L'FBI ha attribuito formalmente l'hack da 6,3 miliardi di dollari di Binance a TraderTraitor, un'operazione di hacking collegata alla Corea del Nord, individuando centinaia di indirizzi di criptovalute legati al furto e invitando exchange, protocolli di finanza decentralizzata (DeFi) e fornitori di infrastrutture blockchain a bloccare le transazioni che coinvolgono i fondi rubati. La determinazione è stata illustrata in un avviso pubblicato il 31 ottobre, due giorni dopo che gli attaccanti avevano compromesso gli hot wallet dell'exchange spostando miliardi di dollari su più blockchain.

Circa 3 miliardi di dollari in asset colpiti sono stati nel frattempo congelati grazie alla coordinazione con gli emittenti di stablecoin e i partner blockchain. Binance, da parte sua, ha ripristinato circa il 95% degli asset interessati utilizzando riserve aziendali e fondi di emergenza, mentre si prepara a riattivare i prelievi dei clienti il 1° novembre.

Le agenzie federali tracciano il riciclaggio dei fondi rubati

Nel suo annuncio, l'FBI ha attribuito il furto del 29 ottobre a TraderTraitor, un'operazione precedentemente collegata a importanti furti di criptovalute. Il cluster è stato identificato per la prima volta negli avvisi del governo statunitense nel 2022, quando le agenzie federali lo hanno collegato al furto di circa 620 milioni di dollari dal bridge Ronin, all'epoca il più grande exploit della settore. Lavorando con i servizi segreti statunitensi e con l'IRS Criminal Investigation, gli investigatori federali hanno stabilito che gli asset rubati vengono convertiti principalmente in Ethereum, con ulteriori riciclaggi previsti attraverso exchange decentralizzati, servizi di scambio istantaneo e altre infrastrutture DeFi. Nei casi precedenti legati a TraderTraitor, le catene di riciclaggio passavano per servizi di mixing, uno schema che ha portato il Dipartimento del Tesoro statunitense a sanzionare mixer come Blender.io e Tornado Cash nel 2022.

Le agenzie hanno chiesto alle piattaforme di trading, agli operatori THORNode, ai fornitori RPC e alle società di analisi blockchain di bloccare le transazioni che coinvolgono gli indirizzi controllati dagli attaccanti identificati. L'FBI ha anche pubblicato un'ampia lista di indirizzi di criptovalute associati all'operazione, inclusi centinaia su Ethereum e ulteriori indirizzi su Bitcoin e Solana. La pubblicazione di liste di indirizzi in questo modo fornisce agli exchange e alle società di analisi un riferimento comune per lo screening, trasformando gli on-ramp centralizzati e le funzioni di congelamento degli emittenti in punti pratici di interdizione.

L'attribuzione rafforza i riscontri precedenti delle società di intelligence blockchain TRM Labs e Chainalysis, che avevano identificato schemi di transazione coerenti con le operazioni nordcoreane. I funzionari statunitensi e i monitor delle sanzioni delle Nazioni Unite avevano già valutato che il furto di criptovalute costituisce una fonte di entrate significativa per i programmi di armamento della Corea del Nord. TraderTraitor era stato implicato anche nell'attacco di febbraio 2025 a Bybit, che aveva prodotto perdite di circa 1,5 miliardi di dollari. La violazione di Binance è oltre quattro volte più grande, rendendola il più grande furto di criptovalute registrato secondo le stime attuali.

Il presidente Donald Trump ha risposto con prudenza quando gli è stato chiesto del collegamento con la Corea del Nord il 31 ottobre, affermando che la sua amministrazione stava ancora valutando la situazione. "Non sappiamo se sia la Corea del Nord, ma se lo è, ne parleremo con la Corea del Nord", ha dichiarato Trump durante le sue dichiarazioni a Mar-a-Lago.

Binance ripristina il 95% degli asset in vista della riapertura dei prelievi

Binance si è mossa rapidamente per ricostruire le riserve interessate, portando la copertura sostitutiva dall'80% del 30 ottobre al 90% il giorno successivo e a circa il 95% entro il 1° novembre. L'exchange ha confermato che dieci asset principali sono ora completamente coperti: BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD e ZEC. Il restante 5% è composto principalmente da token meno liquidi, che Binance continua ad acquisire tramite acquisti di mercato e transazioni over-the-counter.

Il ripristino si avvale del Secure Asset Fund for Users (SAFU) di Binance, del suo fondo assicurativo per i futures e della tesoreria aziendale. Il SAFU è stato istituito nel 2018 come riserva di emergenza per proteggere i fondi dei clienti in caso di carenze dell'exchange. La sostituzione delle riserve è tuttavia distinta dal recupero delle criptovalute rubate: i circa 3 miliardi di dollari congelati on-chain non sono necessariamente stati restituiti all'exchange.

I prelievi sono previsti per riprendere progressivamente tra le 06:00 e le 09:00 UTC del 1° novembre, a partire dalle reti principali tra cui Bitcoin, Ethereum, BNB Chain, Solana, Tron e XRP Ledger, secondo un annuncio della società. I depositi sono rimasti operativi durante tutto il processo di recupero.

L'indagine iniziale di Binance ha individuato un laptop di un dipendente DevOps potenzialmente compromesso e un accesso non autorizzato all'infrastruttura interna di prelievo, anche se riscontri successivi hanno rivelato ulteriori punti di compromissione. L'exchange ha dichiarato di non aver trovato prove che le chiavi private dei wallet siano state divulgare. Una spiegazione tecnica completa resta in sospeso.

Con l'attribuzione dell'FBI ormai formalizzata, l'attenzione si sposta sulla tracciatura e sull'interruzione del movimento dei fondi rubati. Gli sviluppi da monitorare includono la ripresa dei prelievi secondo il calendario il 1° novembre, l'eventuale recupero per via legale di una parte dei circa 3 miliardi di dollari di asset congelati e l'analisi tecnica post-mortem che Binance deve ancora pubblicare. L'entità dell'attacco, nonostante l'impegno di Binance ad assorbire le perdite dei clienti, sottolinea la minaccia persistente che le operazioni di hacking sponsorizzate da Stati rappresentano per le infrastrutture di criptovalute.