Un aggressore ha sottratto circa 6,36 miliardi di dollari dai wallet di Binance distribuiti su dieci reti, nel più grande furto di criptovalute mai registrato. L’attività è iniziata il 29 ottobre e, secondo TRM Labs, la maggior parte del denaro è stata trasferita in circa 20 minuti. Binance afferma che i fondi dei suoi utenti sono al sicuro e si è impegnata a coprire le perdite.
L’indagine non ha ancora stabilito pubblicamente chi abbia eseguito l’attacco né come abbia ottenuto l’accesso. Binance ha dichiarato che l’analisi iniziale indicava il laptop compromesso di un ingegnere DevOps, ma in seguito ha individuato altri punti di intrusione. L’azienda non ha attribuito responsabilità ad alcun dipendente e sostiene di non aver trovato prove della divulgazione delle chiavi private dei suoi wallet.
Dieci reti e una falla nel sistema di firma
I trasferimenti hanno coinvolto i wallet di Binance su reti come Ethereum, Bitcoin, Tron, XRP Ledger e Solana, oltre a Arbitrum, Avalanche, Optimism, Base e Polygon. TRM stima che il valore degli asset trasferiti fosse di circa 6,36 miliardi di dollari al prezzo di ciascun token al momento del furto; ai prezzi successivi, la cifra scendeva a circa 6,23 miliardi.
La prima spiegazione di Binance si è concentrata su un laptop compromesso che avrebbe permesso all’aggressore di accedere a un container di servizio e inviare transazioni di prelievo non autorizzate. Tuttavia, il fatto che wallet su reti diverse e con sistemi di firma differenti abbiano prodotto transazioni valide ha indotto TRM a ipotizzare un accesso più ampio: all’infrastruttura che firma le operazioni dei wallet caldi di Binance.
TRM ha descritto un meccanismo specifico su Ethereum. L’aggressore avrebbe usato un’autorizzazione EIP-7702 per fare in modo che un wallet caldo eseguisse un contratto sotto il suo controllo e inviasse i fondi a un altro indirizzo. La firma era stata preparata in anticipo; in seguito, l’aggressore è tornato a trasferire i fondi arrivati su quel wallet. Sulle altre blockchain, gli asset sono stati trasferiti tramite normali transazioni firmate.
Su X, il co-CEO di Binance, Richard Teng, ha respinto l’ipotesi di un’operazione semplice basata sui permessi di una sola persona: «non è stata un’azione con un solo clic», ha dichiarato, descrivendo un processo di attacco più complesso. Binance ha revocato l’autorizzazione dell’indirizzo interessato e sospeso temporaneamente depositi e prelievi mentre effettua controlli di sicurezza.
Fondi congelati e attribuzione di TRM
Binance ha comunicato che sono stati congelati circa 3 miliardi di dollari degli asset coinvolti. TRM stima il totale in circa 2,7 miliardi, compresi i fondi immobilizzati dagli emittenti di stablecoin e dal consiglio per la sicurezza di Arbitrum. Le cifre riflettono diversi momenti del monitoraggio: TRM ha fissato la propria stima intorno alle 00:30 UTC del 30 ottobre.
Tether, Circle, Ripple e World Liberty Financial hanno congelato le stablecoin collegate al furto. Anche il Consiglio per la sicurezza di Arbitrum è intervenuto per sottrarre alla portata dell’aggressore 8.426 ETH e 74,6 milioni di ARB. Ciononostante, TRM stima che l’aggressore conservi oltre 420.000 ETH e 18.270 BTC, per un valore approssimativo di 2,4 miliardi di dollari, oltre a quantità minori di altri asset.
Per convertire una parte dei fondi, l’aggressore ha venduto USDT a operatori di mercato e ha utilizzato Aave per prendere in prestito ETH fornendo USDT come garanzia. TRM osserva che questi movimenti hanno permesso di scambiare asset congelabili con altri che un emittente non poteva bloccare. La società prevede che il monitoraggio proseguirà attraverso servizi di scambio, bridge cross-chain e operatori over-the-counter, anche se si tratta di una previsione basata su furti precedenti, non di una conferma di movimenti futuri.
TRM attribuisce l’attacco a TraderTraitor, un gruppo nordcoreano, sulla base di informazioni raccolte on-chain e off-chain. Binance, invece, sta ancora collaborando con le forze dell’ordine per confermare l’identità dei responsabili e non ha avallato pubblicamente tale attribuzione. TRM ha collegato il gruppo anche al furto di Bybit del febbraio 2025, del valore di 1,5 miliardi di dollari, che finora era al primo posto tra i furti di criptovalute noti.
«L’indagine non ha attribuito responsabilità a nessuna persona. Finora non abbiamo trovato prove della divulgazione di chiavi private di alcun wallet.»
— Richard Teng, co-CEO di Binance
Binance promette di coprire le perdite
Oltre ad affermare che i fondi degli utenti sono al sicuro, Binance ha accantonato oltre 6,34 miliardi di dollari di fondi propri per far fronte all’incidente. L’azienda ha indicato che 5 miliardi di tale importo sono già detenuti negli stessi tipi di token coinvolti. Dispone inoltre del fondo di riserva SAFU, valutato circa 1,3 miliardi di dollari nell’ultima stima, destinato a proteggere gli asset degli utenti in situazioni di questo tipo.
L’azienda prevede di pubblicare un’analisi tecnica dettagliata al termine dell’indagine e dopo aver verificato i fatti. Ha inoltre dichiarato che aggiornerà la propria prova delle riserve una volta conclusi gli interventi correttivi. Per ora, la domanda centrale resta come l’aggressore sia riuscito a far firmare transazioni sotto il proprio controllo ai wallet di dieci reti.
Fonti: The Verge, PC Gamer, TechCrunch, TRM Labs
