Gli attaccanti hanno prosciugato la maggior parte dei circa 6,3 miliardi di dollari dagli hot wallet di Binance in circa 20 minuti, e la sequenza completa del colpo è ora disponibile come cronologia. Secondo la società di analisi blockchain TRM Labs, i ladri hanno fatto firmare le transazioni dal sistema di firma dello stesso exchange.

Un exchange di criptovalute custodisce i fondi dei clienti in parte negli hot wallet, che restano online per elaborare i prelievi, mentre il resto si trova offline in cold storage. Ogni prelievo passa prima attraverso un'infrastruttura di firma che verifica le richieste rispetto alle politiche interne; solo allora le firma con le chiavi degli hot wallet. Chi controlla questo livello, di conseguenza, non ha bisogno di alcuna chiave privata. Binance ha segnalato il furto il 29 ottobre 2026 e il giorno successivo ha citato ulteriori punti di accesso.

Lo schema ricorda da vicino l'hack di Bybit di febbraio 2025, in cui il livello di approvazione aveva fallito allo stesso modo e nessun bug nel contratto aveva avuto un ruolo. TRM attribuisce l'attacco alla Corea del Nord con elevata confidenza. Nella sua ricostruzione dell'attacco, stima la perdita in 6,36 miliardi di dollari su dieci catene. Elliptic, al contrario, arriva a 6,43 miliardi di dollari su undici catene, con ogni asset valutato al momento del trasferimento. Un rapporto sulla causa principale promesso dall'exchange dovrebbe chiarire la causa esatta.

36 ore di preparazione tramite Tornado Cash

I preparativi sono iniziati almeno 36 ore prima del furto. A partire dal 28 ottobre 2026, un wallet operatore appena creato ha ricevuto piccoli importi tramite il mixer Tornado Cash — tre prelievi di 0,1 ETH ciascuno, secondo Elliptic. Intorno alle 16:00 UTC del 29 ottobre 2026, gli attaccanti hanno distribuito sulla blockchain il contratto sweeper. Il programma prosciuga i saldo in blocco e accetta comandi solo dal wallet operatore. Secondo la società di sicurezza Immunefi, è composto da circa 130 righe di codice.

Lo stesso giorno, in precedenza, gli attaccanti avevano testato una prima versione del codice su due wallet. Circa quattro ore prima dell'attacco, hanno provato la versione finale su un terzo wallet, dopodiché i fondi di test sono tornati all'operatore. Gli attaccanti hanno quindi verificato il codice due volte e provato una volta lo stesso. TRM vede lo stesso schema dell'hack di Bybit e dell'attacco a KelpDAO di aprile 2026.

Come si è svolto l'hack di Binance, minuto per minuto

In una prima dichiarazione, Binance ha indicato come punto di accesso un laptop di un ingegnere DevOps possibilmente compromesso. Attraverso questa macchina, gli attaccanti avrebbero raggiunto un service container e presentato prelievi non autorizzati; secondo questa versione, inizialmente non c'erano segni di chiavi private trapelate. Il 30 ottobre 2026, tuttavia, l'exchange ha riportato ulteriori punti di accesso e descritto un attacco complesso che nessuna singola persona aveva condotto. Binance non ha ancora svelato quali siano questi punti, quindi il laptop resta un'asserzione iniziale non provata.

I deflussi sono iniziati alle 20:05 UTC del 29 ottobre 2026 sull'XRP Ledger. Entro le 20:09, cinque wallet di Binance hanno inviato 233,46 milioni di XRP — per circa 296 milioni di dollari — a un singolo indirizzo, fermandosi ciascuno al saldo minimo. Poco dopo le 20:10 è seguita Solana con 970.500 SOL, insieme a Optimism. Alle 20:20, l'hot wallet Bitcoin ha inviato 18.270 BTC per circa 1,47 miliardi di dollari; una cosiddetta peel chain ha suddiviso l'importo in blocchi da 1.000 e 100 BTC nello stesso blocco. Allo stesso tempo, l'hot wallet Tron ha perso 612,7 milioni di USDT e 46,4 milioni di TRX in due minuti. Con lo sweep su Ethereum alle 20:24, la fase principale era durata circa 20 minuti. Infine, una seconda ondata ha colpito Avalanche e Polygon intorno alle 23:05.

TRM trae la sua conclusione centrale da questa sequenza. Da sola, la delega Ethereum potrebbe sembrare phishing. Eppure gli attaccanti hanno prosciugato altre nove catene con trasferimenti firmati ordinari, senza alcuna delega. TRM conclude quindi che il sistema di firma degli hot wallet ha firmato esso stesso per l'attaccante. I dati di Elliptic confermano questa lettura: un secondo hot wallet Ethereum chiamato "Binance 16" ha una propria chiave, e ha inviato direttamente all'attaccante 28.006 ETH e altri token, per un totale di 174 milioni di dollari al momento del furto.

Come 50 autorizzazioni hanno sbloccato lo sweeper

Su Ethereum, gli attaccanti hanno usato una funzionalità arrivata con l'aggiornamento Pectra di maggio 2025. Con EIP-7702, un wallet ordinario firma un'autorizzazione che punta a uno smart contract e ne esegue poi il codice. La firma copre solo il chain ID, l'indirizzo di destinazione e il nonce — non la singola transazione. Il nonce è il contatore dell'account. Né il destinatario né l'importo fanno parte della firma, e chiunque può presentare una tale autorizzazione. La specifica stessa avverte che la delega dà al codice accesso illimitato all'account.

