Il maxi-furto alla più grande piattaforma crypto al mondo potrebbe essere opera del gruppo nordcoreano TraderTraitor, già accusato dell’attacco a Bybit. TRM Labs e Chainalysis parlano di un’operazione da record. Binance promette di coprire tutte le perdite e mette a disposizione oltre 6,34 miliardi di dollari.
Un attacco informatico senza precedenti scuote il mercato delle criptovalute. Binance, il più grande exchange di criptovalute al mondo per volumi di scambio, è stato colpito da un cyberattacco che avrebbe provocato il trasferimento illecito di circa 6,4 miliardi di dollari in asset digitali. Un’operazione che, se confermata nelle dimensioni ricostruite dalle società di analisi blockchain, rappresenterebbe il più grande furto di criptovalute mai registrato.
I principali sospetti si concentrano sulla Corea del Nord. Due importanti società specializzate nell’analisi delle transazioni blockchain, TRM Labs e Chainalysis, hanno infatti attribuito l’attacco al gruppo TraderTraitor, una struttura di hacker nordcoreani già collegata al clamoroso furto da circa 1,5 miliardi di dollari ai danni di Bybit, avvenuto nel febbraio 2025.
L’attribuzione non costituisce ancora una conferma ufficiale da parte delle autorità investigative, ma gli elementi raccolti dagli analisti vengono considerati particolarmente significativi.
Nel frattempo, Binance ha annunciato di aver predisposto oltre 6,34 miliardi di dollari di risorse aziendali per garantire il rimborso delle eventuali perdite degli utenti.
Hacker nordcoreani dietro il colpo a Binance: cosa hanno scoperto TRM Labs e Chainalysis
Secondo l’indagine di TRM Labs, il 29 ottobre 2026 sarebbero stati sottratti circa 6,36 miliardi di dollari dai wallet di Binance distribuiti su dieci diverse blockchain.
La parte principale dell’operazione si sarebbe concentrata in una finestra temporale estremamente ridotta: circa 20 minuti, a partire dalle 16:05 secondo l’orario della costa orientale degli Stati Uniti.
Chainalysis ha stimato il valore complessivo del furto in circa 6,4 miliardi di dollari, individuando un elemento particolarmente importante per ricostruire la responsabilità dell’attacco: la commistione dei fondi sottratti a Binance con quelli provenienti dall’exploit subito da Bitget il mese precedente.
Quest’ultimo episodio era già stato associato da precedenti analisi ad attori nordcoreani.
Anche la società di intelligence blockchain Pangolin Intelligence, secondo quanto riportato dalla CNN, ritiene che dietro l’operazione possa esserci un’unità hacker legata a Pyongyang.
La somiglianza con precedenti attacchi, le modalità di movimentazione delle criptovalute e le tracce lasciate sulla blockchain costituiscono alcuni degli elementi utilizzati dagli investigatori per formulare l’attribuzione.
TraderTraitor, il gruppo già accusato del furto da 1,5 miliardi a Bybit
Il nome TraderTraitor è già noto nel settore della cybersecurity e delle criptovalute.
Il gruppo è stato associato dalle autorità statunitensi all’attacco contro Bybit del febbraio 2025, quando furono sottratti circa 1,5 miliardi di dollari in Ethereum.
In quell’occasione, l’FBI attribuì l’operazione a hacker nordcoreani, evidenziando il ruolo di Pyongyang nelle attività di sottrazione e riciclaggio di criptovalute.
Il nuovo attacco a Binance presenta caratteristiche operative che, secondo TRM Labs, ricordano quelle osservate in precedenti operazioni riconducibili alla Corea del Nord.
Un ulteriore elemento riguarda il finanziamento del wallet operativo utilizzato dagli aggressori attraverso Tornado Cash, un protocollo di miscelazione delle criptovalute che può rendere più complessa la ricostruzione dei flussi finanziari.
Gli analisti hanno inoltre individuato attività preparatorie iniziate ben prima del furto vero e proprio.
La Corea del Nord ha ripetutamente respinto le accuse di coinvolgimento in operazioni di hacking.
