L'indagine di Binance sulla recente violazione della sicurezza è andata oltre la teoria iniziale che un singolo laptop compromesso avesse innescato l'incidente. Il Co-CEO Richard Teng ha dichiarato che gli investigatori hanno identificato ulteriori punti di violazione e hanno ricostruito come l'attaccante abbia ottenuto l'approvazione on-chain su uno degli hot wallet dell'exchange. Ha aggiunto che non ci sono prove di una fuga di chiavi private. Binance si è impegnata a coprire tutte le perdite con fondi aziendali e con il suo Secure Asset Fund for Users (SAFU), la riserva di emergenza creata dall'exchange nel 2018 per coprire le perdite in casi estremi.

L'attacco è stato più complesso di una violazione con un solo clic

In un post su X, il Co-CEO Richard Teng ha dichiarato che Binance sospettava inizialmente che l'hack fosse iniziato con un laptop compromesso. I ritrovamenti successivi hanno scoperto ulteriori punti di violazione, rendendo l'attacco considerevolmente più complesso di una violazione con un solo clic.

Secondo Teng, l'attaccante ha ottenuto l'accesso a un service container e ha successivamente inviato transazioni di prelievo non autorizzate. Ha sottolineato che l'incidente non è stato un caso di un singolo dipendente che ha abusato delle proprie autorizzazioni, e Binance non ha attribuito responsabilità ad alcun individuo.

Gli investigatori hanno dichiarato che l'attaccante ha utilizzato un meccanismo di auto-distruzione per cancellare strumenti e tracce, il che ha rallentato i progressi del team di sicurezza nella ricostruzione del percorso dell'attacco. Tattiche di cancellazione di questo tipo, comunemente descritte nel settore della sicurezza come tecniche anti-forensi, sono progettate per ostacolare la ricostruzione post-incidente.

Teng ha anche dichiarato che l'attaccante ha sfruttato l'EIP-7702, una funzionalità di autorizzazione di Ethereum, per ottenere l'approvazione di esecuzione on-chain su un hot wallet di Binance. Questo ha permesso all'attaccante di aggirare i consueti controlli di approvazione di Binance. L'EIP-7702 è diventato operativo con l'aggiornamento Pectra di Ethereum a maggio 2025 e consente agli account utente standard di adottare temporaneamente funzionalità degli smart contract, come il batching di più operazioni sotto un'unica autorizzazione.

L'exchange non ha segnalato alcun difetto nell'EIP-7702 stesso, affermando invece che l'attaccante ha utilizzato la funzionalità per eludere i suoi controlli interni. Binance ha dichiarato di non aver trovato prove che le chiavi private dei wallet siano state esposte. L'indagine continua e l'exchange prevede di pubblicare un post-mortem tecnico una volta verificati i risultati.

Binance riserva 6,34 miliardi di dollari per coprire le perdite

Teng ha dichiarato che i fondi dei clienti non sono stati interessati e che Binance avrebbe risarcito integralmente gli utenti. L'exchange ha riservato oltre 6,34 miliardi di dollari di fondi aziendali per coprire gli asset rubati, secondo un precedente aggiornamento di Teng.

Secondo Teng, circa 5 miliardi di dollari sono già detenuti negli stessi asset coinvolti nell'incidente, tra cui BTC, ETH, BNB, USDT e USDC. Binance sta lavorando per acquisire l'importo rimanente attraverso acquisti di mercato e transazioni over-the-counter.

L'exchange ha stimato l'impatto totale della violazione in circa 6,3 miliardi di dollari e ha dichiarato che circa 3 miliardi di dollari erano stati congelati on-chain con l'assistenza di partner blockchain. Teng ha notato che la maggior parte degli asset dei clienti è custodita in cold wallet e viene spostata negli hot wallet solo quando gli utenti richiedono prelievi. I cold wallet mantengono le chiavi private offline, mentre gli hot wallet restano connessi a internet per elaborare i prelievi degli utenti — il livello ora al centro dell'indagine e degli sforzi di rimediazione.