Binance, furto da 6,3 miliardi di dollari: la pista nordcoreana
Il 29 ottobre 2026, Binance è stata colpita da uno dei più grandi attacchi informatici mai registrati nel settore delle criptovalute.
Sottratti asset per circa 6,36 miliardi di dollari attraverso dieci blockchain.
TRM Labs e Chainalysis indicano un gruppo nordcoreano come possibile responsabile.
Il 29 ottobre 2026, la piattaforma di scambio di criptovalute Binance ha subito un grave incidente di sicurezza che ha comportato il trasferimento non autorizzato di circa 6,36 miliardi di dollari dai propri wallet operativi.
Secondo la ricostruzione pubblicata da TRM Labs, la maggior parte dei trasferimenti è avvenuta nell’arco di circa venti minuti, a partire dalle 20:05 UTC, coinvolgendo dieci diverse blockchain.
L’episodio rappresenta, secondo la società di intelligence blockchain, il più grande furto di criptovalute mai registrato, con un valore circa quattro volte superiore ai 1,5 miliardi di dollari sottratti a Bybit nel febbraio 2025.
Binance ha confermato l’incidente, sospendendo temporaneamente depositi e prelievi per consentire le verifiche di sicurezza. L’exchange ha dichiarato che i fondi degli utenti sono al sicuro e che coprirà tutte le perdite attraverso il fondo SAFU e risorse aziendali.
La compromissione dei wallet su dieci blockchain
L’analisi di TRM Labs individua trasferimenti provenienti dai wallet Binance su Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche e Polygon.
Tra gli asset coinvolti figurano 18.270 BTC, 233,46 milioni di XRP, 970.500 SOL, oltre 200.000 ETH e ingenti quantità di stablecoin, tra cui USDT e USDC.
La ricostruzione indica che i primi trasferimenti hanno interessato XRP Ledger, seguiti da Solana, Optimism, Bitcoin, Tron ed Ethereum.
Una seconda ondata di operazioni ha successivamente coinvolto Avalanche e Polygon.
La distribuzione degli asset e la simultaneità delle operazioni costituiscono alcuni degli elementi più rilevanti dell’incidente. Secondo TRM, i wallet coinvolti utilizzavano blockchain, tipologie di chiavi e sistemi di firma differenti, ma hanno prodotto transazioni valide a favore degli indirizzi dell’attaccante in un intervallo temporale ristretto.
EIP-7702 e il controllo del wallet Ethereum
Uno degli aspetti tecnicamente più significativi riguarda l’utilizzo di EIP-7702, funzionalità introdotta nell’aggiornamento Pectra di Ethereum nel maggio 2025.
Il meccanismo consente a un normale account Ethereum di delegare l’esecuzione delle proprie operazioni al codice di uno smart contract attraverso un’autorizzazione firmata.
Secondo la ricostruzione di TRM Labs, l’attaccante avrebbe predisposto 50 autorizzazioni firmate in anticipo dal wallet operativo di Binance, indirizzandole verso uno smart contract di smistamento sotto il proprio controllo.
Le autorizzazioni erano associate a differenti valori di nonce, il contatore progressivo delle transazioni del wallet.
Preparando più firme consecutive, l’attaccante avrebbe aumentato la possibilità che almeno una risultasse ancora valida al momento dell’esecuzione.
Una delle autorizzazioni è stata accettata. Tre minuti e 24 secondi dopo, il wallet ha trasferito 167.464 ETH e 63 token, inclusi 1,615 miliardi di USDT, verso un indirizzo controllato dall’attaccante.
La delega è rimasta attiva, consentendo ulteriori trasferimenti dei fondi successivamente depositati sul wallet.
L’utilizzo di EIP-7702, tuttavia, non spiega da solo l’intera operazione. TRM ha osservato che i wallet Binance sulle altre blockchain hanno effettuato trasferimenti attraverso normali transazioni firmate.
Sulla base di questi elementi, la società ritiene che l’attaccante possa aver ottenuto la capacità di far firmare transazioni non autorizzate attraverso l’infrastruttura di firma degli hot wallet di Binance.
Le ipotesi sulla compromissione e la posizione di Binance
Nella comunicazione ufficiale del 30 ottobre, Binance ha riferito che le prime verifiche hanno individuato una possibile compromissione del computer portatile di un ingegnere DevOps.
L’accesso avrebbe consentito all’attaccante di raggiungere un service container e inviare transazioni di prelievo non autorizzate.
L’azienda ha precisato di non aver individuato evidenze di una compromissione delle chiavi private dei wallet.
Ha inoltre dichiarato di aver rilevato ulteriori possibili punti di compromissione, precisando che l’incidente ha richiesto una ricostruzione più articolata rispetto all’ipotesi iniziale.
