot wallet di Binance.

Binance ha dichiarato che la sua indagine è partita dal laptop compromesso di un ingegnere, ma ha da allora scoperto "ulteriori punti di violazione". Anche l'attacco a Bybit era iniziato con una singola macchina compromessa: hacker nordcoreani avevano inserito codice maligno nell'infrastruttura del provider di wallet Safe dopo aver compromesso il computer di uno sviluppatore di Safe, riportò Decrypt all'epoca.

Riciclaggio rapido, congelamenti in aumento

L'attaccante si è mosso rapidamente per riciclare quanto non è riuscito a trattenere. Chainalysis ha dichiarato di stare osservando "pattern di riciclaggio mai visti prima", con migliaia di transazioni in un breve periodo che suggeriscono l'uso di automazione per far circolare i fondi ripetutamente tra indirizzi.

L'attaccante ha inoltre venduto USDT a market maker e preso in prestito ETH contro USDT sul protocollo di lending Aave per correre contro i congelamenti degli emittenti, secondo TRM, e ora detiene più di 420.000 ETH e 18.270 BTC—circa 2,4 miliardi di dollari fuori dalla portata di qualsiasi emittente, poiché né ETH né BTC hanno una società emittente in grado di congelarli.

Tether, Circle, Ripple e World Liberty Financial hanno congelato circa 2,67 miliardi di dollari in stablecoin, e il Security Council di Arbitrum ha congelato 8.426 ETH e 74,6 milioni di ARB, ha dichiarato TRM. Binance stima il totale congelato in circa 3 miliardi di dollari.

Binance si impegna a coprire le perdite degli utenti

Binance ha iniziato a recuperare gli asset coinvolti per gli utenti e continua a collaborare con le forze dell'ordine, gli emittenti, le società di intelligence blockchain e i partner del settore per tracciare, congelare e recuperare ulteriori fondi.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

In un aggiornamento di venerdì, l'exchange ha dichiarato di aver accantonato oltre 6,34 miliardi di dollari di fondi aziendali per far fronte all'incidente, di cui 5 miliardi già detenuti negli stessi token rubati. sta acquistando il resto tramite canali di mercato e over-the-counter, operazione che "può richiedere più tempo perché alcuni token possono avere bassa liquidità", ha detto Binance. Queste cifre non includono gli asset congelati. La rapidità con cui gli acquisti potranno essere completati, l'entità completa della violazione e la possibilità di congelare o recuperare altri fondi rubati restano questioni aperte proseguendo le indagini.

"Supereremo questa tempesta", ha dichiarato Binance.

Un avversario di lunga data

Gli hacker nordcoreani prendono di mira l'exchange da lungo tempo. Nell'agosto 2025, il chief security officer di Binance Jimmy Su dichiarò a Decrypt che gli attaccanti nordcoreani cercano di farsi assumere in Binance ogni giorno, definendoli la più grande minaccia per le aziende crypto.

Mercoledì—il giorno prima dell'inizio del furto—il Tesoro statunitense ha sanzionato 10 individui e una entità per schemi di lavoratori IT nordcoreani che hanno spostato criptovalute per milioni di dollari.