Secondo un rapporto pubblicato da SEAL (Security Alliance), un organismo di sicurezza crypto guidato dal settore, gli hacker hanno operato per settimane nei sistemi interni di Binance prima di portare a termine l'exploit alla base di quella che viene descritta come la più grande rapina di criptovalute della storia.

Binance, il più grande exchange di criptovalute al mondo, sta indagando su una violazione della sicurezza dopo che i dati on-chain hanno mostrato miliardi di dollari in asset digitali in movimento dai wallet collegati alla piattaforma verso nuovi indirizzi esterni. Le stime parlano di un totale superiore ai 6 miliardi di dollari, che ne farebbe il più grande attacco crypto della storia, ben al di sopra del furto ai danni di Bitget, finora l'incidente più grave del 2026.

Secondo la società di intelligence blockchain Arkham, gli hacker detenevano oltre 5,7 miliardi di dollari in asset rubati a Binance, tra cui:

• 1,5 miliardi di dollari in Bitcoin (BTC)
• 900 milioni di dollari in Ether (ETH)
• circa 1,5 miliardi di dollari in Tether (USDT)
• oltre 800 milioni di dollari in USD Coin (USDC)

MILESTONE | Binance Gets Hacked in the Largest Crypto Exploit in History #Binance, the world's largest cryptocurrency exchange, is investigating a security breach after on-chain data showed billions of dollars in digital assets moving from wallets linked to the platform to newly created external addresses. Reports put the figure at over $6 billion making it the largest ever crypto attack in history. According to blockchain intelligence firm, #Arkham, the hackers held over $5.7 billion stolen from Binance including: $1.5 billion in $BTC $900 million in $ETH ~$1.5 billion in $USDT Over $800 million in $USDC Details: #BinanceHack #CryptoHack #CryptoHacks2026 #CryptoMilestone — BitKE (@BitcoinKE) October 30, 2026

Nel suo rapporto, SEAL ha dichiarato che l'intrusione in Binance è probabilmente iniziata con un malware distribuito tramite un colloquio di lavoro fraudolento rivolto al dispositivo di uno sviluppatore. Ha inoltre messo in guardia dal confondere TraderTraitor con un altro cluster di hacker nordcoreani, Contagious Interview, che utilizza esche di reclutamento simili ma tattiche diverse. Questa distinzione ha un peso pratico: poiché entrambe le campagne raggiungono il personale tramite offerte di lavoro false, esaminare attentamente i reclutatori e le aziende alle loro spalle è la verifica più diretta contro questo tipo di intrusione.

Il gruppo è stato collegato anche ad attacchi che coinvolgono LayerZero, Bitget e AFX. SEAL ha documentato circa sei settimane di accesso all'interno di LayerZero, tre settimane presso AFX e almeno 24 giorni di accesso all'infrastruttura di Bitget prima di un furto eseguito il 24 settembre. All'epoca si riferiva che Bitget avesse perso oltre 350 milioni di dollari in quell'incidente, il più grande attacco hacker alla criptovaluta del 2026 fino ad allora.

Il rapporto ha identificato diverse presunte false società di reclutamento utilizzate nelle campagne, tra cui CitaLab, BitFit e Oddium, un dettaglio che sottolinea come queste campagne abbiano preso di mira le persone e i processi di assunzione piuttosto che violare direttamente la crittografia.

SEAL ha dichiarato che le operazioni di TraderTraitor si sono contraddistinte per ricognizione prolungata, spostamenti laterali tra i sistemi aziendali e abuso di infrastrutture di firma legittime, piuttosto che per il furto diretto delle chiavi private. Questa distinzione è importante per i difensori: le intrusioni che spostano fondi attraverso canali legittimi di firma e approvazione possono assomigliare a operazioni di routine, una delle ragioni per cui SEAL avverte che il dispositivo compromesso di un dipendente può rimanere inosservato per settimane.

Ha esortato le società crypto a rafforzare il monitoraggio dei dispositivi degli sviluppatori, delle credenziali cloud, dei sistemi di prelievo e dei prodotti di sicurezza di terze parti, avvertendo che la compromissione del dispositivo di un dipendente può rimanere non rilevata per settimane.

Negli incidenti esaminati, SEAL ha rilevato che il gruppo ha fatto affidamento sull'ingegneria sociale a tema reclutamento come metodo di accesso iniziale, con intrusioni perduranti per settimane prima che qualsiasi fondo venisse spostato. Con l'indagine di Binance ancora in corso, gli sviluppi da monitorare includono le conclusioni dell'exchange su come l'accesso è stato mantenuto, ulteriori movimenti on-chain degli asset rubati — che società come Arkham hanno finora tracciato attraverso i dati blockchain — e l'adozione più o meno ampia da parte degli exchange del monitoraggio raccomandato da SEAL dei dispositivi degli sviluppatori, delle credenziali cloud e dei sistemi di prelievo.