Il furto di 6,3 miliardi di dollari subito da Binance il 29 ottobre è la più grande rapina di criptovalute mai registrata. Nei giorni successivi, gruppi di sicurezza, investigatori on-chain e compagnie assicurative hanno reso pubblici nuovi dettagli che, messi insieme, mostrano come si è sviluppato l'attacco e cosa è successo ai fondi.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

Finti recruiter e una finestra di otto settimane

Security Alliance, un gruppo di cybersecurity non profit noto come SEAL, ha dichiarato che hacker legati alla Corea del Nord hanno compromesso nel settembre il dispositivo di un ingegnere software di Binance. Secondo il gruppo, gli intrusi sono entrati attraverso uno schema di falso reclutamento, e la finestra di intrusione viene stimata in circa otto settimane prima dell'exploit.

Come si è sviluppato l'attacco

Binance ha fornito una cronologia più lunga. Un portavoce ha dichiarato che le prime compromissioni di dispositivi sono avvenute a giugno e a settembre, anche se gli aggressori hanno ottenuto l'accesso necessario per raggiungere le operazioni di wallet solo il 20 ottobre. SEAL ha precisato che il suo dato di otto settimane copre solo il periodo settembre-ottobre e non si estende all'inizio della campagna più ampia descritta dall'exchange.

La violazione di giugno è iniziata quando un altro dipendente ha scaricato un'installazione di Homebrew manomessa, mentre tentava di configurare uno strumento di coding basato su AI. Binance ha rilevato l'incidente, ha sostituito il dispositivo e ha ruotato le credenziali correlate, ma a quel punto gli aggressori avevano già raccolto informazioni sul personale che lavorava sull'infrastruttura dei wallet.

Il 20 ottobre, gli aggressori hanno utilizzato il computer compromesso dell'ingegnere e uno strumento AI interno per prendere il controllo dei dispositivi di due ingegneri dell'infrastruttura wallet. Hanno quindi individuato un token di autorizzazione al deployment, utilizzato poi nell'exploit del 29 ottobre.

SEAL ha identificato almeno quattro società di facciata legate alle campagne di falso reclutamento nel 2026: citalab.net, citalab.com, bitfit.io e oddium.io. Il gruppo ha dichiarato che pattern multi-fase simili sono comparsi in altri furti. Stima che gli aggressori abbiano avuto circa sei settimane di accesso prima dell'hack da 388 milioni di dollari a Bitget, circa sei settimane di accesso a LayerZero prima della vulnerabilità alla base dell'exploit Kelp DAO da 293 milioni di dollari, e circa tre settimane prima dell'exploit AFX da 24 milioni di dollari.

L'FBI ha attribuito l'attacco al gruppo TraderTraitor della Corea del Nord. Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha respinto l'accusa.

Fondi congelati e reazione del mercato

Sentora, una società di analisi DeFi, ha definito la risposta il più grande congelamento coordinato di asset on-chain nella storia della DeFi. Circle ha bloccato 823 milioni di USDC in un unico wallet prima che l'attaccante potesse spostarli. Ripple ha congelato circa 40 milioni di dollari in RLUSD, e World Liberty Financial ha congelato 27 milioni di dollari in USD1 insieme a 48 milioni di token WLFI. I soli congelamenti di stablecoin ammontano a circa 890 milioni di dollari. Bitcoin ed Ether non hanno un emittente in grado di bloccare i fondi in questo modo; Sentora ha individuato 18.270 BTC e più di 420.000 ETH tra le disponibilità dell'attaccante dopo il contenimento.

I mercati di lending DeFi hanno registrato 1,59 miliardi di dollari di deflussi netti in un solo giorno, circa il 3% del valore totale bloccato. Circa il 60% di quel denaro è tornato entro tre giorni, e Sentora non ha riscontrato crediti deteriorati nei mercati analizzati. Per confronto, l'exploit di Kelp DAO ad aprile ha innescato 10,9 miliardi di dollari di prelievi in cinque giorni, circa il 21% del valore di lending bloccato, nessuno dei quali è tornato in quel periodo. Sentora ha attribuito la differenza alla posizione degli asset danneggiati: la perdita di Binance è rimasta all'interno dell'exchange, mentre l'asset di Kelp era usato come garanzia nei mercati di lending.

Elliptic ha dichiarato che circa 1.650 BTC, per un valore di 124 milioni di dollari, erano stati convertiti da altri asset rubati al 6 novembre, quasi il doppio rispetto alla cifra del giorno precedente. La maggior parte della crescita è derivata da XRP scambiati tramite THORChain. I 18.270 BTC originali sono rimasti intatti su 19 indirizzi. La società di analisi ha conteggiato più di 20.000 wallet e 65.000 transazioni su 16 blockchain, con circa 3,11 miliardi di dollari ancora presenti su indirizzi legati al furto.

Binance ripristina la maggior parte degli asset interessati

Binance ha dichiarato il 4 novembre di aver sostituito circa il 98% degli asset interessati utilizzando risorse aziendali. Il restante 2% riguarda token meno liquidi, che sta acquistando tramite canali di mercato e over-the-counter. Il 5 novembre ha chiesto alla DAO di Arbitrum di approvare la restituzione di 8.425,997 ETH e 74.559.805,2 ARB, un processo che si prevezza durerà circa 49 giorni. Questi due elementi — il riacquisto e l'approvazione della DAO — restano le parti ancora pendenti dell'operazione di ripristino.

Le assicurazioni esaminano più da vicino

Reuters ha riferito venerdì che le compagnie assicurative stanno sottoponendo a domande più approfondite i clienti cripto. Jacqueline Quintal di Marsh non prevede cambiamenti sostanziali in prezzi, coperture o capacità, anche se gli assicuratori potrebbero chiedere ai clienti di correggere le vulnerabilità, e molte polizze escludono gli attacchi sponsorizzati da stati — un'esclusione rilevante considerata l'attribuzione dell'FBI di questo furto al gruppo TraderTraitor della Corea del Nord.

Questo articolo è apparso originariamente su CoinCentral.