Un laptop compromesso di un ingegnere DevOps avrebbe aperto la strada al trasferimento di 6,36 miliardi di dollari dai wallet di Binance su dieci reti blockchain. La piattaforma ha dichiarato che l'accesso ha consentito di raggiungere un container di servizio e inviare transazioni di prelievo non autorizzate, ma Richard Teng, co-CEO di Binance, ha avvertito che l'attacco è stato più complesso del semplice utilizzo dei permessi di una sola persona.
Binance non ha trovato prove della divulgazione di una chiave privata di un wallet e non ha attribuito responsabilità ad alcun dipendente. La società ha inoltre segnalato «ulteriori punti di compromissione» e ha dichiarato di continuare a raccogliere dati per ricostruire l'accaduto.
Prelievi sospesi e fondi tracciati
Il furto è avvenuto il 29 ottobre. TRM Labs stima che l'aggressore abbia trasferito circa 6,36 miliardi di dollari in asset dai wallet di Binance distribuiti su dieci blockchain. La maggior parte è stata sottratta in circa venti minuti, a partire dalle 20:05 UTC. Secondo TRM, l'incidente è così diventato il più grande furto di criptovalute mai registrato, superando di oltre quattro volte i 1,5 miliardi sottratti nell'attacco a Bybit del febbraio 2025.
Binance ha sospeso depositi e prelievi durante le verifiche di sicurezza e ha revocato l'autorizzazione dell'indirizzo interessato. RedesZone ha riferito che la piattaforma prevedeva di ripristinare i prelievi entro circa 48 ore, dopo aver rinnovato la sicurezza del servizio e degli indirizzi correlati. La società ha confermato che i depositi continuavano a funzionare normalmente; un successivo aggiornamento, riportato da The Hacker News, comunicava che i prelievi restavano sospesi mentre proseguivano la revisione e il ripristino sicuro del servizio.
La piattaforma sostiene che i fondi degli utenti siano al sicuro e ha promesso di coprire le perdite con il fondo SAFU e risorse proprie. Ha inoltre dichiarato che pubblicherà una versione aggiornata della propria prova delle riserve al termine delle operazioni di ripristino. L'impegno a coprire le perdite è di Binance: la copertura non deriva da una garanzia pubblica sui depositi, come osserva The Guardian.
Gli emittenti di asset e altri operatori delle reti hanno congelato quasi 2,7 miliardi di dollari, secondo TRM Labs. La società stima che Tether, Circle, Ripple e World Liberty Financial abbiano congelato stablecoin per un valore di circa 2,67 miliardi; anche il Consiglio di sicurezza di Arbitrum ha bloccato ETH e ARB. Le stime pubblicate sugli asset ancora sotto il controllo dell'aggressore variano: TRM calcola circa 2,4 miliardi di dollari in ETH e BTC, oltre a importi minori su altre reti.
Nel frattempo, Binance collabora con società di analisi blockchain e forze dell'ordine per seguire le tracce e recuperare i fondi. La società ha dichiarato di coordinarsi con i partner per confermare l'identità dei responsabili. Non ha ancora pubblicato un'analisi completa della causa principale.
TraderTraitor, l'attribuzione delle società di analisi
Binance non ha collegato pubblicamente l'incidente a un gruppo specifico. TRM Labs attribuisce l'attacco, con un alto grado di certezza, a TraderTraitor, un'unità di hacker nordcoreani. Secondo The Hacker News, anche Chainalysis concorda con questa attribuzione. Le società segnalano somiglianze con attacchi precedenti, tra cui la preparazione anticipata delle transazioni e il trasferimento coordinato dei fondi.
TRM descrive un accesso che ha raggiunto i wallet di Binance su diverse reti e sostiene che la spiegazione più probabile sia che l'aggressore abbia indotto l'infrastruttura di firma della piattaforma ad autorizzare operazioni su più blockchain. Su Ethereum, secondo l'analisi di TRM, l'aggressore ha predisposto 50 autorizzazioni firmate affinché una restasse valida al momento dell'esecuzione. Un hot wallet — connesso a Internet per elaborare i prelievi — ha poi inviato il proprio saldo a un indirizzo controllato dall'aggressore.
Questa analisi blockchain offre una spiegazione tecnica del trasferimento dei fondi, ma Binance non ha ancora confermato pubblicamente il meccanismo completo. La società ha precisato che l'incidente non è stato un'azione «con un solo clic» né si è limitato ai permessi di un ingegnere.
«Per essere chiari: l'aggressore non si è limitato a usare i permessi di un ingegnere e non è stata un'azione “con un solo clic”. Ha comportato un processo di attacco più complesso. La nostra indagine non ha attribuito responsabilità ad alcuna persona».
— Richard Teng, co-CEO di Binance
L'indagine è ancora in corso
Le società di analisi hanno descritto un modello di conversione diverso da quello osservato dopo altri furti. TRM afferma che l'aggressore ha venduto USDT a market maker e ha preso in prestito ETH usando USDT come garanzia su Aave, mentre gli emittenti congelavano gli asset. Chainalysis ha inoltre osservato movimenti che definisce senza precedenti, con transazioni ripetute tra indirizzi. La destinazione futura del denaro è ancora da vedere; TRM monitora i fondi e prevede che gli asset possano passare attraverso servizi di scambio, bridge cross-chain e broker over-the-counter.
Binance dichiara di aver contenuto l'infrastruttura compromessa, revocato le autorizzazioni e aggiunto controlli, oltre a rafforzare le verifiche sui sistemi interessati. La società sta collaborando con esperti interni ed esterni per ricostruire l'intera sequenza, individuare i fattori che hanno contribuito all'attacco e decidere quali misure possano impedirne il ripetersi. Nel frattempo, i prelievi resteranno sospesi finché Binance non avrà completato le verifiche e convalidato l'integrità dei sistemi interessati.
Fonti: BleepingComputer, RedesZone, The Hacker News, TRM Labs, the Guardian
