Aggiornamento (30 ottobre, ore 2:44 UTC): Questo articolo è stato aggiornato per includere l'indagine preliminare di Binance sulla violazione della sicurezza.

L'indagine iniziale di Binance sulla violazione crypto da miliardi di dollari punta a un laptop compromesso di un ingegnere DevOps. L'exchange ha dichiarato venerdì che il compromesso del laptop potrebbe aver consentito a un aggressore di accedere a un service container e inviare transazioni di prelievo non autorizzate. Ha aggiunto di non aver trovato prove della fuga di una chiave privata del wallet, sottolineando che l'indagine è ancora in corso.

Anche la valutazione preliminare di Blockaid punta nella stessa direzione. Parlando con Cointelegraph giovedì, il CEO di Blockaid Ido Ben-Natan ha detto che l'incidente sembrava implicare un "uso improprio delle chiavi", in cui gli aggressori hanno ingannato o compromesso un sistema di firma facendogli autorizzare transazioni dannose senza estrarre la chiave privata sottostante.

"Sembra essere... un compromesso dell'infrastruttura di firma. Non pensiamo che una chiave sia stata trapelata", ha detto. La valutazione di Ben-Natan si è basata sull'esperienza di Blockaid con attacchi simili e sulle sue osservazioni dell'attività onchain.

Binance stima un impatto di 6,3 miliardi di dollari, blocca circa 3 miliardi

Binance ha annunciato le sue conclusioni preliminari in una dichiarazione su X, stimando l'impatto totale dell'incidente in circa 6,3 miliardi di dollari e dichiarando di aver lavorato con i partner blockchain per bloccare circa 3 miliardi di dollari in asset rubati onchain. Se confermata, la stima supererebbe il furto di Bybit di febbraio 2025, finora il più grande hack riportato nella storia delle criptovalute.

L'exchange ha dichiarato che coprirà tutte le perdite utilizzando il suo Secure Asset Fund for Users (SAFU) e fondi aziendali, aggiungendo che i fondi degli utenti sono al sicuro. SAFU è un fondo assicurativo d'emergenza creato da Binance nel 2018, finanziato da una parte delle commissioni di trading e progettato per coprire le perdite degli utenti in casi estremi. Ha inoltre promesso di pubblicare un Proof of Reserves aggiornato, il metodo crittografico utilizzato dagli exchange per dimostrare di detenere gli asset che garantiscono i saldi dei clienti.

Depositi e prelievi sono stati temporaneamente sospesi durante i controlli di sicurezza, e Binance ha dichiarato di aver revocato l'autorizzazione dell'indirizzo interessato. L'azienda sta collaborando con le forze dell'ordine e con partner di intelligence blockchain per tracciare e recuperare i fondi, e ha dichiarato che pubblicherà un'analisi tecnica dettagliata una volta completata l'indagine e pienamente verificati i fatti.

Blockaid identifica una delega dannosa del wallet

In un'analisi onchain pubblicata su X, Blockaid ha dichiarato che l'aggressore ha raggruppato 50 autorizzazioni EIP-7702 in una singola transazione mirata a Binance 14. Un'autorizzazione, secondo quanto riferito, corrispondeva al nonce richiesto dall'account, consentendone l'accettazione.

L'EIP-7702, attivato con l'aggiornamento Pectra di Ethereum a maggio 2025, consente a un account di delegare l'esecuzione a codice di smart contract. Blockaid ha fornito ulteriori dettagli, spiegando che l'account interessato era stato delegato a un contratto sweeper non verificato, che permetteva a un operatore designato di drenare token ed Ether.

Correlato: L'hack di Binance scuote i mercati crypto mentre BNB scende del 7%, Bitcoin in slittamento

Ben-Natan ha detto a Cointelegraph che l'operazione potrebbe aver coinvolto più dispositivi compromessi e movimenti all'interno della rete interna dell'exchange.

Prima dell'ultimo aggiornamento di Binance, il CEO di Arkham Miguel Morel aveva dichiarato a Cointelegraph che le informazioni erano insufficienti per determinare se l'attacco comportasse chiavi rubate o un'infrastruttura compromessa. "Da quello che possiamo vedere, sembra che l'hack sia ancora in corso", aveva detto all'epoca.

Il confronto con la Corea del Nord e Bybit

Interrogato sulla somiglianza tra la presunta manipolazione della firma e l'attacco a Bybit di febbraio 2025, Ben-Natan ha descritto i due incidenti come "molto, molto simili". In quel caso, l'aggiornamento forense pubblicato da Bybit affermava che gli aggressori avevano compromesso le credenziali di uno sviluppatore di Safe, avevano avuto accesso all'infrastruttura del fornitore del wallet e avevano ingannato i firmatari facendoli approvare una transazione dannosa. L'FBI ha attribuito quel furto, stimato in circa 1,5 miliardi di dollari, a hacker legati alla Corea del Nord.

Ben-Natan ha anche detto che l'attività ricordava operazioni legate alla Corea del Nord, citando la familiarità di Blockaid con tali attacchi. Ha indicato sofisticate preparazioni onchain ma ha sottolineato che l'attribuzione rimaneva non confermata.

Binance non ha identificato gli aggressori, dichiarando di collaborare con le forze dell'ordine per stabilirne le identità.

Magazine: Ledger manomesso segnalato a Singapore un mese prima che la notizia esplodesse: Asia Express