Il co-CEO Richard Teng ha chiarito che non si sarebbe trattato semplicemente dell’utilizzo delle autorizzazioni di un singolo dipendente o di un’azione isolata.
Al momento delle comunicazioni, Binance non aveva ancora pubblicato la causa principale dell’incidente e ha annunciato la successiva diffusione di un rapporto tecnico dettagliato.
L’attribuzione a TraderTraitor e i possibili collegamenti nordcoreani
Le società di intelligence blockchain TRM Labs e Chainalysis hanno indicato il gruppo TraderTraitor come possibile responsabile dell’operazione.
TRM dichiara un elevato grado di fiducia nell’attribuzione, basandosi su informazioni raccolte attraverso l’analisi delle transazioni e fonti di intelligence esterne alla blockchain.
Anche Chainalysis ha espresso un’elevata fiducia nell’ipotesi di un coinvolgimento nordcoreano, indicando collegamenti con precedenti operazioni attribuite allo stesso gruppo.
Tra gli elementi osservati figurano trasferimenti preparatori provenienti da Tornado Cash, test del codice utilizzato nell’attacco e predisposizione anticipata delle autorizzazioni necessarie all’esecuzione delle transazioni.
Chainalysis ha inoltre segnalato che parte dei fondi sottratti a Binance sarebbe entrata in contatto con proventi di un altro attacco a un exchange di criptovalute, avvenuto il mese precedente e ampiamente attribuito ad attori nordcoreani.
Il gruppo TraderTraitor è associato all’ecosistema Lazarus ed era già stato indicato dall’FBI come responsabile del furto da 1,5 miliardi di dollari subito da Bybit nel febbraio 2025.
L’attribuzione dell’attacco Binance rimane tuttavia una valutazione delle società di intelligence blockchain e non una conclusione ufficiale delle autorità investigative.
Congelamento dei fondi e tentativi di conversione
Dopo l’individuazione dei trasferimenti, diversi operatori del settore hanno attivato misure per impedire la movimentazione degli asset.
Secondo TRM Labs, Tether ha congelato circa 1,77 miliardi di USDT, Circle circa 825 milioni di USDC, Ripple circa 40,5 milioni di RLUSD e World Liberty Financial circa 27,8 milioni di USD1.
A questi interventi si è aggiunta l’azione del Consiglio di sicurezza di Arbitrum, che ha utilizzato i propri poteri di emergenza per trasferire fuori dal controllo dell’attaccante 8.426 ETH e 74,6 milioni di ARB.
TRM ha stimato in circa 2,7 miliardi di dollari il valore complessivo degli asset congelati o sottratti alla disponibilità dell’attaccante attraverso questi interventi.
Parallelamente, l’analisi ha documentato operazioni di conversione delle stablecoin in altre criptovalute e l’utilizzo di protocolli di finanza decentralizzata.
Tra le operazioni osservate figurano la vendita di circa 325 milioni di USDT attraverso UniswapX e altri contratti, con la conversione in circa 122.300 ETH, e il deposito di circa 60 milioni di USDT su Aave per ottenere in prestito ETH.
Nella rilevazione di TRM del 30 ottobre alle 00:30 UTC, l’attaccante risultava ancora in possesso di oltre 420.000 ETH e 18.270 BTC, per un valore stimato di circa 2,4 miliardi di dollari.
Binance ha successivamente comunicato di aver collaborato con i partner del settore per congelare circa 3 miliardi di dollari di asset on-chain.
Le conseguenze e le attività di risposta
L’incidente ha evidenziato il ruolo centrale delle infrastrutture operative e dei sistemi di firma nella gestione della sicurezza degli exchange di criptovalute.
La presenza di trasferimenti non autorizzati su differenti blockchain, attraverso wallet e sistemi di firma distinti, costituisce un elemento centrale della ricostruzione tecnica.
Le raccomandazioni pubblicate da TRM riguardano in particolare il controllo delle autorizzazioni EIP-7702, la separazione delle infrastrutture di firma per blockchain e livelli di wallet, il monitoraggio delle transazioni e la verifica delle controparti nelle operazioni di grande valore.
Binance ha dichiarato di aver revocato le autorizzazioni associate agli indirizzi interessati, coinvolto le forze dell’ordine e avviato attività di collaborazione con società di intelligence blockchain e partner del settore per tracciare e recuperare gli asset.
L’azienda ha inoltre confermato l’intenzione di coprire le perdite attraverso il fondo SAFU e risorse proprie, impegnandosi a pubblicare un aggiornamento della Proof of Reserves dopo il completamento delle attività di ripristino.
L’indagine rimane aperta.
L’identità degli autori, la causa tecnica completa della compromissione e l’intera sequenza di accesso ai sistemi di Binance dovranno essere chiarite attraverso le successive verifiche e la pubblicazione dell’analisi tecnica ufficiale.
#crypto #cybercrime #cyberattack
