Ilya Lichtenstein afferma che le tattiche utilizzate nell'hack del hot-wallet di Binance del 29 ottobre 2026 ricordavano quelle associate agli hacker nordcoreani. La sua valutazione accompagna il racconto di Binance stessa su un'intrusione che ha combinato finte campagne di reclutamento, download dannosi e strumenti AI interni compromessi, in un attacco che ha coinvolto 6,34 miliardi di dollari in asset.

Il Presidente degli Stati Uniti Donald Trump ha dichiarato che gli investigatori stavano esaminando una possibile connessione nordcoreana. Né la sua dichiarazione né la valutazione di Lichtenstein stabiliscono il coinvolgimento della Corea del Nord. Secondo CNBC, il co-CEO di Binance Richard Teng si è fermato sul nascere dall'accusare direttamente la Corea del Nord, ma ha confermato che l'FBI aveva collegato la violazione ad hacker nordcoreani associati al gruppo TraderTraitor.

Lichtenstein ha suggerito che il phishing nei confronti dei dipendenti potrebbe rappresentare un punto di ingresso negli exchange di criptovalute, invece di attaccare direttamente i loro siti web. Il suggerimento non è una conferma della via utilizzata in questo incidente. L'osservazione indica dove si concentra la sicurezza degli exchange: i dispositivi del personale, gli strumenti interni e i sistemi che muovono i fondi.

Mesi di infiltrazione hanno preceduto la violazione del hot-wallet

Il racconto di Binance descrive un'intrusione graduale che ha coinvolto ingegneri e i sistemi che autorizzano le transazioni dei wallet. Teng ha detto che gli attaccanti hanno impiegato mesi per ottenere l'accesso, respingendo l'idea che il laptop di un singolo dipendente costituisse un singolo punto di fallimento.

Un rapporto di sicurezza di Binance fa risalire i preparativi a giugno, quando un ingegnere ha scaricato un'installazione di Homebrew manomessa mentre cercava uno strumento di coding AI. L'exchange ha rilevato attività sospette, ha sostituito il dispositivo e ha ruotato le credenziali, ma ha detto che il ruolo dell'ingegnere e i colleghi erano già stati esposti. Homebrew è un package manager ampiamente utilizzato, e l'episodio mostra come un'installazione di routine diventi un punto di ingresso una volta che la sua origine viene manomessa.

A settembre, attaccanti spacciandosi per recruiter hanno sottoposto un altro ingegnere a colloqui e a un esercizio di coding contenente malware nascosto, ha detto Teng. Si sono poi mossi attraverso gli strumenti AI interni per raggiungere il sistema che autorizza le transazioni dei wallet. Questa sequenza — assunzioni finte, malware nascosto, movimento laterale attraverso strumenti interni verso il sistema che autorizza le transazioni dei wallet — corrisponde allo schema descritto da Lichtenstein.

Teng ha detto che Binance ha ricostituito il 98% degli asset interessati e stava acquistando le restanti partecipazioni meno liquide. I clienti hanno prelevato 3,6 miliardi di dollari quando l'exchange ha riaperto il 1° novembre. Binance si è impegnata a coprire le perdite dei clienti e ha ricostruito il sistema di wallet interessato e lo strumento AI interno. Le cifre comunicano l'entità del recupero: colmare un shortfall di diversi miliardi di dollari, assorbire pesanti prelievi alla riapertura e ricostruire infrastrutture compromesse.

Lichtenstein ha sottolineato che le prime 48 ore successive a un attacco sono cruciali per tracciare i fondi rubati. L'intelligenza artificiale può accelerare i trasferimenti dopo un furto, aggiungendo urgenza al tracciamento precoce.

Come procederà l'esame degli investigatori sulla possibile connessione nordcoreana, e quando Binance completerà l'acquisto delle restanti partecipazioni meno liquide, sono i prossimi sviluppi da monitorare.

Questo articolo è stato prodotto con l'assistenza dell'intelligenza artificiale e revisionato dal team editoriale.