Il furto da oltre 6 miliardi di dollari in parte sventato

Il 29 ottobre 2026, grandi somme lasciano i portafogli attribuiti a Binance. TRM colloca i primi movimenti intorno alle 20:05 UTC e stima che gran parte dell'attività di trasferimento abbia avuto luogo in circa venti minuti. Diverse reti sono interessate. Il giorno seguente, Binance annuncia un impatto stimato di 6,3 miliardi di dollari. Questa cifra provvisoria non rappresenta necessariamente una perdita definitiva, del tutto irrecuperabile.

Come possono essere attivati i prelievi non autorizzati? Binance avanza per la prima volta la traccia del computer compromesso di un ingegnere DevOps, responsabile dei sistemi informatici. Questo accesso avrebbe permesso di raggiungere un contenitore di servizio interno, un ambiente in cui viene eseguito il software, e quindi inviare prelievi. L'azienda segnala poi altri punti di intrusione. L'infezione iniziale e la sequenza completa non vengono pubblicate. Quindi non puoi inventare un'e-mail intrappolata, un colloquio di lavoro falso o la colpa di una persona specifica.

Su Ethereum, TRM descrive una delegazione che consente a un portafoglio di eseguire codice autorizzato, deviato per spostare le sue risorse. Su altre reti, la società osserva i trasferimenti ordinari firmati. Essa considera questo come un'indicazione di compromesso dell'infrastruttura di firma. Questa è la sua analisi, separata dal bilancio ancora provvisorio di Binance. Binance dice di non aver trovato prove di perdite di chiavi private; questo non dimostra che i suoi meccanismi di autorizzazione non siano stati abusati.

I trasferimenti pubblici lasciano tracce. Gli analisti seguono gli indirizzi e avvertono gli attori in grado di intervenire. Questo monitoraggio esterno è documentato, ma l'esatto innesco dell'allarme interno a Binance rimane sconosciuto nelle fonti consultate. Nessun nome del dipendente o sistema di rilevamento preciso può essere dato come il primo ad aver scoperto l'intrusione.

Binance annuncia una sospensione temporanea dei depositi e dei prelievi durante le verifiche iniziali, nonché la revoca di un'autorizzazione relativa a un indirizzo interessato. Le informazioni successive visualizzate indicano i prelievi sospesi; questa timeline non costituisce uno stato di servizio in tempo reale. La piattaforma collabora con autorità e specialisti di blockchain. Gli emittenti, tra cui Tether e Circle, immobilizzano i token associati al furto. Binance annuncia circa 3 miliardi di dollari congelati con i suoi partner.

Congelamento non significa rimborso. I beni possono essere bloccati a un indirizzo senza essere restituiti ai loro proprietari. Non tutti possono essere bloccati allo stesso modo. Le stime degli analisti variano a seconda del tempo, delle reti coperte e dei prezzi utilizzati: non si sommano. La corsa consiste in particolare nell’intervenire prima della conversione o della dispersione dei fondi.

Chi c’è dietro l’attacco? TRM lo attribuisce con grande fiducia a TraderTraitor, un gruppo nordcoreano; Elliptic considera anche probabile il coinvolgimento della Corea del Nord. Questi sono doveri degli investigatori, non l'identificazione giudiziaria di un individuo. Binance dice che sta lavorando con le autorità per confermare l'identità dei responsabili.

Binance promette di coprire le perdite con le sue risorse e SAFU, il suo fondo di emergenza per gli utenti. Si tratta di un impegno, non di una prova dei rimborsi già effettuati. Una relazione tecnica dettagliata viene annunciata dopo l'indagine. Al 30 ottobre 2026 resta da stabilire l’intero meccanismo, l’importo definitivamente recuperato e le responsabilità.