Attacco hacker a Binance da 6,3 miliardi di dollari, metà già bloccata

Binance, la più grande piattaforma di scambio di criptovalute per volumi giornalieri, ha confermato di aver subito un attacco informatico con un impatto stimato di circa 6,3 miliardi di dollari. Circa 3 miliardi risultano già congelati sulle blockchain con l'aiuto di partner esterni. L'attacco è partito intorno alle 21.20 ora italiana di giovedì 29 ottobre e ha colpito il principale hot wallet Ethereum dell'exchange, cioè il portafoglio sempre connesso alla rete che la piattaforma usa per gestire i prelievi.

La società ha dichiarato che coprirà tutte le perdite con il fondo di emergenza SAFU e con risorse proprie, impegno ribadito su X dalla co-fondatrice e co-amministratrice delegata Yi He. Due società statunitensi di analisi blockchain, TRM Labs e Chainalysis, attribuiscono il colpo al gruppo nordcoreano TraderTraitor. Se la stima verrà confermata, sarebbe il furto più grande mai registrato nel settore, circa quattro volte il miliardo e mezzo sottratto a Bybit nel febbraio 2025.

Come è entrato l'attaccante e perché solo una parte dei fondi si può bloccare

Secondo i primi risultati dell'indagine interna diffusi da Binance, il punto d'ingresso sarebbe il portatile compromesso di un ingegnere DevOps, la figura che gestisce rilascio e funzionamento dell'infrastruttura software. Da lì l'attaccante avrebbe raggiunto un container di servizio (un ambiente isolato che esegue una funzione interna della piattaforma) e inviato transazioni di prelievo non autorizzate. Binance afferma di non aver trovato prove di una fuga delle chiavi private dei wallet. TRM Labs calcola che circa 6,36 miliardi di dollari siano usciti dai portafogli dell'exchange su dieci blockchain, in gran parte nell'arco di una ventina di minuti.

Il congelamento funziona solo su alcuni token. Tether e Circle, che emettono le stablecoin USDT e USDC (criptovalute ancorate al dollaro), possono inserire un indirizzo in una lista nera prevista dal contratto del token e impedire così che i fondi si muovano, un meccanismo spiegato nella nostra guida su come funzionano le stablecoin ancorate al dollaro. Changpeng Zhao, co-fondatore di Binance che ha lasciato la guida dell'azienda nel novembre 2023 e ne resta azionista, è stato il primo a parlare pubblicamente di attacco e ha ringraziato i due emittenti per blocchi da circa 971 e 823 milioni di dollari. L'amministratore delegato di Tether, Paolo Ardoino, ha poi portato la cifra a oltre 1,567 miliardi di USDT, mentre Circle ha indicato più di 800 milioni di USDC.

Ether e gli altri asset nativi delle blockchain non hanno un meccanismo equivalente, e una parte delle stablecoin era già stata convertita in ETH prima dei blocchi. TRM Labs dichiara di avere un'alta fiducia nell'attribuzione e cita alcune somiglianze con attacchi precedenti, tra cui la preparazione di lungo periodo e firme di transazione ottenute in anticipo. Lo stesso gruppo era stato indicato dall'FBI come responsabile del furto a Bybit in un avviso pubblico del febbraio 2025, che lo collega a operazioni del governo nordcoreano.

Prelievi sospesi, rimborsi promessi e cosa resta da chiarire

Dopo l'attacco Binance ha sospeso i prelievi e, secondo i suoi primi aggiornamenti, anche i depositi. Alle 5.17 ora italiana di venerdì Yi He ha scritto che i prelievi dovrebbero riprendere entro 48 ore e che i depositi funzionano regolarmente, una versione diversa da quella delle comunicazioni precedenti della società. Binance ha annunciato un rapporto tecnico dettagliato a indagine conclusa. Sul mercato bitcoin è sceso verso i 77.000 dollari e il token BNB ha perso l'8%, secondo i dati riportati da Cointelegraph.

Il SAFU è il fondo che Binance mantiene dal 2018 per risarcire gli utenti in caso di incidenti. Da febbraio la piattaforma sta convertendo in bitcoin 1 miliardo di dollari di riserve in stablecoin destinate al fondo, una somma inferiore ai circa 3,3 miliardi non ancora bloccati. La società non ha detto come dividerà la copertura tra SAFU e casse proprie. Le parole di Zhao, che ha scritto di aspettarsi un rimborso completo, restano l'opinione di un azionista e non hanno valore di impegno formale.

Restano da confermare diversi punti. La cifra di 6,3 miliardi è una stima della stessa Binance, e il co-fondatore e amministratore delegato di Chainalysis, Jonathan Levin, parla di 6,4 miliardi. L'attribuzione alla Corea del Nord viene da società private di analisi e non da autorità di governo, e nessuno ha rivendicato l'attacco. Non è chiaro quanta parte dei 3,3 miliardi non congelati sia ancora tracciabile, né in che orario riprenderanno i prelievi. Per le tecniche di intrusione usate da questi gruppi c'è la nostra analisi sugli attacchi informatici nordcoreani contro sviluppatori e piattaforme crypto.