Il 30 ottobre 2026 Binance ha riservato oltre 6,3 miliardi di dollari per coprire il furto crypto subìto il giorno prima. Per TRM Labs è il più grande mai registrato.
Punti chiave
- Binance userà fondi propri per rimborsare ogni perdita.
- Per TRM, dietro l’attacco c’è con alta fiducia la nordcoreana TraderTraitor.
- Una delega malevola su Ethereum ha permesso prelievi a ripetizione.
- Gli asset congelati, secondo Binance, valgono circa 3 miliardi di dollari.
Il furto crypto da 6,3 miliardi di dollari su dieci blockchain
Il colpo è partito il 29 ottobre 2026 alle 20:05 UTC e ha toccato dieci blockchain, con quasi tutte le uscite concentrate in circa 20 minuti. Lo ha ricostruito TRM Labs.
La stima di 6,36 miliardi di dollari usa i prezzi degli asset al momento di ciascun trasferimento. È circa quattro volte il furto da 1,5 miliardi subìto da Bybit nel febbraio 2025.
Su Ethereum sono usciti 3,79 miliardi di dollari: 200.630 ETH e 185 altri token. Tra questi 1,875 miliardi di USDT, 823 milioni di USDC e 88,5 milioni di RLUSD. Dalla rete Bitcoin sono partiti 18.270 BTC, circa 1,47 miliardi di dollari.
TRM ha tracciato circa 628 milioni di dollari da Tron, 296 milioni dalla XRP Ledger e 96 milioni da Solana. Arbitrum, Optimism e Base hanno perso insieme circa 39 milioni, Avalanche circa 28 milioni e Polygon circa 10 milioni. Un’altra ondata ha raggiunto Avalanche e Polygon intorno alle 23:05 UTC.
Binance ha confermato un incidente di sicurezza e sospeso i prelievi su diverse reti, assicurando che i fondi degli utenti sono al sicuro. Il 30 ottobre ha aggiunto che 5 miliardi di dollari delle riserve sostitutive corrispondono già ai token coinvolti, mentre gli acquisti del resto sono in corso.
Queste riserve non includono gli asset congelati, che restano soggetti a recupero e verifica.
Come le autorizzazioni EIP-7702 hanno permesso prelievi ripetuti
L’attacco EIP-7702 su Ethereum ha fatto eseguire a un hot wallet di Binance un codice controllato dall’aggressore, secondo TRM. EIP-7702 è una funzione di Ethereum che consente a un wallet ordinario di autorizzare uno smart contract a governarne il comportamento.
Alle 20:20 UTC l’operatore ha inviato 50 autorizzazioni già firmate, che coprivano conteggi di transazione consecutivi. Una coincideva con il conteggio corrente del wallet e ha attivato un sweeper contract, che accettava solo istruzioni dell’operatore.
Dopo un intervallo di tre minuti e 24 secondi, un primo prelievo ha spostato 167.464 ETH e 63 token, tra cui 1,615 miliardi di USDT. La delega è rimasta attiva e ha permesso altri sei prelievi man mano che arrivavano nuovi depositi.
Il wallet compromesso controllava anche un account smart separato con 823 milioni di USDC, poi congelati da Circle.
Sulle altre blockchain sono bastati normali trasferimenti firmati. TRM ritiene probabile che l’aggressore abbia ottenuto accesso all’infrastruttura di firma degli hot wallet di Binance su più catene. Binance ha detto che le prime indagini indicavano un laptop compromesso, mentre gli accertamenti successivi hanno individuato altri punti di violazione.
Il gruppo hacker TraderTraitor dietro l’attacco
TRM attribuisce l’attacco, con alta fiducia, a TraderTraitor, un’unità di hacker nordcoreana sostenuta dallo Stato. La valutazione si basa su informazioni on-chain e off-chain.
Il CEO di Chainalysis, Jonathan Levin, ha stimato che a colpire sia stato probabilmente lo stesso gruppo.
TRM fa risalire i preparativi ad almeno 36 ore prima: piccoli prelievi da Tornado Cash, codice d’attacco già installato e prove generali. Ha rilevato somiglianze con furti precedenti collegati alla Corea del Nord. L’FBI aveva attribuito all’unità l’attacco a Bybit del febbraio 2025.
Blocchi di stablecoin congelati: miliardi fermati, recupero ancora aperto
Alle 00:30 UTC del 30 ottobre TRM contava circa 2,7 miliardi di dollari congelati; Binance ha poi indicato un totale di circa 3 miliardi. Nel conteggio di TRM rientravano 2,67 miliardi in stablecoin e circa 30 milioni messi in sicurezza su Arbitrum.
Tether ha congelato circa 1,77 miliardi di USDT, Circle circa 825 milioni di USDC, Ripple 40,5 milioni di RLUSD e World Liberty Financial 27,8 milioni di USD1. Il Security Council di Arbitrum ha sottratto all’aggressore il controllo di 8.426 ETH e 74,6 milioni di ARB.
L’aggressore ha venduto circa 325 milioni di USDT tramite market maker e contratti basati sugli intenti, ottenendo circa 122.300 ETH. Ha inoltre depositato 60 milioni di USDT su Aave e preso in prestito circa 19.760 ETH. Aave ha poi congelato i mercati interessati.
Restano fuori dalla portata degli emittenti più di 420.000 ETH e 18.270 BTC, circa 2,4 miliardi di dollari. Il Bitcoin è stato frammentato con le “peel chain” per complicare il tracciamento.
Per Ari Redbord di TRM, i fondi congelati richiedono procedimenti legali di recupero. Eric Jardine, responsabile ricerca di Chainalysis, ha spiegato che le restituzioni possono richiedere mesi o anni.
Controlli su depositi e firme: le indicazioni di TRM agli exchange
Dopo il furto crypto da 6,3 miliardi, TRM raccomanda di verificare depositi e controparti rispetto agli indirizzi già identificati dell’aggressore. Suggerisce anche di monitorare i wallet di tesoreria per deleghe EIP-7702 inattese.
Consiglia inoltre di rifiutare le autorizzazioni impreviste e di separare l’infrastruttura di firma per blockchain e per livello di wallet.
Il 30 ottobre Binance ha detto di aver iniziato a recuperare gli asset coinvolti. Lavora con le forze dell’ordine e con i partner per tracciare, congelare e recuperare altri fondi.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.