Indice dell'articolo

Nella serata di giovedì 29 ottobre un attaccante ha sottratto a Binance, il più grande exchange di criptovalute al mondo, asset per circa 6,3 miliardi di dollari. È il furto più consistente mai registrato nel settore, circa quattro volte quello subito da Bybit nel febbraio 2025. Le società di analisi blockchain TRM Labs e Chainalysis lo attribuiscono alla Corea del Nord.

Secondo la ricostruzione di TRM Labs, i fondi sono usciti da wallet di Binance su dieci blockchain, tra cui Ethereum, Bitcoin, Tron e Solana, la maggior parte in circa venti minuti a partire dalle 21:05 ora italiana.

L’exchange ha sospeso depositi e prelievi, ha dichiarato che i fondi degli utenti sono al sicuro e si è impegnato a coprire tutte le perdite. Userà il SAFU (Secure Asset Fund for Users), un fondo di emergenza detenuto in bitcoin, insieme a risorse proprie. Venerdì mattina i depositi funzionavano di nuovo, mentre i prelievi dovrebbero riprendere entro 48 ore.

Il punto d’ingresso: il portatile di un ingegnere

Le prime verifiche interne, comunicate da Binance sul suo account ufficiale, indicano che l’attacco potrebbe essere partito dal portatile compromesso di un tecnico DevOps, che gestisce l’infrastruttura di sviluppo e rilascio del software. Da quel computer l’attaccante avrebbe raggiunto un container di servizio e da lì avrebbe inviato prelievi non autorizzati.

Binance afferma di non aver trovato prove di una fuga delle chiavi private dei wallet. Per TRM la spiegazione più probabile è che l’attaccante sia riuscito a far firmare al sistema che gestisce gli hot wallet, i portafogli collegati a Internet usati per i prelievi dei clienti, transazioni a suo piacimento. L’exchange ha promesso un’analisi tecnica dettagliata a indagine conclusa.

Perché gli analisti puntano su Pyongyang

TRM attribuisce l’attacco a TraderTraitor, un’unità di hacker sostenuta dallo Stato nordcoreano e legata al Lazarus Group. Chainalysis è arrivata alla stessa conclusione. Binance non ha indicato alcun responsabile e nessuna autorità governativa ha finora formulato un’attribuzione ufficiale.

Lo stesso gruppo era stato indicato dall’FBI come autore dell’attacco a Bybit da 1,5 miliardi di dollari. Secondo TRM i due colpi condividono diversi elementi, tra cui una fase di preparazione iniziata almeno 36 ore prima, e l’uso di servizi che oscurano l’origine delle criptovalute per finanziare le operazioni.

Fondi congelati, ma non tutti

Gli emittenti di stablecoin, le criptovalute ancorate al dollaro che possono essere bloccate da chi le emette, sono intervenuti nel giro di minuti. Tether, Circle, Ripple e World Liberty Financial, società legata alla famiglia del presidente statunitense Donald Trump, hanno congelato i fondi finiti nei wallet dell’attaccante. Il totale bloccato è di circa 2,7 miliardi di dollari secondo TRM, mentre Binance parla di circa 3 miliardi.

L’attaccante ha però convertito rapidamente parte delle stablecoin in ether, che nessuno può congelare. Secondo TRM controlla ancora circa 2,4 miliardi di dollari in ether e bitcoin, che nelle prossime settimane potrebbero passare per servizi di scambio e intermediari per essere ripuliti.

Le reazioni dei mercati

Venerdì, nelle contrattazioni asiatiche, bitcoin ha perso oltre il 3% scendendo a 76.368 dollari, il livello più basso da sei settimane, mentre ether è sceso a 2.178 dollari. BNB, il token di Binance usato per pagarne le commissioni, ha perso il 5% nelle 24 ore.

Binance dichiara 335 milioni di utenti registrati e, secondo il rapporto annuale 2025, circa 162,8 miliardi di dollari di asset in custodia. Rispetto a queste dimensioni la perdita non pone per ora un rischio significativo di solvibilità, secondo Sean Farrell di Fundstrat Global Advisors, citato da CNBC. Una verifica concreta arriverà con la nuova prova delle riserve (proof of reserves) promessa dall’exchange.

Una lezione che va oltre le criptovalute

Per chi gestisce sistemi critici, la dinamica è più istruttiva della cifra. La catena ricostruita finora parte da un computer di un dipendente con accessi privilegiati e arriva a un servizio in grado di autorizzare trasferimenti su dieci reti diverse. Nessuna chiave privata sarebbe stata sottratta, eppure il risultato è stato lo stesso. La sicurezza di un sistema di firma dipende quindi anche da chi può inoltrargli richieste, non solo dalla segretezza delle chiavi.

TRM raccomanda di separare le infrastrutture di firma per blockchain e per livello di wallet e di trattare come segnale di compromissione qualsiasi richiesta di firme anomala. Il contesto rende il tema urgente: secondo TRM, nel 2025 sono stati rubati 2,9 miliardi di dollari in criptovalute in quasi 150 attacchi. Un singolo colpo ha appena superato il doppio di quella cifra.