Maxi-attacco hacker a Binance in soli 20 minuti, è il «furto del secolo»

Giovedì sera, poco dopo le 21 ora svizzera, miliardi di dollari in criptovalute hanno cominciato a lasciare i portafogli digitali di Binance, la più grande piattaforma di scambio di criptovalute al mondo. Nel giro di una ventina di minuti, wallet su dieci blockchain diverse – da Bitcoin a Ethereum, passando per Tron, Solana e XRP Ledger – hanno trasferito i loro saldi a indirizzi controllati da un unico attaccante. Il bilancio, secondo la società statunitense di analisi blockchain TRM Labs, è di circa 6,36 miliardi di dollari: il più grande furto di criptovalute mai registrato, circa quattro volte gli 1,5 miliardi sottratti all'exchange Bybit nel febbraio 2025.

Binance, dal canto suo, stima l'impatto complessivo in «circa 6,3 miliardi». «È il più grande hack della storia», ha commentato all'agenzia Reuters Aravind Srinivasan, responsabile del settore OTC sistematico del market maker GSR. Per Ari Redbord, responsabile delle politiche globali di TRM Labs, interpellato dalla BBC, si tratta di uno «spartiacque», qualcosa che il settore non aveva mai visto.

TRM Labs attribuisce l'attacco con «alta affidabilità» a TraderTraitor, l'unità d'élite degli hacker nordcoreani, sulla base di informazioni raccolte sia sulla blockchain sia al di fuori di essa. Alla stessa conclusione è giunta Chainalysis, altra società di riferimento nel tracciamento delle criptovalute: il suo amministratore delegato Jonathan Levin ha parlato di un bottino di 6,4 miliardi. Secondo la società di cybersicurezza Check Point, TraderTraitor è nota nel settore anche come Lazarus Group, la galassia di hacker legata al regime di Pyongyang.

È lo stesso gruppo che l'FBI aveva indicato come responsabile del colpo a Bybit. E le analogie, secondo TRM, sono numerose: piccoli prelievi dal «mixer» Tornado Cash – un servizio che rende difficile risalire all'origine dei fondi – per alimentare il portafoglio operativo, una preparazione iniziata con largo anticipo e firme ottenute prima del colpo ed eseguite tutte insieme. Diverso, invece, il metodo di riciclaggio osservato finora.

Binance non ha indicato alcun responsabile. «Collaboriamo strettamente con le forze dell'ordine per confermare l'identità di questi criminali e assicurarli alla giustizia», ha fatto sapere l'azienda alla BBC. La missione nordcoreana a Ginevra e l'ambasciata in Cina non hanno risposto alle richieste di commento di Reuters. In passato il regime ha sempre negato qualsiasi coinvolgimento in attacchi di questo tipo, mentre le agenzie di sicurezza occidentali sostengono che i proventi servano a finanziare i programmi nucleare e missilistico del Paese.

Secondo le prime verifiche interne, tutto sarebbe partito dal portatile compromesso di un ingegnere DevOps. «Questo ha dato all'attaccante l'accesso a un container di servizio, dal quale ha inviato transazioni di prelievo non autorizzate», ha spiegato il co-CEO di Binance Richard Teng. «Per essere chiari: l'attaccante non si è limitato a usare i permessi di un singolo ingegnere e non si è trattato di un'azione a un clic. È stato un processo d'attacco più complesso». Finora, ha aggiunto, non sono emerse prove di una fuga delle chiavi private dei portafogli. In un aggiornamento successivo, la piattaforma ha poi ammesso di aver individuato «ulteriori punti di violazione».

Come può essere stato infettato quel portatile? Raghu Nandakumara, della società di cybersicurezza Illumio, ipotizza alla BBC che l'ingegnere possa essere stato «convinto a sostenere un test», durante il quale un software malevolo si è installato sul dispositivo. Avendo già privilegi sufficienti, il laptop sarebbe diventato «la via diretta dell'attaccante verso la produzione, e da lì verso i portafogli».

La ricostruzione di TRM descrive un'operazione preparata nei minimi dettagli. Almeno 36 ore prima del furto, il portafoglio dell'attaccante ha ricevuto tre piccoli prelievi da Tornado Cash. Il codice dell'attacco è stato poi testato su alcuni portafogli di prova e, quattro ore dopo l'ultima «prova generale», installato su un hot wallet di Binance, cioè uno dei portafogli connessi a Internet che l'exchange usa per gestire i prelievi dei clienti.

Su Ethereum, l'attaccante ha sfruttato una funzione introdotta nel 2025 (EIP-7702) che permette a un normale portafoglio di affidare il proprio comportamento a un programma esterno. Ha inviato 50 autorizzazioni firmate in anticipo, così da essere certo che almeno una risultasse valida: tre minuti e 24 secondi dopo, una sola transazione ha trasferito 167.464 ether e 1,6 miliardi di USDT. Nello stesso lasso di tempo, i portafogli di Binance sulle altre blockchain hanno inviato fondi all'attaccante con normali trasferimenti firmati. Per TRM, la spiegazione più probabile è che gli hacker abbiano ottenuto il controllo del sistema con cui Binance firma le transazioni. «Questo implica che gli attaccanti non hanno più bisogno delle chiavi del caveau. Prendono di mira i sistemi e le persone che hanno l'autorità per usarle», ha osservato Jayant Dave, responsabile della sicurezza di Check Point.

