Giovedì gli attaccanti hanno prosciugato circa 6,4 miliardi di dollari da Binance nel più grande hack di criptovalute mai registrato, un furto oltre quattro volte superiore al precedente record. Binance dichiara che coprirà interamente le perdite con fondi aziendali e la propria riserva di emergenza, per la quale ha messo da parte più di 6,34 miliardi di dollari.

La violazione—la più grande nella storia delle criptovalute—ha scatenato un'indagine internazionale delle forze dell'ordine, una corsa degli emittenti di stablecoin per congelare i fondi rubati e un'attesa tesa tra i milioni di utenti dell'exchange. Ecco ciò che si sa finora su come si è svolto l'hack e su cosa si sta facendo.

Cosa è successo

Il furto è iniziato alle 16:05 circa (ora della costa orientale USA) di giovedì, dopo la chiusura dei mercati statunitensi, quando gli attaccanti hanno iniziato a spostare fondi dagli hot wallet di Binance—i wallet connessi a internet che gli exchange tengono riforniti per elaborare rapidamente i prelievi—su circa 10 blockchain. La maggior parte dei trasferimenti è stata completata in circa 20 minuti.

Le società di analisi blockchain Chainalysis e TRM Labs hanno stimato il totale in circa 6,4 miliardi di dollari—più di quattro volte il precedente record, il colpo da 1,5 miliardi di dollari subito da Bybit a febbraio 2025.

In modo cruciale, l'attacco ha preso di mira l'infrastruttura interna di Binance, non le blockchain stesse. L'exchange ha inizialmente fatto risalire la violazione a un laptop compromesso appartenente a un ingegnere DevOps, che potrebbe aver consentito all'attaccante di accedere a un service container e inviare prelievi non autorizzati.

Binance ha poi dichiarato che la propria indagine ha rilevato "ulteriori punti di violazione", con l'amministratore delegato Richard Teng che ha descritto "un processo di attacco più complesso" che "non si è limitato a usare i permessi di un solo ingegnere". La società ha dichiarato di non aver trovato prove di fughe di chiavi private dei wallet, e che l'attaccante ha utilizzato un meccanismo di autodistruzione per cancellare strumenti e tracce lungo il percorso.

Il fattore Ethereum

Su Ethereum, l'attaccante si è affidato a EIP-7702, una funzionalità introdotta nel 2025 che consente ai normali wallet di eseguire temporaneamente codice di smart contract. Utilizzando 50 autorizzazioni pre-firmate, l'attaccante ha trasformato un hot wallet di Binance in un contratto "sweeper"—codice che raccoglie automaticamente qualsiasi asset inviato a un indirizzo—e ne ha prosciugato gli asset, secondo TRM Labs.

Teng ha dichiarato che la delega "non è passata attraverso i nostri normali controlli di approvazione". L'episodio non ha esposto un difetto di Ethereum in sé, ha detto TRM, ma ha indicato invece un compromissione dell'infrastruttura di firma di Binance.

Chi c'è dietro l'attacco

Sia TRM Labs che Chainalysis hanno attribuito l'hack a TraderTraitor, un gruppo collegato allo Stato nordcoreano, indicato anche per il colpo ai danni di Bybit. Dopo quell'attacco, il gruppo ha convertito circa l'84% dell'Ethereum rubato in Bitcoin tramite la rete cross-chain Thorchain—un precedente che fornisce agli investigatori uno schema di riciclaggio noto da monitorare mentre i fondi di Binance continuano a spostarsi.

L'attribuzione spinge il bottino cripto della Corea del Nord nel 2026 ben oltre 1 miliardo di dollari—e la cifra di Binance da sola supererebbe tutte le altre.

La risposta di Binance

Teng ha dichiarato che Binance coprirà ogni dollaro delle perdite con fondi aziendali e il Secure Asset Fund for Users, una riserva di emergenza, sottolineando che gli asset dei clienti non sono mai stati toccati.

L'exchange ha messo da parte più di 6,34 miliardi di dollari, di cui circa 5 miliardi già detenuti negli stessi token rubati—inclusi BTC, ETH, BNB, USDC e USDT—e sta acquistando il resto sul mercato aperto e over the counter.

Binance ha sospeso i prelievi mentre ricostruisce e riporta in test i propri sistemi, sta conducendo una revisione completa della sicurezza e punta a ripristinare i prelievi entro domenica. Prevede inoltre di pubblicare entro lunedì una proof of reserves completa—una contabilità verificabile destinata a dimostrare che le partecipazioni on-chain possono coprire i saldi dei clienti. I depositi funzionano normalmente.

