Dopo l'hack che ha causato perdite per circa 6,3 miliardi di dollari, i clienti di Binance possono di nuovo prelevare i propri fondi, con l'exchange che revoca gradualmente le restrizioni in più fasi. Binance stessa quantifica i deflussi netti in 3,64 miliardi di dollari, pari al 2,1 percento degli asset che detiene in custodia.

Binance opera sia come piattaforma di trading sia come custode, il che significa che i clienti lasciano i propri fondi direttamente sulla piattaforma. Questa struttura rende i deflussi un indicatore diretto della fiducia dei clienti. L'exchange conta 335 milioni di utenti registrati, e il suo ultimo proof of reserves — un'istantanea autopubblicata volta a dimostrare che i saldi dei clienti sono effettivamente coperti — mostrava asset per 171 miliardi di dollari. A fine ottobre, la maggior parte dei fondi rubati è uscita in circa 20 minuti, spingendo Binance a sospendere temporaneamente depositi e prelievi. L'FBI attribuisce l'attacco al gruppo nordcoreano TraderTraitor, mentre Binance lo definisce il più grande furto di criptovalute di sempre. Tra le 06:00 e le 15:30 UTC del giorno della ripresa dei prelievi, deflussi per 4,65 miliardi di dollari si sono contrapposti a depositi per 1,01 miliardi di dollari.

Binance riapre i prelievi in più fasi

Dall'inizio di novembre, Binance sta rilasciando i prelievi in diverse fasi. L'exchange ha prima riaperto token come Bitcoin, Ether e Dogecoin, insieme a porzioni delle stablecoin USDC e USDT. Su X, la società ha scritto: "We are taking a phased approach by prioritizing tokens based on the past week data of user demand." I token con domanda inferiore seguiranno nelle fasi successive.

Dopo la deduzione dei depositi, la finestra di misurazione lascia un deflusso netto di 3,64 miliardi di dollari. Rapportato ai 171 miliardi di dollari del proof of reserves datato 28 ottobre 2026, equivale al 2,1 percento, con la maggior parte del denaro uscita nelle prime ore. Secondo l'exchange, i depositi sono rimasti "sostanziali" mentre i prelievi si sono in seguito stabilizzati. Poiché i token con domanda inferiore attendevano ancora le fasi successive, il quadro dei flussi post-riapertura non era ancora completo.

Il fondatore di Binance Changpeng Zhao ha scritto su X: "98% choose to stay!" Matematicamente, ciò corrisponde alla quota che resta dopo un deflusso netto del 2,1 percento. Resta però chiaro se Zhao si riferisse agli utenti o ai saldi, e la cifra proviene dalla stessa azienda senza verifica indipendente.

DefiLlama conta deflussi superiori a quelli di Binance

Il provider di analisi DefiLlama, che traccia i wallet degli exchange sulla blockchain, riporta cifre più elevate. La sua dashboard mostra ora deflussi per 5,81 miliardi di dollari, rispetto ai 4,36 miliardi di dollari precedenti — un divario di circa 2,2 miliardi di dollari rispetto alla cifra dell'exchange.

Un portavoce di Binance ha definito imprecisa la cifra di DefiLlama e ha affermato che l'ultimo post dell'exchange su X è il più vicino alla verità. Secondo il portavoce, l'analisi ignora i depositi verso un nuovo hot wallet — un wallet connesso a internet che gli exchange utilizzano per i trasferimenti quotidiani — creato dallo stesso exchange. Quando un'analisi on-chain non etichetta correttamente un wallet di nuova creazione di un exchange, i trasferimenti verso di esso appaiono come deflussi anche se i fondi non lasciano mai la piattaforma. Gli estranei non possono però verificare se ciò valga in questo caso. Inoltre, le due cifre si basano su basi e date limite diverse, il che limita qualsiasi confronto diretto.

Dicembre 2022 offre un termine di confronto. All'epoca, i clienti hanno ritirato più di 3 miliardi di dollari da Binance in 24 ore, e il totale ha raggiunto circa 3,7 miliardi di dollari entro una settimana. L'attuale deflusso netto è di entità simile, anche se la cifra del 2022 conteggiava i prelievi lordi su un'intera giornata, mentre la nuova cifra è un valore netto riferito a circa nove ore e mezza. In termini percentuali i due dati non sono confrontabili, perché l'exchange gestiva allora una base di asset diversa.

Binance copre da sé il 95 percento degli asset rubati

Binance afferma di aver già sostituito il 95 percento degli asset rubati, rispetto al 90 percento riportato in precedenza. Per farlo, la società ha acquistato token per circa 6 miliardi di dollari. Il restante 5 percento riguarda token meno liquidi, la cui sostituzione richiede più tempo; il divario residuo ammonta a circa 300 milioni di dollari. A meno dello 0,2 percento dei 171 miliardi di dollari di asset, tale shortfall è relativamente contenuto.