Alle 20:20:59 UTC, gli attaccanti hanno presentato una transazione con 50 autorizzazioni. Ciascuna portava una firma della chiave del wallet "Binance 14" e puntava allo sweeper. Ne servivano tante perché il nonce doveva corrispondere esattamente, mentre l'elevato tasso di prelievi continuava ad avanzare il contatore. La serie copriva i nonce da 18.914.775 a 18.914.824; alla fine solo il nonce 18.914.809 è andato a segno, e la rete ha scartato gli altri 49. TRM legge la serie come segno di accesso a tempo limitato o di un passaggio attraverso un sistema di richieste.

Alle 20::23 UTC, l'attaccante ha quindi invocato lo sweeper tramite Binance 14. Una singola transazione ha prosciugato 167.464 ETH e 63 token — inclusi circa 1,6 miliardi di USDT — per un totale di circa 2,5 miliardi di dollari.

La delega è rimasta attiva dopo, perché EIP-7702 la mantiene fino alla prossima autorizzazione. La specifica lo giustifica con la comodità, poiché gli utenti non dovrebbero dover configurare nuovi contratti ogni volta. Qui, però, la stessa proprietà ha consentito ulteriori sweep dei nuovi depositi senza una nuova firma. Questi sono seguiti alle 20:41, 21:04, 22:39 e 23:56 UTC, tra gli altri. Binance 14 ha revocato la delega solo alle 00:10 UTC del 30 ottobre 2026 — quasi quattro ore dopo.

Attraverso il wallet compromesso, gli attaccanti hanno anche istruito un altro wallet di Binance e ne hanno prosciugato 823 milioni di USDC. Secondo TRM, questo secondo wallet è uno smart account separato. In totale, secondo i conteggi di TRM, Binance ha perso 3,79 miliardi di dollari su Ethereum.

La corsa contro i congelamenti degli stablecoin

Stablecoin come USDT, USDC e RLUSD hanno un emittente centrale che può congelare singoli indirizzi. Bitcoin ed Ether mancano di tale autorità, quindi solo un exchange che congela i fondi in arrivo o autorità con accesso alle chiavi possono fermarli. Eppure Tether e Circle hanno congelato i primi indirizzi solo circa un'ora dopo l'inizio dei deflussi.

Secondo Elliptic, gli attaccanti hanno scambiato 434 milioni di USDT in 160.451 ETH tramite Uniswap, 1inch e market maker, accettando uno sconto del 12-26% sotto il prezzo di mercato — il che, per Elliptic, indica che la velocità era prioritaria rispetto al valore. Al momento dei primi congelamenti, circa 786 milioni di dollari in stablecoin si erano già spostati in ETH e TRX.

Un secondo wallet dell'attaccante si è rivolto anche al protocollo di prestito Aave. Ha depositato 59,9 milioni di USDT come garanzia e preso in prestito 19.762 ETH per circa 44 milioni di dollari. Di conseguenza, gli USDT congelabili ora si trovano nel pool di Aave, mentre gli ETH sono rimasti all'attaccante. Aave ha congelato i mercati interessati per precauzione e li ha successivamente riaperti; le posizioni rimangono pienamente garantite.

Su Tron, gli attaccanti hanno scambiato 234 milioni di USDT su SunSwap in 638 milioni di TRX. Secondo Elliptic, il principale wallet di riciclaggio ha eseguito 546 trasferimenti TRX a un intervallo mediano di 96 secondi. Nella sua analisi, Chainalysis classifica il pattern di transazioni su Tron come automatizzato: molti indirizzi ricevono prima esattamente 1 TRX, poi l'importo che successivamente inoltrano. Elliptic, tuttavia, non può giudicare se agenti AI abbiano un ruolo.

TRM stima la parte non congelabile in circa 2,4 miliardi di dollari in Bitcoin ed Ether. Includendo XRP e TRX ai prezzi attuali, Elliptic arriva a 3,21 miliardi di dollari. Il bitcoin è distribuito su 19 indirizzi tramite una peel chain e non ha ancora raggiunto alcun servizio. Gli analisti si attendono quindi ponti, servizi di swap e desk OTC come fase successiva.

I controlli che gli exchange devono aggiungere

Le raccomandazioni di TRM mirano esattamente a questi punti deboli. Gli exchange dovrebbero rifiutare le autorizzazioni EIP-7702 a meno che non le prevedano, e trattare le richieste di molte autorizzazioni su un intervallo di nonce come segno di compromissione. TRM raccomanda inoltre di separare l'infrastruttura di firma e i percorsi di approvazione per catena e livello di wallet. Sui wallet di tesoreria, qualsiasi delega è un allarme immediato, perché un indirizzo che non dovrebbe contenere codice ne porta improvvisamente.

In Binance, secondo l'exchange, la delega non è passata attraverso le approvazioni normali, e la revoca è arrivata solo dopo quasi quattro ore. Proprio per questo scenario, TRM consiglia un processo di revoca testato e pre-approvato. Anche il vicepresidente di Immunefi Simone Imbrescia vede la debolezza nel livello operativo, poiché l'attacco ha richiesto poco codice on-chain.

Binance non ha ancora svelato il punto di accesso iniziale. L'exchange mantiene i prelievi sospesi, prevede una riapertura graduale e sta ristrutturando il proprio sistema di prelievi. Oltre al rapporto sulla causa principale, punta anche a un report proof-of-reserves per il 2 novembre 2026.

Basato su un servizio di Crypto Valley Journal.