Synthetix ha recuperato gli SNX rubati nell'hack da 6,3 miliardi di dollari ai danni di Binance, mentre l'attaccante ha involontariamente bloccato circa 8 milioni di token Newton (NEWT) in un contratto senza alcun modo di rilasciarli. I due episodi rientrano tra almeno nove mosse distinte contro il bottino del più grande exploit nella storia delle criptovalute — e insieme delineano i limiti di ciò che può e non può essere recuperato on-chain.

Almeno nove mosse contro un unico bottino

Binance ha confermato che circa 6,3 miliardi di dollari sono stati rubati nell'incidente, un importo più di quattro volte superiore all'hack da 1,5 miliardi di dollari subìto da Bybit a febbraio 2025, che fino ad ora era il più grande. Diversi investigatori hanno collegato l'attacco all'unità TraderTraitor della Corea del Nord, mentre Binance ha imputato la responsabilità al laptop compromesso di un ingegnere DevOps.

Finora, quasi 3 miliardi di dollari dei fondi rubati sono stati congelati o bloccati sulle varie blockchain, con gli emittenti di stablecoin centralizzate responsabili degli importi maggiori. Tether ha inserito in blacklist circa 1,77 miliardi di dollari in USDT, e Circle ha fatto lo stesso con circa 825 milioni di USDC.

Ripple ha congelato 40,5 milioni degli 88,5 milioni di RLUSD trasferiti, e World Liberty Financial ha bloccato 27,8 milioni di USD1. Il Security Council di Arbitrum ha usato i poteri d'emergenza per isolare 30,5 milioni di dollari in ETH e ARB, mentre il DEX aggregator 1inch ha bloccato gli indirizzi dell'exploit dalle sue app, dal wallet e dalle API.

L'elenco mostra come la risposta a un exploit moderno ora procede in parallelo su diversi livelli dello stack — gli emittenti di token a livello di contratto, un security council DAO a livello di protocollo e una front-end di trading a livello applicativo — anziché attraverso un unico interruttore di emergenza.

Perché una admin key decide tutto

Gli emittenti di stablecoin — in particolare quelle centralizzate — detengono una funzione di blacklist o una admin key, una capacità presente anche nei token di alcuni protocolli come Arbitrum. La funzione consente a un emittente o a un DAO di controllo di congelare o invertire un trasferimento prima che raggiunga la destinazione prevista.

Gli asset nativi come Ether (ETH) di Ethereum e Bitcoin (BTC) non hanno emittenti né interruttori di spegnimento, il che significa che generalmente si spostano senza che alcuna società o DAO possa fermarli. Altri token sono immutabili per design: non possono essere congelati, ma possono comunque andare persi se finiscono in un luogo da cui non possono mai più spostarsi. Se un token disponeva di tale interruttore è stato deciso nel codice al momento del deploy — ed è proprio per questo che questo sforzo di recupero si è diviso così nettamente lungo quella linea.

Reserve si è scontrata esattamente con quel limite. Dopo che l'attaccante ha spazzato via circa 3,4 miliardi del suo token RSR, il team ha scritto su X che nessuno — incluso il progetto stesso — poteva congelare i token, perché RSR non ha admin key. I token congelabili vengono fermati; i token immutabili svaniscono solo per incidente o per design.

Il claw-back di Synthetix e la gaffe dell'hacker

Synthetix ha dichiarato che il suo protocolDAO ha recuperato gli SNX sottratti a Binance e li ha trasferiti nel Safe multisignature del DAO. L'importo recuperato è di circa 8,4 milioni di dollari. Secondo il DAO, Binance è stata avvisata e i token saranno restituiti su richiesta. Il recupero è avvenuto tramite la governance del protocollo stesso anziché tramite una blacklist di un emittente, concludendosi con un canale diretto di restituzione con l'exchange.

The SNX stolen from Binance has been recovered by the Synthetix protocolDAO. The tokens are secured in the protocolDAO Safe and will be sent back to Binance on request. We have notified Binance. Fuck Kim Jong Un.

— Synthetix ⚔️ (@synthetix) October 30, 2026

I token Newton, nel frattempo, sono sopravvissuti grazie a un errore dello stesso attaccante. La Newton Foundation ha dichiarato su X che il ladro ha inviato circa 8 milioni di NEWT direttamente all'indirizzo di contratto dello stesso token, insieme ad altri 17 token, tra cui ANIME.

NEWT è un token ERC-20 su Ethereum con una supply fissa di 1 miliardo. Poiché i token sono stati inviati a un indirizzo di contratto privo di una funzione per rilasciarli, sono di fatto rimasti bloccati — circa 3,5 milioni di dollari in NEWT che ora sono fuori dal controllo dell'attaccante. L'episodio rispecchia il caso RSR dal lato opposto: la stessa immutabilità che lì ha impedito qualsiasi congelamento qui impedisce qualsiasi recupero.

I 2,86 miliardi di dollari che nessuno può toccare

L'attaccante sta convertendo asset congelabili in asset che non possono essere bloccati. I malviventi hanno raccolto circa 158,25 milioni di dollari vendendo altcoin come AAVE, LINK e PEPE, per poi convogliare i proventi in ETH.

In un'altra operazione riportata, l'attaccante ha fornito 60 milioni di USDT ad Aave e preso in prestito circa 19.762 ETH contro di essi — una transazione avvenuta appena 41 minuti prima che Aave congelasse il mercato. Quella finestra è stata sufficiente per consentire all'attaccante di portare via gli ETH mentre le stablecoin congelabili rimanevano indietro come collateral.

Secondo il tracking di Arkham e Lookonchain, asset per 2,86 miliardi di dollari dei fondi rubati si trovano ora in token privi di funzione di congelamento: 1,09 miliardi di dollari in ETH, 1,41 miliardi in BTC e 682,9 milioni in TRX.

Con una quota così grande del bottino ormai fuori dalla portata degli emittenti, le leve rimanenti si riducono al tracciamento on-chain del tipo svolto da Arkham e Lookonchain, e ai punti di strozzatura in cui le criptovalute rubate incontrano gli exchange e gli altri canali di uscita.

Binance ha sospeso depositi e prelievi e dichiara che coprirà le perdite degli utenti tramite il fondo SAFU e i fondi aziendali. Il co-CEO Richard Teng ha scritto su X: "Il vostro denaro è al sicuro e copriremo ogni perdita".