Per favore, aggiungi TurboLab.it alle eccezioni del tuo Ad Blocker. Siamo un progetto no-profit, e la pubblicità è indispensabile per pagare le spese.
In alternativa, puoi sostenerci con una donazione.
Rispetteremo ogni tua scelta, e potrai sempre utilizzare il sito senza limitazioni.
Non un clic sbagliato, né un singolo dipendente distratto. Per arrivare ai 6,34 miliardi di dollari sottratti a Binance, gli aggressori hanno lavorato per mesi: hanno studiato l'organizzazione, agganciato più ingegneri con tecniche di social engineering e infilato codice malevolo nei loro computer di lavoro. Lo racconta lo stesso exchange nel rapporto di sicurezza preliminare diffuso a pochi giorni da quello che le fonti descrivono come il più grande furto nella storia delle criptovalute. Per l'FBI la firma è nordcoreana. La posta in gioco va oltre i conti di Binance: se uno dei più grandi exchange di criptovalute al mondo cade in questo modo, il punto debole non sta nella crittografia, ma nelle persone e negli strumenti interni che le circondano.
Il furto è avvenuto il 29 ottobre. Il primato precedente apparteneva a Bybit, exchange con sede a Dubai, che nel febbraio 2025 aveva perso circa 1,5 miliardi di dollari: Binance ha quindi più che quadruplicato quel record. Il tono del comunicato è insolitamente contrito: «Non sarebbe dovuto succedere, e ci scusiamo per la preoccupazione, i disagi e l'incertezza che abbiamo causato ai nostri utenti, ai partner e all'intero settore». E ancora: «Non si è trattato di una singola violazione isolata né di un semplice episodio di phishing».
Il primo tassello risale a giugno. Un ingegnere DevOps del team Binance Wallet ha scaricato un'installazione manomessa di Homebrew, il popolare gestore di pacchetti, con l'intenzione di installare un noto strumento di programmazione basato sull'AI trovato tramite un motore di ricerca. Richard Teng, co-CEO di Binance, ha parlato alla CNBC di «una versione contraffatta di uno strumento per sviluppatori» usata come esca.
L'exchange sostiene di aver individuato l'attività sospetta, sostituito il dispositivo e ruotato le credenziali. Troppo tardi, però: a quel punto il ruolo dell'ingegnere e quello dei colleghi del team infrastruttura wallet erano ormai noti agli aggressori. Secondo NPR, quella prima incursione è servita soprattutto a saggiare le difese e a imparare come funzionavano i sistemi di Binance.
A settembre è entrato in scena un copione ormai familiare a chi segue le operazioni attribuite alla Corea del Nord. Un sedicente "direttore di progetto" di un'azienda inesistente ha contattato un ingegnere software di Binance tramite una piattaforma di ricerca lavoro. Il primo colloquio, con una presunta referente HR, serviva a costruire fiducia: profili social, foto e video personali, tutto pensato per sembrare autentico.
Al secondo colloquio, con il presunto CEO su una diffusa app di chat, all'ingegnere è stato chiesto di scaricare un "compito" sul computer di lavoro. Il file conteneva codice malevolo che gli strumenti di sicurezza di Binance non hanno rilevato. «Un approccio più avanzato e ingannevole rispetto alle tecniche di social engineering viste in precedenza», ammette l'exchange.
Teng descrive due ingegneri distinti, quello di giugno e quello di settembre, e respinge l'idea di un «unico punto di cedimento rappresentato dal portatile di un dipendente».
Il 20 ottobre gli aggressori hanno usato quel computer, insieme a uno strumento di AI interno di Binance, per prendere il controllo delle postazioni di due ingegneri del team wallet. Uno dei due aveva i permessi per distribuire software in produzione.
Nove giorni dopo, il 29 ottobre, quel permesso ha aperto la strada al servizio di firma delle transazioni. Da lì gli aggressori hanno potuto autorizzare movimenti al di fuori delle normali procedure di prelievo e hanno cominciato a svuotare gli hot wallet, i portafogli che custodiscono gli asset destinati ai prelievi rapidi. I fondi sono transitati su più di 10 blockchain.
Sabato 31 ottobre l'FBI ha attribuito l'attacco a TraderTraitor, unità di hacker nordcoreana che NPR descrive come militare e sponsorizzata dallo Stato. Diverse società di tracciamento blockchain, tra cui TRM, erano arrivate alla stessa conclusione poco dopo i primi movimenti dei fondi.
Dal canto proprio, la Corea del Nord respinge le accuse.
Il contesto pesa. Gli hacker nordcoreani prendono di mira il settore crypto da quasi un decennio, e la stessa TraderTraitor è ritenuta responsabile di un altro furto da oltre 1,5 miliardi di dollari. Binance afferma inoltre di aver individuato e bloccato 57 altri casi di minacce sospettate di legami con la Corea del Nord nel solo 2026. È un numero che spiega bene la pazienza dell'operazione: basta che uno su cinquantotto vada a segno.
Binance si è impegnata a coprire tutte le perdite dei clienti e dichiara di aver già reintegrato con le proprie riserve il 98% degli asset sottratti. Sta ancora acquistando la parte restante, composta da token meno liquidi. Nel frattempo ha limitato temporaneamente alcuni prelievi e assicura di restare finanziariamente solida.
Circa 3 miliardi di dollari, quasi la metà del bottino, risulterebbero congelati grazie a Binance e a partner come Tether, Circle e Ripple, mentre Coinbase ha bloccato i trasferimenti verso i wallet compromessi. Il resto, però, è ancora nelle mani degli aggressori: riciclaggio e conversione in valuta potrebbero richiedere mesi.
Sul fronte tecnico, l'exchange ha ricostruito il sistema dei wallet colpito e lo strumento di AI interno, sostituito i dispositivi compromessi, revocato credenziali e token legati agli ingegneri coinvolti ed esteso le scansioni di sicurezza. In programma ci sono una revisione affidata a società di sicurezza esterne, un fondo per la ricerca e collaborazioni con aziende di AI per proteggere i sistemi crypto.
Il mercato ha incassato un colpo di fiducia netto ma breve, più contenuto rispetto ai grandi crolli di exchange del passato. La partita vera, però, è un'altra. Binance arriva a questo episodio con un passato ingombrante: nel 2023 si era dichiarata colpevole di aver violato le leggi statunitensi contro il riciclaggio, pagando 4,3 miliardi di dollari di sanzioni, e il fondatore Changpeng Zhao aveva scontato quattro mesi in un carcere federale prima della grazia concessa dal presidente Trump. Ora deve dimostrare che un exchange centralizzato sa proteggere i fondi anche quando l'anello debole è un ingegnere a caccia di lavoro o di un comodo tool di programmazione.
Fonti: nytimes.com, wired.com, businesstimes.com.sg
Nessuno ha ancora commentato.