Come è stato violato Binance: il ruolo della vulnerabilità EIP-7702
Uno degli aspetti più preoccupanti dell’attacco riguarda la tecnica utilizzata per sottrarre i fondi.
Secondo la ricostruzione di TRM Labs, sulla rete Ethereum gli aggressori avrebbero sfruttato la funzionalità EIP-7702, introdotta con l’aggiornamento Pectra.
Questa funzionalità consente a un normale wallet di delegare alcune operazioni a codice eseguito tramite smart contract.
Gli hacker avrebbero utilizzato il meccanismo per trasformare un hot wallet di Binance in uno strumento di trasferimento automatico dei fondi sotto il loro controllo. Prima dell’esecuzione dell’attacco sarebbero state predisposte 50 autorizzazioni firmate in anticipo.
Sugli altri nove network coinvolti, invece, i trasferimenti sarebbero avvenuti attraverso normali transazioni autorizzate.
La dinamica suggerisce una possibile compromissione dell’infrastruttura utilizzata per autorizzare le operazioni degli hot wallet, piuttosto che una semplice violazione delle chiavi private.
Binance, nelle prime comunicazioni, aveva indicato come possibile punto di ingresso il computer portatile compromesso di un ingegnere DevOps. L’accesso avrebbe consentito all’aggressore di raggiungere un service container e inviare transazioni di prelievo non autorizzate.
Il 30 ottobre, tuttavia, la società ha comunicato di aver individuato ulteriori punti di compromissione.
Il co-CEO Richard Teng ha precisato che non si sarebbe trattato semplicemente dell’utilizzo delle autorizzazioni di un singolo dipendente né di un attacco eseguito con un’unica operazione. L’indagine è ancora in corso e Binance ha dichiarato di non aver attribuito responsabilità individuali.
Riciclaggio delle criptovalute: congelati circa 3 miliardi di dollari
Dopo il furto, gli aggressori avrebbero avviato una complessa operazione per rendere più difficile il recupero degli asset.
Chainalysis ha segnalato schemi di riciclaggio particolarmente sofisticati, caratterizzati da migliaia di transazioni concentrate in un breve periodo. La velocità e la ripetitività dei movimenti suggerirebbero l’impiego di sistemi automatizzati per trasferire ripetutamente i fondi tra diversi indirizzi.
Secondo TRM Labs, gli hacker avrebbero inoltre venduto USDT a operatori di mercato e utilizzato le stablecoin come garanzia per ottenere ETH attraverso il protocollo di prestito decentralizzato Aave.
L’obiettivo sarebbe stato convertire rapidamente una parte degli asset sottratti in criptovalute difficilmente congelabili dagli emittenti.
La collaborazione tra Binance, società di analisi blockchain ed emittenti di stablecoin ha comunque permesso di bloccare una parte consistente dei fondi.
Tra i soggetti coinvolti nelle operazioni di congelamento figurano:
Tether, emittente della stablecoin USDT;
Circle, società che gestisce USDC;
Ripple, attiva nell’ecosistema degli asset digitali;
World Liberty Financial, operatore del settore stablecoin;
Arbitrum, attraverso il proprio Security Council.
Secondo gli aggiornamenti comunicati da Binance il 30 ottobre, circa 3 miliardi di dollari in asset collegati all’incidente risultavano congelati on-chain.
Il dato è ancora soggetto ad aggiornamenti, mentre una parte significativa delle criptovalute sottratte resta oggetto di tracciamento.
Binance prepara 6,34 miliardi di dollari per coprire le perdite degli utenti
La risposta dell’exchange punta soprattutto a rassicurare i clienti.
Binance ha dichiarato di aver accantonato oltre 6,34 miliardi di dollari di risorse aziendali per coprire le perdite legate all’incidente.
Di questa cifra, circa 5 miliardi sarebbero già disponibili sotto forma degli stessi token coinvolti nel furto. La parte restante verrà acquistata attraverso il mercato e operazioni over-the-counter.
La società ha precisato che queste risorse non comprendono gli asset già congelati grazie alla collaborazione con gli operatori del settore.
