Il 3 novembre Binance ha pubblicato il suo primo resoconto dettagliato della breccia del 29 ottobre che ha interessato circa 6,34 miliardi di dollari in asset digitali, rivelando che gli attaccanti hanno impiegato mesi a costruire l'accesso prima di raggiungere l'infrastruttura di firma dei wallet dell'exchange. L'exchange di criptovalute ha indicato l'ingegneria sociale, il compromesso degli endpoint e l'uso improprio delle capacità di autorizzazione delle transazioni di Ethereum come cause dell'incidente.

L'azienda ha dichiarato che l'operazione ha combinato finti colloqui di lavoro, malware e il compromesso di strumenti AI interni. Circa 2,85 miliardi di dollari sono stati congelati o intercettati, il 98% dei token interessati è stato reintegrato e i prelievi sono ampiamente ripresi, secondo Binance.

— Binance (@binance) November 3, 2026

Nel rapporto, Binance ha dichiarato di pubblicare il resoconto completo perché le lezioni dell'incidente vanno oltre l'exchange stesso. Il resoconto è notevole per il percorso che descrive: l'accesso al sistema di firma dei wallet è stato costruito attraverso gli endpoint del personale, i flussi di assunzione e gli strumenti interni, anziché un attacco diretto ai wallet stessi — una sequenza che Binance ha definito rilevante per l'intero settore.

L'attacco è iniziato mesi prima del furto di 6,34 miliardi di dollari

Secondo Binance, l'intrusione è iniziata a giugno, quando un neoassunto ingegnere Wallet DevOps ha scaricato un pacchetto software modificato durante l'installazione di uno strumento di coding AI. L'exchange ha rilevato l'incidente, ha ruotato le credenziali e ha sostituito il dispositivo, ma l'attaccante aveva già acquisito informazioni su come l'ingegnere lavorava sull'infrastruttura dei wallet e sugli altri membri del team.

L'ingegnere è stato nuovamente preso di mira a settembre tramite un legittimo sito di ricerca di lavoro. L'attaccante si è spacciato per un recruiter, ha spostato il processo in un colloquio video e ha poi chiesto all'ingegnere di scaricare un compito di programmazione. Secondo Binance, un malware incorporato nel repository è stato eseguito durante l'installazione e ha scritto sul computer di lavoro del dipendente.

Lo strumento AI interno è diventato parte del percorso d'attacco

Binance ha dichiarato che gli attaccanti hanno quindi utilizzato il dispositivo impersonato e lo strumento AI per accedere ai sistemi di altri due ingegneri. Entro il 20 ottobre, avevano individuato un token per il deployment di container in possesso di un dipendente Wallet DevOps. Utilizzando le credenziali rubate, gli attaccanti hanno lanciato un container e inviato codice malevole nell'ambiente wallet di Binance il 29 ottobre.

Gli hacker hanno successivamente avuto accesso a un servizio interno di firma dei wallet, aggirando la tipica procedura di prelievo dell'exchange.

Gli attaccanti hanno sfruttato EIP-7702 per continuare a spostare criptovalute

Diverse reti sono state interessate dalla breccia. Secondo il rapporto, l'attaccante ha svuotato cinque hot wallet di Binance — i wallet connessi a internet che gli exchange utilizzano per i trasferimenti quotidiani — per un totale combinato di 233,46 milioni di XRP. Ulteriori trasferimenti hanno spostato 970.503 SOL e 44,2 milioni di OP, seguiti da trasferimenti di 18.270 BTC.

L'EIP-7702 è una funzionalità di Ethereum che consente la delega dei diritti di esecuzione da un account a uno smart contract, e Binance ha dichiarato che gli attaccanti l'hanno sfruttata. L'indagine dell'azienda ha rilevato una manipolazione malevola dei nonce — la alterazione dei numeri di sequenza che Ethereum utilizza per ordinare le transazioni di un account — su 50 transazioni di firma.

Secondo il rapporto, le autorizzazioni malevole non sono state rimosse dopo la sospensione dei prelievi, perché la sospensione dei prelievi non era un'opzione in grado di fermare istantaneamente tutti i trasferimenti. La configurazione dei wallet Multi-Party Computation ha ulteriormente complicato la risposta, poiché non esisteva una singola chiave privata utilizzabile per revocare rapidamente le autorizzazioni malevole.

Binance congela 2,85 miliardi di dollari e reintegra il 98% dei token

Circa 6,34 miliardi di dollari in asset digitali sono stati interessati, secondo il co-CEO di Binance Richard Teng. Oltre 2,85 miliardi di dollari sono stati congelati o intercettati con l'assistenza delle forze dell'ordine, degli emittenti dei token e delle aziende di intelligence blockchain, secondo il dirigente.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance si è impegnata ad assorbire le perdite dell'incidente anziché trasferirle sugli utenti. Entro il 31 ottobre, gli asset in token corrispondenti al 98% delle partecipazioni impattate erano stati reintegrati, mentre i restanti asset meno liquidi erano in fase di acquisto.

L'exchange ha successivamente ricostruito i sistemi wallet e gli strumenti AI interni coinvolti nell'incidente, ha sostituito i dispositivi compromessi, ha revocato le credenziali e ha aggiunto un rilevamento comportamentale delle anomalie basato sull'AI. Secondo la cronologia di Binance, restano ancora in sospeso: il 2% finale della reintegrazione dei token, l'acquisto dei restanti asset meno liquidi e il lavoro di recupero continuo con le forze dell'ordine, gli emittenti dei token e le aziende di intelligence blockchain sui fondi non ancora congelati o intercettati.

Fonte: CryptoNinjas