Binance: possibile uso improprio delle chiavi, non furto secondo Blockaid

Ido Ben-Natan ha dichiarato:

“La nostra valutazione preliminare indica un uso improprio delle chiavi: gli aggressori sembrano aver ingannato o compromesso il sistema di firma per autorizzare transazioni dannose senza estrarre la chiave privata sottostante.”

Secondo il cofondatore e amministratore delegato di Blockaid, l’attacco multimiliardario subito da Binance potrebbe non essere stato il risultato di una semplice fuga di chiavi private, ma piuttosto di una manipolazione dell’infrastruttura di firma utilizzata per autorizzare le transazioni.

La ricostruzione iniziale, basata sull’analisi delle attività on-chain e sull’esperienza del team con attacchi simili, parla di un possibile “key misuse” in cui il sistema incaricato di firmare le operazioni viene indotto ad accettare trasferimenti malevoli pur mantenendo intatte le chiavi private.

Nonostante le ipotesi investigative, Binance non ha ancora fornito una conferma definitiva sul meccanismo che ha permesso agli autori dell’intrusione di sottrarre oltre 2,5 miliardi di dollari in criptovalute, il più grande furto informatico nella storia del settore.

Miguel Morel ha detto:

“Al momento le informazioni non sono sufficienti per stabilire con certezza se l’attacco sia stato causato da chiavi rubate o da un’infrastruttura compromessa. Da quanto osserviamo, l’attività sospetta sembra ancora in corso.”

Analisi tecnica e deleghe di portafoglio

Nell’analisi on-chain diffusa dal team di sicurezza, viene segnalata l’esistenza di una transazione che aggrega cinquanta autorizzazioni EIP-7702 in un’unica operazione diretta verso un account etichettato come Binance 14. Tra queste autorizzazioni, almeno una corrispondeva al nonce richiesto dall’account, rendendo così valida l’intera transazione.

Lo standard EIP-7702 consente a un account di delegare l’esecuzione a codice di smart contract; in questo caso il conto compromesso risulta delegato a un contratto di tipo sweeper non verificato che permetteva a un operatore designato di drenare token ed Ether.

Secondo la ricostruzione, l’operazione potrebbe aver coinvolto più dispositivi compromessi e movimenti interni alla rete dell’exchange, anche se questa ipotesi resta da confermare dalle indagini forensi.

Confronto con l’attacco a Bybit

Quando gli è stato chiesto se la tecnica sospettata ricordasse l’assalto subito da Bybit a febbraio 2025, Ido Ben-Natan ha affermato:

“Le somiglianze sono molto, molto marcate.”

Nel caso di Bybit, gli aggiornamenti forensi pubblicati in seguito rivelarono che gli aggressori avevano compromesso le credenziali di uno sviluppatore di Safe, ottenendo accesso all’infrastruttura del fornitore di portafogli e inducendo i firmatari a approvare una transazione malevola. Anche in questo episodio gli investigatori riconobbero elementi associabili ad attività sofisticate tipicamente attribuite a gruppi statuali.

Ido Ben-Natan ha osservato che lo schema operativo riscontrato ricorda azioni collegate a gruppi informatici della Corea del Nord, soprattutto per il grado di preparazione e la sequenza coordinata delle mosse on-chain.

Implicazioni di mercato e per la custodia degli asset

L’attacco evidenzia i limiti delle soluzioni custodiali centralizzate e la superficie di rischio associata a infrastrutture di firma complesse: anche senza furto diretto delle chiavi private, la compromissione dei sistemi che autorizzano le operazioni può avere conseguenze catastrofiche.

Sul fronte dei mercati, episodi di questa portata generano volatilità nelle valute digitali correlate agli exchange coinvolti e aumentano il premio per il rischio percepito dagli investitori istituzionali. Questo può tradursi in maggiori richieste di trasparenza, audit indipendenti e misure di segregazione dei compiti all’interno delle piattaforme di scambio.

Le autorità di regolamentazione europee e nazionali potrebbero intensificare i controlli sulle pratiche di custodia e richiedere requisiti più stringenti sulle procedure di signing, con un impatto potenziale sui costi operativi degli exchange e, in prospettiva, sui servizi offerti agli utenti.

Prospettive investigative e recupero fondi

Le indagini richiederanno la collaborazione tra specialisti forensi on-chain, team di sicurezza degli exchange e, quando possibile, autorità giudiziarie internazionali per tracciare i flussi di token e bloccare gli indirizzi coinvolti. Il successo nel recupero dei fondi dipenderà dalla rapidità di intervento e dalla cooperazione tra piattaforme e regolatori.

Nel frattempo, gli operatori del mercato sono chiamati a riesaminare le proprie architetture di firma, privilegiando approcci multi-firma, separazione dei ruoli e controlli di integrità sui dispositivi di firma per ridurre la probabilità di simili compromissioni in futuro.

In sintesi

• Un’incertezza tecnica sul metodo di compromissione aumenta la percezione di rischio nei confronti degli exchange centralizzati, potenzialmente spingendo capitali verso soluzioni di custodia decentralizzata o servizi con audit indipendenti.
• I costi di compliance e sicurezza potrebbero salire per le piattaforme che vogliono mantenere la fiducia degli investitori, con possibili ricadute sui prezzi dei servizi e sulle commissioni per gli utenti.
• Per gli investitori italiani, la vicenda sottolinea l’importanza di diversificare l’esposizione alle criptovalute e di preferire intermediari che adottino pratiche di governance e controlli operativi robusti.