Il piano di copertura coinvolge anche il SAFU, il fondo di emergenza istituito da Binance per proteggere gli utenti in situazioni straordinarie.
L’exchange ha ribadito che i fondi dei clienti sono al sicuro e che intende coprire integralmente le perdite riconducibili all’incidente.
Una promessa importante, soprattutto considerando la portata economica dell’attacco e le possibili ripercussioni sulla fiducia degli investitori.
Prelievi sospesi, depositi operativi: gli ultimi aggiornamenti di Binance
Il 30 ottobre Binance ha comunicato ulteriori dettagli sulla gestione dell’emergenza.
I depositi risultano nuovamente operativi, mentre i prelievi restano temporaneamente sospesi per consentire il completamento delle verifiche di sicurezza e il rafforzamento dei sistemi di autorizzazione delle transazioni.
La società ha indicato una possibile ripresa dei prelievi entro 48 ore, subordinatamente al completamento degli interventi necessari.
Binance ha inoltre revocato le autorizzazioni associate agli indirizzi coinvolti e sta collaborando con le forze dell’ordine e con le società di intelligence blockchain per seguire il percorso degli asset sottratti.
Al termine dell’indagine, l’exchange ha promesso di pubblicare un rapporto tecnico dettagliato sull’attacco e un aggiornamento della propria Proof of Reserves, il sistema utilizzato per documentare le riserve a copertura dei saldi dei clienti.
Il precedente Bitget e la pressione crescente degli hacker nordcoreani
Il caso Binance non rappresenta un episodio isolato.
Negli ultimi anni i gruppi hacker collegati alla Corea del Nord hanno preso di mira ripetutamente exchange centralizzati, protocolli DeFi e infrastrutture utilizzate per la custodia delle criptovalute.
Il furto da 1,5 miliardi di dollari a Bybit nel 2025 aveva già evidenziato la capacità di questi gruppi di compromettere sistemi tecnologicamente avanzati, sfruttando anche vulnerabilità nella catena di fornitori e sviluppatori.
A rendere ancora più delicato il quadro è arrivata, il 28 ottobre 2026, la decisione del Dipartimento del Tesoro degli Stati Uniti di sanzionare dieci persone e un’entità per il coinvolgimento in schemi legati a lavoratori informatici nordcoreani, attraverso i quali sarebbero stati trasferiti milioni di dollari in criptovalute.
Il fenomeno è particolarmente rilevante perché le attività informatiche attribuite a Pyongyang vengono considerate una delle principali fonti di finanziamento illecito del regime.
Binance riuscirà a recuperare i 6,4 miliardi rubati?
La questione centrale, adesso, riguarda la possibilità di recuperare gli asset sottratti e impedire che vengano definitivamente riciclati.
Il congelamento di circa 3 miliardi di dollari rappresenta un risultato significativo, ma non risolve completamente il problema. Le criptovalute convertite in asset non soggetti a blocchi centralizzati possono essere molto più difficili da recuperare.
L’impegno finanziario di Binance per oltre 6,34 miliardi di dollari rappresenta una garanzia importante per gli utenti, ma non elimina le domande sulla sicurezza dell’infrastruttura interna dell’exchange.
Resta inoltre da chiarire come sia stato possibile autorizzare trasferimenti di questa portata su dieci blockchain e quali controlli non abbiano funzionato.
Se l’attribuzione a TraderTraitor dovesse essere confermata dalle autorità, il caso Binance potrebbe diventare un nuovo punto di riferimento nella storia della criminalità informatica legata alle criptovalute.
Per l’intero settore, il messaggio è evidente: anche le piattaforme più grandi e capitalizzate non sono immuni da attacchi informatici capaci di mettere in discussione la sicurezza dell’intero ecosistema digitale.
Aggiornamento: 30 ottobre 2026. Le indagini sull’attacco a Binance sono ancora in corso. Le cifre relative agli asset sottratti, congelati e recuperabili potrebbero cambiare con la pubblicazione di nuovi aggiornamenti ufficiali.
