Binance ha integralmente ripristinato i circa 6,34 miliardi di dollari in criptovalute rubati durante la violazione della sicurezza del 29 ottobre, mentre le autorità statunitensi hanno ottenuto l'autorizzazione del tribunale a sequestrare o vincolare oltre 1,2 miliardi di dollari degli asset rubati, collegati agli hacker nordcoreani.

L'exchange ha completato la sostituzione degli asset dei clienti interessati il 12 novembre, attingendo a fondi aziendali, riserve di emergenza e risorse assicurative per coprire le perdite. È stato inoltre pubblicato un nuovo snapshot delle Proof of Reserves che copre 198 criptovalute, anche se la sua completa verifica crittografica è ancora in sospeso.

Il ripristino arriva due settimane dopo che gli aggressori hanno prelevato circa 6,3 miliardi di dollari dagli hot wallet di Binance, provocando restrizioni di emergenza sui prelievi e una delle più grandi operazioni coordinate di congelamento degli asset nella storia delle criptovalute. La risposta si è sviluppata su due fronti—il risarcimento dei clienti finanziato dalla tesoreria e il congelamento degli asset da parte di più agenzie—una combinazione diventata comune nel modo in cui settore e forze dell'ordine gestiscono i più grandi furti del settore.

Binance completa il ripristino degli asset, i prelievi restano limitati

Binance ha finanziato la sostituzione degli asset rubati attraverso il suo Secure Asset Fund for Users (SAFU)—il fondo assicurativo di emergenza istituito nel 2018—insieme all'eccedenza di capitale del suo fondo assicurativo futures e alla tesoreria aziendale. Circa il 98% degli asset interessati era già stato ripristinato all'inizio del mese, mentre la parte restante era costituita principalmente da criptovalute meno liquide che richiedevano acquisti aggiuntivi tramite mercati spot e transazioni over-the-counter.

Le disclosure delle proof-of-reserves sono diventate una prassi industriale diffusa dopo il crollo di FTX alla fine del 2022, quando i principali exchange hanno iniziato a pubblicare attestazioni crittografiche affinché i clienti potessero confermare che i loro saldi fossero coperti. Lo snapshot delle riserve del 12 novembre copre 198 token ed è progettato per consentire ai clienti di verificare che le loro disponibilità siano garantite almeno in rapporto 1:1. Tuttavia, la prova a conoscenza zero completa non era disponibile quando Binance ha annunciato il ripristino. La sua generazione richiedeva altre 40-50 ore, il che significa che la verifica indipendente dell'ultimo snapshot restava pendente.

Binance si è anche impegnata a ripristinare il SAFU a circa 1 miliardo di dollari dopo aver attinto al fondo di emergenza. I prelievi continuano a riaprire a fasi, anziché tornare alla piena disponibilità su tutte le reti supportate. I prossimi traguardi del recupero includono la pubblicazione della prova a conoscenza zero completata e il ritorno alla piena disponibilità dei prelievi su tutte le reti supportate.

L'exchange ha sottolineato che la sostituzione degli asset dei clienti è distinta dal recupero delle criptovalute rubate, che resta soggetto alle ongoing attività di tracciamento blockchain e alle azioni delle forze dell'ordine.

Gli Stati Uniti congelano 2,7 miliardi di dollari collegati agli hacker nordcoreani

Il Dipartimento di Giustizia statunitense ha ottenuto l'autorizzazione del tribunale a sequestrare o vincolare oltre 1,2 miliardi di dollari in asset Binance rubati il 12 novembre. Tale importo fa parte di oltre 2,7 miliardi di dollari congelati tramite sforzi coordinati che hanno coinvolto investigatori federali, exchange di criptovalute e altri partner del settore privato. Le ordinanze del tribunale non stabiliscono che alcuno dei fondi sia già stato restituito a Binance. Le operazioni di congelamento di questo tipo sono diventate un primo passo di routine nei grandi casi di furto di criptovalute, sebbene convertire le ordinanze del tribunale in asset restituiti possa richiedere anni di procedimenti legali.

L'FBI aveva precedentemente attribuito l'attacco all'operazione TraderTraitor della Corea del Nord—un programma che le agenzie statunitensi tracciano pubblicamente dal 2022—che ha sfruttato sistemi interni compromessi per avviare trasferimenti non autorizzati su più blockchain. L'indagine preliminare di Binance ha ricondotto l'intrusione a dispositivi di dipendenti compromessi, credenziali rubate e all'accesso alla sua infrastruttura di firma dei wallet. Gli aggressori hanno anche sfruttato il meccanismo di autorizzazione EIP-7702 di Ethereum, una funzionalità introdotta con l'aggiornamento Pectra di maggio 2025 della rete che consente ai wallet standard di agire temporaneamente come smart contract, per spostare fondi indipendentemente dai normali sistemi di prelievo dell'exchange.

Gli operatori nordcoreani hanno continuato a tentare di riciclare i proventi tramite bridge, mixer ed exchange di criptovalute; gli investigatori statunitensi e delle Nazioni Unite hanno ripetutamente collegato tali campagne di furto al finanziamento statale. I precedenti sforzi di recupero hanno incluso la messa in sicurezza da parte di Arbitrum di circa 30 milioni di dollari in asset Binance rubati, soggetti all'approvazione di governance prima di qualsiasi rilascio.

Il DOJ smantella una truffa nordcoreana separata da 400 milioni di dollari

Gli investigatori statunitensi hanno inoltre smantellato una separata campagna nordcoreana di ingegneria sociale nota come FaceStealer, responsabile del furto di oltre 400 milioni di dollari in criptovalute nei 18 mesi precedenti. L'operazione utilizzava account di messaggistica compromessi, videochiamate fraudolente e deepfake generati dall'IA per ingannare i professionisti delle criptovalute inducendoli a installare malware.

Gli aggressori impersonavano frequentemente contatti fidati prima di introdurre finti problemi tecnici durante le videochiamate, persuadendo le vittime a scaricare software dannosi che fornivano l'accesso ai loro computer e alle loro holdings in criptovalute.

L'FBI ha sequestrato l'infrastruttura cloud a supporto della campagna e ottenuto più di 900 video webcam delle vittime con un mandato federale, combinando il sequestro dell'infrastruttura con la strategia di vincolo degli asset applicata nell'indagine principale sull'hack. Gli investigatori stanno anche esaminando i tentativi di compromettere gli sviluppatori che mantengono software open-source, il che avrebbe potuto dare agli aggressori accesso a repository software ampiamente utilizzati e ai loro utenti.