Secondo Binance, le perdite non saranno trasferite agli utenti; la società sta invece attingendo al suo fondo di protezione SAFU — un fondo di emergenza istituito dall'exchange nel 2018 per coprire le perdite degli utenti in situazioni estreme — e ai fondi propri. Anche l'emittente di stablecoin Circle ha bloccato parte del bottino, segnalando di aver congelato più di 1,1 miliardi di dollari in USDC collegati all'incidente. L'esatto svolgimento dell'attacco resta poco chiaro, e Binance intende pubblicare un rapporto dettagliato una volta completata l'indagine.

Per i clienti, ciò che conta in ultima analisi è l'impegno dell'exchange a coprire l'intera perdita. Jay Koh, vicepresidente dell'Asia Web3 AI Association, teneva la maggior parte dei suoi fondi in un cold wallet — un archivio offline disconnesso da internet — che l'hack non ha toccato, e non ha ritirato nulla. Ha detto che "would not necessarily withdraw everything from Binance", aggiungendo che è "prudent to review exposure, diversify custody arrangements and avoid keeping more assets on any single platform than necessary."

Deflussi dagli ETF e liquidazioni seguono l'hack

Ari Redbord di TRM Labs ha commentato l'incidente: "I get why, for conservative institutional investors, this is unsettling." In un istituto finanziario, ha detto, un hack significa nomi utente e password rubati. Un hack a un exchange di criptovalute, al contrario, è "bank robbery at the speed of the internet, which creates an unstable risk profile for anyone responsible for other people's capital."

Il venerdì successivo all'hack, gli ETF spot su Bitcoin hanno registrato deflussi per 643 milioni di dollari — il massimo deflusso giornaliero di ottobre. Redbord ha quantificato le liquidazioni di posizioni leva in più di 1,3 miliardi di dollari. Entrambe le cifre riguardano l'intero mercato, non solo Binance.

I due indicatori misurano inoltre cose diverse. I deflussi dagli ETF si verificano quando gli investitori rimborsano quote di fondi negoziati in borsa, mentre le liquidazioni sono la chiusura forzata di posizioni finanziate a debito e non comportano deflussi di capitale. Le cifre quindi non sono confrontabili direttamente con i prelievi da Binance. Soprattutto, i dati confermano solo la loro vicinanza temporale all'hack; i numeri da soli non stabiliscono un legame causale.

L'FBI attribuisce l'attacco a TraderTraitor

Nel fine settimana, l'FBI ha attribuito l'attacco a TraderTraitor, il gruppo sostenuto dallo Stato nordcoreano; il venerdì, l'agenzia aveva solo dichiarato di collaborare con partner pubblici e privati. Gli investigatori hanno osservato il gruppo convertire il bottino principalmente in Ether e prevedono ulteriori attività di riciclaggio. TRM Labs aveva in precedenza attribuito l'attacco al gruppo "with high confidence", e i modelli ricordano attacchi precedenti che gli analisti attribuiscono alla Corea del Nord. Anche Rafe Pilling della società di sicurezza Sophos vede "all the hallmarks" di TraderTraitor.

Sul piano politico, l'attribuzione è meno netta. Il presidente degli Stati Uniti Donald Trump ha detto sabato: "We don't know if it's North Korea, but if it is, we'll talk to North Korea about it." Pyongyang nega da anni di condurre operazioni informatiche dirette dallo Stato, e la missione nordcoreana a Ginevra e l'ambasciata in Cina non hanno risposto alle richieste dei media.

Con 6,3 miliardi di dollari, il caso supera tutti i furti di criptovalute precedenti. Anche l'FBI ha attribuito a TraderTraitor l'hack di Bybit di febbraio 2025, del valore di circa 1,5 miliardi di dollari, rendendo l'attuale perdita circa 4,2 volte maggiore. Super inoltre il doppio del totale di tutti i furti di criptovalute nel 2025, stimati tra 2,7 e 2,9 miliardi di dollari. Le agenzie di intelligence statunitensi stimano inoltre che la Corea del Nord guadagni almeno 1 miliardo di dollari all'anno da hack di criptovalute e altri crimini finanziari. Da qui in avanti, i riferimenti da monitorare sono concreti: il rapporto post-incidente previsto da Binance e i circa 300 milioni di dollari in token meno liquidi ancora in attesa di sostituzione.

Fonte: Crypto Valley Journal — Binance gradually reopens withdrawals after the hack