Un incarico di programmazione da parte di un potenziale datore di lavoro sembrava una normale fase di un colloquio. In realtà, era un passaggio di un cyberattacco durato mesi che si è concluso con 6,3 miliardi di dollari rubati a Binance — e solleva nuove domande su come gli exchange di criptovalute si difendono dalle minacce mirate ai loro stessi dipendenti.

Secondo un postmortem pubblicato da Binance martedì, il furto faceva parte di una campagna coordinata che ha sfruttato sia le vulnerabilità umane sia i sistemi di sicurezza interni. Le conclusioni dell'exchange ricostruiscono come gli hacker siano entrati gradualmente nell'infrastruttura dei wallet dell'azienda prima del furto del 29 ottobre.

Come gli hacker hanno infiltrato Binance

La campagna è iniziata a giugno, quando un ingegnere ha scaricato un pacchetto software manomesso durante la configurazione di uno strumento di coding AI, secondo il rapporto di sicurezza di Binance. Sebbene l'exchange abbia rilevato il malware e sostituito il dispositivo interessato, gli attacker avevano già raccolto informazioni sul team dei wallet di Binance. L'episodio mostra come un'infezione possa avere ancora conseguenze dopo essere stata individuata: la sostituzione del dispositivo ha rimosso il malware, ma non la ricognizione già completata dagli aggressori.

A settembre, attacker travestiti da recruiter hanno preso di mira un altro ingegnere software, inducendo il dipendente a scaricare un file dannoso mascherato da incarico di programmazione. Il malware ha compromesso il computer di lavoro dell'ingegnere e ha eluso le protezioni di sicurezza dell'exchange.

Il 20 ottobre, gli attacker hanno utilizzato la macchina compromessa e uno strumento AI interno per accedere ai sistemi di altri due ingegneri, ottenendo credenziali di deployment che hanno permesso loro di installare software dannoso all'interno dell'infrastruttura dei wallet di Binance il 29 ottobre.

Gli intrusi hanno quindi raggiunto il servizio interno di firma dei wallet dell'exchange, che autorizza le transazioni in criptovalute, consentendo loro di spostare fondi al di fuori del normale processo di prelievo. L'accesso a quel livello ha permesso che i fondi si muovessero con i consueti controlli di prelievo dell'exchange esclusi dal circuito — la stessa dinamica che in seguito ha consentito il proseguimento dei trasferimenti anche dopo che Binance aveva sospeso i prelievi.

"Questo non è stato un singolo errore o una singola violazione — è stata una campagna durata mesi", ha dichiarato il co-CEO di Binance Richard Teng in un post su X martedì.

Fonte: Richard Teng su X

EIP-7702 sfruttato per mantenere in movimento i trasferimenti

Binance ha dichiarato che gli attacker hanno anche sfruttato il meccanismo EIP-7702 di Ethereum, che consente ai wallet di delegare le autorizzazioni di transazione agli smart contract. Ciò ha permesso il proseguimento dei trasferimenti non autorizzati anche dopo che l'exchange aveva sospeso i prelievi. Il suo sistema di wallet a calcolo multiparty (MPC), che distribuisce il controllo sulla firma delle transazioni, ha complicato gli sforzi per revocare tali autorizzazioni. Insieme, le due architetture hanno fatto sì che fermare i trasferimenti non autorizzati richiedesse lo smantellamento delle autorizzazioni in tutto il sistema di wallet, anziché il taglio di un singolo punto di controllo.

La violazione ha riguardato circa 6,3 miliardi di dollari in asset digitali, con Binance che segnala 2,85 miliardi di dollari congelati o intercettati, secondo l'ultimo conteggio. L'exchange ha dichiarato che assorbirà le perdite anziché trasmetterle ai clienti e di aver ripristinato il 98% degli asset token colpiti al 31 ottobre. Tali cifre rappresentano l'ultimo quadro dell'exchange e non una risoluzione definitiva, quindi gli aggiornamenti successivi sugli asset oltre ai 2,85 miliardi di dollari congelati o intercettati — e sul superamento del 98% del ripristino — determineranno il conteggio finale della violazione.

L'attacco — il più grande hack di criptovalute della storia — è stato attribuito a hacker nordcoreani dal Federal Bureau of Investigation (FBI). Martedì, Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha negato il coinvolgimento del suo Paese, affermando che l'attribuzione dell'FBI fosse motivata politicamente e intesa a danneggiare la posizione internazionale della Corea del Nord. Le dichiarazioni lasciano le due versioni in conflitto pubblico, con l'attribuzione dell'FBI e la sconfessa di Pyongyang non riconciliate.

Binance segnala 57 minacce informatiche bloccate quest'anno

Separatamente, la co-fondatrice di Binance Yi He ha dichiarato martedì che il team di sicurezza dell'exchange aveva rilevato e prevenuto 57 sospette minacce informatiche legate alla Corea del Nord nel 2026, tra cui colloqui di lavoro fraudolenti, pacchetti software dannosi e tentativi di social engineering volti a rubare credenziali o installare malware. Il dato del 2026 indica che i metodi al centro della violazione — falsi approcci di recruiter, pacchetti manomessi e tentativi di raccolta di credenziali — erano schemi ricorrenti nei dati sulle minacce di Binance, non episodi isolati.

"Ne abbiamo intercettati molti, ma il costo del mancato fermamento anche di uno solo è stato severo — e questo non sarebbe dovuto mai accadere", ha affermato.

Questo articolo è stato originariamente riportato da Cointelegraph.