Nel cuore della notte tra giovedì e venerdì, la più grande piattaforma di scambio di criptovalute al mondo è stata protagonista di un crimine informatico di scala inedita. Gli hacker hanno spostato criptovalute per un valore complessivo di 5,6 miliardi di euro, di cui circa la metà è già stata congelata. La piattaforma ha dichiarato che i fondi rimasti saranno rimborsati interamente a proprie spese, ma il caso ha acceso i riflettori su una serie di vulnerabilità interne e su un’attività criminale altamente coordinata.
Le indagini interne di Binance hanno ricostruito un attacco articolato in più fasi, che ha combinato malware installato su computer aziendali, violazioni di software interno, manipolazione di autorizzazioni per trasferimenti di valore e una raffinata campagna di ingegneria sociale. Il punto di partenza risale a, quando un dipendente, identificato come “ingegnere A”, è stato convinto a scaricare un file contaminato da un presunto collega interno.
Il primo ingresso: malware scaricato da un dipendente
Il file, apparentemente innocuo, conteneva una creatura digitale ostile in grado di aprire una porta di backdoor sul sistema dell’azienda. Non appena il codice è stato eseguito, il team di sicurezza ha individuato l’anomalia, ha sostituito il PC compromesso e ha rigenerato tutte le credenziali di accesso. Tuttavia, gli aggressori avevano già estratto informazioni sul ruolo di ingegnere A e su quello dei colleghi, preparando il terreno per ulteriori intrusioni.
Rilevamento e risposta iniziale di Binance
Il reparto security di Binance ha attuato una procedura di contenimento rapido: il dispositivo è stato isolato, i token di autenticazione revocati e una scansione forense ha confermato la presenza di un payload capace di comunicare con server di comando esterni. Nonostante la prontezza della risposta, i criminali avevano già creato una traccia digitale sufficientemente pulita da non apparire nei log standard, rendendo la loro attività quasi invisibile per settimane.
Inganno attraverso finti colloqui di lavoro
A settembre, un altro dipendente, denominato “ingegnere B”, è stato contattato tramite una piattaforma di annunci professionali da un individuo che si spacciava per responsabile di progetto di un’azienda inesistente. Il profilo fraudolento mostrava chiaramente il nome di Binance, creando un’apparenza di legittimità. Dopo un primo colloquio simulato con un finto addetto alle risorse umane, B è stato invitato a un secondo incontro con un presunto CEO.
Tecniche di ingegneria sociale con profili falsi
Durante il primo scambio, il truffatore ha condiviso un profilo social ricco di foto e video personali, instaurando un legame di fiducia con l’ingegnere. Nella seconda fase, è stato chiesto a B di scaricare un ulteriore file: il nuovo malware ha avviato una catena di operazioni non autorizzate, sostituendo uno strumento interno con una versione manipolata capace di eseguire comandi remoti. Le tracce di questa infiltrazione sono state abilmente occultate, rendendo difficile l’individuazione preventiva.
Compromissione dei wallet e furto di 5,6 miliardi di euro
Grazie alla violazione del PC di ingegnere B, gli hacker hanno ottenuto il controllo su altri due terminali, appartenenti a ingegnere A e a un terzo dipendente, “ingegnere C”, sfruttando uno strumento aziendale basato sull’intelligenza artificiale. Il 29 ottobre, le credenziali rubate sono state usate per installare un programma sul computer di C, che ha permesso l’accesso a diversi hot wallet – portafogli digitali costantemente collegati a internet. Da lì, sono stati trasferiti asset per un valore totale di 5,6 miliardi di euro, includendo grandi quantità di Ether, Bitcoin e altre monete principali.
Binance ha reagito bloccando i prelievi appena ha rilevato i movimenti anomali, ma gli aggressori hanno sfruttato un tipo di autorizzazione specializzata per Ether, indipendente dal meccanismo di sicurezza standard della piattaforma. Per neutralizzare completamente la minaccia, Binance ha dovuto richiedere ulteriori permessi, un processo che ha rallentato l’intervento. Dopo l’attacco, la società ha ricostruito l’intera architettura dei wallet, ha sostituito i dispositivi compromessi, ha rigenerato tutte le chiavi di accesso e ha potenziato i sistemi di rilevamento delle anomalie. L’FBI ha attribuito l’intera operazione a un gruppo di hacker legato al regime della Corea del Nord, una delle organizzazioni responsabili di 57 tentativi di intrusione su Binance nel 2026, tutti caratterizzati da finti colloqui, software alterati e campagne di ingegneria sociale mirate.