Nelle ore successive è scattata una gara contro il tempo. Tether, emittente della stablecoin più diffusa, ha bloccato 971 milioni di USDT nel principale portafoglio ricevente appena 37 minuti dopo il trasferimento principale, arrivando a congelare complessivamente circa 1,77 miliardi. Circle ha bloccato circa 825 milioni di USDC, Ripple 40,5 milioni di RLUSD e World Liberty Financial – la società di criptovalute legata alla famiglia di Donald Trump – circa 28 milioni. Secondo il conteggio di TRM, i fondi congelati ammontano a circa 2,7 miliardi; Binance parla di circa 3 miliardi.

L'attaccante, però, ha corso più veloce: ha venduto in fretta parte delle stablecoin, che possono essere bloccate dagli emittenti, accettando uno sconto di oltre il 10% pur di convertirle in ether. Oggi controlla oltre 420'000 ether e 18'270 bitcoin, circa 2,4 miliardi di dollari fuori dalla portata di qualsiasi blocco. I bitcoin vengono frazionati in pezzi da 1000 e da 100 unità, una tecnica che ne rende più difficile il tracciamento. TRM si attende ora il passaggio attraverso servizi di scambio e intermediari over-the-counter.

Binance ha sospeso tutti i depositi e i prelievi e ha promesso di rimborsare integralmente i clienti. «In sintesi: i vostri soldi sono al sicuro e copriremo ogni perdita», ha assicurato Teng. Le perdite saranno coperte dal SAFU, il fondo d'emergenza della piattaforma detenuto interamente in bitcoin, e dalle casse dell'azienda: Binance afferma di aver già accantonato oltre 6,3 miliardi, di cui 5 miliardi negli stessi token sottratti. La ripresa dei prelievi è attesa entro circa 45 ore.

Anche il fondatore Changpeng Zhao è intervenuto su X: «I fondi degli utenti sono al sicuro!», ha scritto, ammettendo che l'incidente «sembra proprio un hack». Pur non gestendo più la società, «da azionista» si aspetta che tutti i fondi vengano coperti. Zhao aveva lasciato la guida di Binance nel 2023, dopo essersi dichiarato colpevole negli Stati Uniti per non aver impedito il riciclaggio di denaro sulla piattaforma; nel 2025 è stato graziato da Trump.

L'attacco riguarda Binance.com, che conta 335 milioni di utenti registrati e, secondo il suo ultimo rapporto annuale, circa 162,8 miliardi di dollari in custodia. Binance.US, piattaforma separata destinata ai residenti americani, non è stata colpita; lo stesso vale per la concorrente Coinbase. Gli esperti mettono in guardia gli utenti anche da truffe che sfruttano la situazione: e-mail allarmistiche, falsi account di assistenza o messaggi che invitano a spostare le criptovalute su un portafoglio «sicuro».

La reazione dei mercati non si è fatta attendere. Il bitcoin è sceso di oltre il 3%, ai minimi da sei settimane, sotto i 76'400 dollari. Il token BNB, legato a Binance, ha perso il 5%, mentre a Wall Street il titolo Coinbase ha ceduto il 4,8% e Strategy, grande acquirente di bitcoin, quasi il 6% nelle contrattazioni fuori orario. L'attacco «potrebbe frenare ulteriormente la propensione al rischio e spingere gli investitori a rivalutare la sicurezza degli asset detenuti sugli exchange centralizzati», osserva Tim Sun, ricercatore di HashKey Group a Hong Kong.

Il colpo riapre il dibattito sulla sicurezza dell'intero settore. Nel 2025, secondo TRM, gli hacker hanno sottratto 2,9 miliardi di dollari in criptovalute in quasi 150 attacchi, e solo a settembre l'exchange Bitget ha subito un furto da centinaia di milioni. «Se una piattaforma sofisticata come Binance può subire un attacco grave, i regolatori si chiederanno inevitabilmente cosa significhi per piattaforme più piccole e meno mature», avverte Jennifer Craven, esperta di frodi dello studio legale Pinsent Masons. Nel Regno Unito l'autorità di vigilanza finanziaria FCA e la Banca d'Inghilterra stanno monitorando le possibili ricadute.

Sullo sfondo c'è anche il timore legato all'intelligenza artificiale, anche se finora non vi sono prove che sia stata usata in questo attacco. «Sta diventando molto difficile contrastare gli hack, perché l'IA trova le vulnerabilità più velocemente di quanto si riesca a correggerle», sintetizza Bernardo Brites, CEO di Trace Finance.