Il furto e la risposta di Binance
Il 29 ottobre, da Binance, il più grande exchange di criptovalute del mondo, sono stati sottratti 6,34 miliardi di dollari in asset digitali. Secondo il Wall Street Journal, la prima ondata di trasferimenti si è concentrata in circa venti minuti; alcune operazioni si sono completate dopo ore.
Il furto, attribuito dall’FBI agli hacker nordcoreani del gruppo TraderTraitor, ha messo alla prova la promessa fondamentale delle piattaforme crypto: custodire patrimoni enormi in sistemi accessibili e trasferibili da qualsiasi parte del mondo. Gli aggressori hanno sfruttato computer di dipendenti compromessi, strumenti aziendali e autorizzazioni della blockchain per svuotare una serie di portafogli collegati alla rete.
Binance ha risposto impegnando risorse proprie. Nel comunicato del 4 novembre sostiene di aver reintegrato il 98 % degli asset sottratti, accantonando risorse per coprire l’intero ammontare. In parallelo, circa 2,85 miliardi di dollari rubati sono stati congelati o intercettati: sono due operazioni diverse. Il primo dato misura i fondi che Binance ha rimesso a disposizione dalle proprie risorse; il secondo riguarda i beni bloccati lungo il percorso dei ladri. La società afferma che la perdita sarà sostenuta da Binance e non dagli utenti.
Il risultato è imponente, ma apre la questione centrale per il futuro del settore: che cosa succede quando un exchange non ha miliardi da mobilitare? Nelle banche esistono requisiti patrimoniali, vigilanza e sistemi collettivi di garanzia. Per le criptovalute la protezione dipende dal tipo di intermediario, dalla sua solidità, dalle responsabilità previste dalla legge e dalla possibilità concreta di recuperare gli asset rubati.
Le otto fasi del furto
Preparazione – fase 1
Un ingegnere Wallet DevOps scarica una versione alterata di Homebrew. Binance rileva l’anomalia e sostituisce il dispositivo, ma gli aggressori hanno ricavato informazioni sui ruoli tecnici.
Difesa da rafforzare: verifica dell’origine dei pacchetti e isolamento degli ambienti di sviluppo dai sistemi che amministrano asset.
Preparazione – fase 2
Un secondo ingegnere partecipa a colloqui video con falsi selezionatori e scarica sul computer aziendale un esercizio di programmazione contenente malware.
Difesa da rafforzare: protezione delle postazioni aziendali dall’esecuzione di codice ricevuto in selezioni e colloqui.
Accesso interno – fase 3
Dalla postazione compromessa gli intrusi abusano di uno strumento AI aziendale, raggiungono altri sistemi e trovano un token utile alla distribuzione di container. Il ruolo dello strumento è descritto da Binance; i dettagli tecnici sono ancora oggetto di indagine.
Difesa da rafforzare: privilegi minimi e separazione degli accessi degli strumenti AI interni.
Accesso interno – fase 4
Secondo la cronologia di Binance, gli aggressori usano il computer di un terzo ingegnere e credenziali sottratte a un collega per distribuire un container e avviare uno script.
Difesa da rafforzare: protezione delle credenziali di distribuzione e approvazioni indipendenti per le operazioni sui wallet.
Furto – fase 5
Partono i trasferimenti verso indirizzi controllati dagli aggressori: 233,46 milioni di XRP tra le 20:05 e le 20:09 UTC; l’attacco coinvolge poi altri portafogli e asset, fino a 6,34 miliardi di dollari sottratti secondo Binance.
Difesa da rafforzare: limiti automatici sui trasferimenti, verifiche dei destinatari e controlli prima della firma.
Furto – fase 6
Gli aggressori sfruttano la funzione di delega EIP‑7702 e fanno approvare 50 autorizzazioni con nonce differenti: alcune operazioni on‑chain possono proseguire dopo lo stop ai normali prelievi.
Difesa da rafforzare: revoca delle deleghe on‑chain e limiti al potere dei servizi di firma.
Contenimento – fase 7
Binance blocca i prelievi ordinari, coordina il congelamento di parte degli asset e disattiva la delega Ethereum coinvolta. La cronologia tecnica riporta una transazione confermata alle 23:56 e la revoca alle 00:10 UTC del 30 ottobre.
Difesa da rafforzare: un piano di risposta che agisca sulle firme, sulle autorizzazioni blockchain e sugli emittenti dell’establecoin.