L'obiettivo dei prelievi per domenica e la promessa delle riserve per lunedì offrono agli utenti due verifiche a breve termine per monitorare l'avanzamento del ripristino.

Il congelamento—e cosa resta libero

Gli emittenti di stablecoin si sono mossi rapidamente dopo le prime segnalazioni di un sospetto attacco, a differenza dei precedenti incidenti di sicurezza. Le stablecoin—token ancorati al dollaro progettati per mantenere un valore stabile—sono la spina dorsale dell'economia cripto e consentono transazioni rapide sia su exchange centralizzati che decentralizzati. A differenza di Bitcoin o Ethereum, sono centralizzate: emesse e gestite da società private, il che significa che questi fondi possono essere congelati in qualsiasi momento, e per qualsiasi motivo.

Tether, la società dietro la più grande stablecoin sul mercato, USDT, ha congelato più di 1,5 miliardi di dollari in asset. Circle, che emette la seconda stablecoin più grande, USDC, ha congelato circa 823 milioni di dollari legati all'attacco, entrambe utilizzando la propria capacità di inserire indirizzi specifici in blacklist.

In totale, circa 3 miliardi di dollari sono stati congelati o individuati. Ma una somma rilevante resta fuori portata: l'attaccante controlla ancora più di 420.000 ETH e 18.270 BTC, oltre ad altri token, per un valore superiore a 3 miliardi di dollari che nessun emittente può congelare, e ha continuato a spostare fondi attraverso Tron e altre reti. La società di sicurezza Elliptic ha stimato che l'hacker controlla ancora circa 3,3 miliardi di dollari.

L'indagine

Binance sta collaborando con le forze dell'ordine di tutto il mondo, tra cui l'FBI e gli U.S. Secret Service. L'FBI ha confermato di essere a conoscenza dell'incidente e di coordinarsi con i partner; gli Secret Service, che indagano sui crimini finanziari e legati alle valute digitali, hanno declinato di commentare.

Lo sforzo ricorda operazioni congiunte precedenti come l'Operazione Atlantic di aprile, che ha tracciato decine di milioni in criptovalute rubate. Recuperare i circa 3,3 miliardi di dollari che Elliptic dichiara essere ancora sotto il controllo dell'attaccante supererebbe di gran lunga la scala di quell'operazione.

Reazioni dei mercati

Per un furto di questa scala, i mercati sono rimasti notevolmente composti. Bitcoin è sceso a circa 76.400 dollari venerdì, con un calo di circa il 4%, e più di 1,3 miliardi di dollari in posizioni con leva sono state liquidate.

Ben diverso da marzo 2018, quando un attacco fallito contro Binance ha fatto perdere a Bitcoin quasi l'11% in pochi minuti. Gli analisti attribuiscono la calmiera a un mercato più grande e più maturo—oggi del valore di circa 2.600 miliardi di dollari—con gli ETF spot su Bitcoin che detengono circa 1,3 milioni di BTC in mani che non vendono nel panico.

Società di Wall Street tra cui Cantor Fitzgerald, TD Cowen e Compass Point hanno persino esortato i clienti ad acquistare azioni legate alle criptovalute sulla debolezza, inquadrando l'hack come un fallimento di sicurezza di Binance piuttosto che una minaccia alla tecnologia sottostante.

Ripercussioni regolatorie e pubbliche

Il presidente della CFTC, Michael Selig, ha sfruttato la violazione per sostenere che gli exchange offshore necessitano di supervisione statunitense. In un'intervista a CNBC, Selig ha detto che la violazione "dimostra esattamente il nostro punto" alla base delle normative sul mercato cripto proposte dall'agenzia all'inizio di questo mese—una proposta che ora ha un caso concreto a cui puntare.

L'episodio ha anche scatenato una disputa pubblica tra il fondatore di Binance Changpeng Zhao, noto come CZ, ed Elon Musk. Il fondatore di SpaceX e Tesla sembra aver preso in giro Binance per l'hack su X, e CZ ha risposto citing la partecipazione stessa di Musk in SpaceX. "Le nostre azioni SPCX (dal nostro investimento di 500 milioni nella vostra acquisizione di Twitter) valgono più di un miliardo. Apprezzerebbe se mostrassi un po' di sostegno", ha scritto CZ su X.

CZ ha assunto nel complesso un tono sfidante: il furto è il più grande in termini di dollari, ha detto, ma non in termini di Bitcoin—e, a differenza di Mt. Gox o FTX, Binance sta assorbendo la perdita essa stessa. "Fa male, ma sopravviviamo", ha scritto.

Fonte: Decrypt — Binance Hack: Everything You Need to Know About the Biggest Crypto Heist in History