All’inizio di ottobre 2026, il principale exchange di cryptovalute al mondo ha annunciato di aver subito un furto di circa 6,3 miliardi di dollari. L’attacco, definito da Binance come “complesso”, ha coinvolto i cosiddetti hot wallet e ha messo in allarme l’intero ecosistema blockchain. In pochi giorni l’azienda ha pubblicato una serie di comunicati su X, alternando rassicurazioni sulla sicurezza dei fondi degli utenti e la promessa di coprire interamente le perdite.
Le autorità statunitensi, tra cui l’FBI, hanno rapidamente attribuito il crimine a un gruppo di hacker sostenuto dallo Stato nordcoreano, noto con il nome di TraderTraitor. Il messaggio dell’exchange ha inoltre specificato che la stima dell’impatto totale ammonta a 6,3 miliardi di dollari (circa 5,5 miliardi di euro) e che, grazie alla collaborazione con partner blockchain, sono stati congelati quasi 3 miliardi di dollari on-chain.
Dati dell’attacco: 6,3 miliardi di dollari e oltre 3 miliardi congelati
Secondo le dichiarazioni rilasciate sulla piattaforma X dedicata all’America Latina, l’importo sottratto supera di quattro volte il furto più grande registrato in precedenza, quello subìto da Bybit a febbraio 2025 (1,5 miliardi di dollari). Binance ha dichiarato di aver già bloccato 2,6 miliardi di euro di asset e di stare continuando a tracciarne altri, in collaborazione con le forze dell’ordine e con società di intelligence blockchain.
TraderTraitor e la connessione con la Corea del Nord
Le indagini condotte da TRM Labs hanno evidenziato “un alto livello di fiducia” nella tesi secondo cui l’attacco fosse opera di TraderTraitor, gruppo ritenuto parte del famigerato Lazarus Group. Il Lazarus Group è noto dal 2014 per l’attacco a Sony Pictures e da allora è stato associato a numerosi furti di criptovalute, sfruttando tecniche di phishing mirato e malware avanzato. L’FBI ha confermato la responsabilità della Corea del Nord, sottolineando che gli hacker avrebbero convertito i fondi rubati in Ethereum per poi riciclarli tramite servizi DeFi e instant swap.
Come è avvenuta l’intrusione
Le prime analisi interne di Binance indicano che la breccia è stata resa possibile da un laptop compromesso appartenente a un DevOps engineer. L’attaccante avrebbe sfruttato il dispositivo per accedere a un “service container” interno, eseguendo transazioni di prelievo non autorizzate. Binance ha precisato che non sono state rinvenute prove di fuga di chiavi private dai wallet, elemento fondamentale per escludere un furto diretto di credenziali.
Le misure adottate da Binance
Alle 00:30 GMT di venerdì, l’exchange ha sospeso temporaneamente tutti i depositi e i prelievi, avviando controlli di sicurezza e collaborando strettamente con le autorità. In un video-messaggio, il co-amministratore delegato Richard Teng ha affermato che l’azienda ha già coperto circa il 90 % dell’importo sottratto; il restante 10 % riguarda token considerati “meno liquidi”, per i quali il recupero richiederà più tempo. Binance si è inoltre impegnata a coprire interamente le perdite con fondi propri, ribadendo che “i vostri asset sono al sicuro”.
Il caso Binance rappresenta il più grande incidente di sicurezza nella storia delle criptovalute, ma dimostra anche la capacità di risposta rapida da parte degli exchange più grandi. Resta da vedere come l’investigazione evolverà e quali saranno le conseguenze per il panorama della cyber-security nel mondo blockchain.