Dopo il furto – fase 8
Binance dichiara di aver reintegrato il 98 % degli asset sottratti con risorse proprie e fondi interni. Circa 2,85 miliardi di dollari del bottino risultano congelati o intercettati; i prelievi degli utenti riprendono per gruppi di token.
Difesa da rafforzare: capacità finanziaria di assorbire perdite, trasparenza delle riserve e continuità di accesso dei clienti ai fondi.
Dettagli tecnici e implicazioni per il settore
La porta d’ingresso è stata costruita con pazienza. A giugno un ingegnere del gruppo Wallet DevOps aveva scaricato un’installazione contraffatta di Homebrew dopo una ricerca online, mentre voleva installare un diffuso strumento di programmazione assistita dall’AI. Il reparto sicurezza rilevò l’anomalia, sostituì il computer e rinnovò le credenziali. Gli aggressori avevano però acquisito indicazioni utili sui ruoli all’interno del gruppo che gestiva i portafogli.
A settembre, un secondo ingegnere è stato adescato da sedicenti selezionatori su una piattaforma professionale autentica. Dopo colloqui video con interlocutori falsi, gli è stato chiesto di scaricare sul computer di lavoro un archivio con un esercizio di programmazione. Il codice comprendeva malware, mascherato da componente legittimo dello strumento di sviluppo. L’attacco ha così superato il livello tecnico facendo leva su una relazione di fiducia.
Il 20 ottobre gli intrusi, secondo Binance, hanno utilizzato uno strumento interno basato sull’intelligenza artificiale come tramite per raggiungere altre postazioni e individuare un token che consentiva di distribuire container, cioè ambienti software isolati. Il 29 ottobre, fra le 17:15 e le 19:56 UTC, sono entrati nel computer di un terzo ingegnere e hanno usato le credenziali ottenute per attivare il codice malevolo. La ricostruzione disponibile descrive un abuso degli accessi allo strumento AI; non documenta che un agente AI abbia deciso autonomamente come rubare i fondi.
Il bersaglio finale era il servizio che autorizza e firma le transazioni dei portafogli online di Binance, detti “hot wallet”. Questi portafogli servono per gestire rapidamente la liquidità e i prelievi degli utenti. Quando il sistema interno ha iniziato a produrre operazioni apparentemente valide ma impartite dagli intrusi, le monete sono uscite verso indirizzi esterni senza passare dal consueto iter di richiesta del cliente.
Le prime operazioni documentate dall’exchange sono avvenute fra le 20:05 e le 20:09 UTC: 233,46 milioni di XRP sono stati trasferiti da cinque hot wallet. Sono poi usciti asset da altri portafogli, tra cui circa 970.500 SOL, 44,2 milioni di OP e 18.270 bitcoin. Secondo Elliptic, i prelievi illeciti hanno interessato undici blockchain: una velocità e una simultaneità che hanno reso difficilissimo fermare tutto con una sola misura.
Su Ethereum gli hacker hanno sfruttato la funzionalità EIP‑7702, introdotta con l’aggiornamento Pectra del 2025. Permette a un normale portafoglio di delegare a un contratto intelligente alcune funzioni, autorizzandole con una firma. Binance riferisce che gli aggressori hanno ottenuto 50 autorizzazioni firmate per aggirare le variazioni di un contatore tecnico, il nonce, e far accettare la delega malevola. Il problema non era una sottrazione diretta della chiave privata: i sistemi dell’exchange avevano reso possibile la firma di comandi utili agli intrusi.
Il caso evidenzia che il tradizionale “pulsante di emergenza” – bloccare i prelievi – è risultato insufficiente. È necessaria una risposta integrata che includa:
- monitoraggio in tempo reale di anomalie sui wallet hot
- revoca immediata di deleghe on‑chain
- isolamento dei tool AI da operazioni sensibili
- politiche di privilegio minimo per tutti gli accessi interni
- audit continui dei pacchetti software installati
In conclusione, il mega furto Binance non è solo una notizia sensazionale, ma un campanello d’allarme per l’intero ecosistema crypto. La capacità di un exchange di coprire le perdite è un fattore di rischio cruciale per gli utenti, ma la protezione reale dipende da pratiche di sicurezza operative, da una governance trasparente e da regole di vigilanza più stringenti. Solo così le criptovalute potranno avvicinarsi a un livello di fiducia comparabile a quello del sistema bancario tradizionale.