Binance vittima di un maxi hack: perdite stimate a 6,3 miliardi di dollari

Binance ha stimato che l’impatto totale dell’attacco sia di circa $6,3 miliardi, mentre il valore verificato degli asset congelati è al momento di circa $3 miliardi: questa cifra potrebbe aumentare man mano che gli investigatori rintracciano ulteriori fondi.

Tra gli asset congelati figurano stablecoin e token vari, in particolare USDT, USDC, RLUSD, USD1, XUSD, USDT0, WBETH, XAUT, PAXG, USDP e ARB.

La risposta dell’exchange è evoluta nelle ore successive alla scoperta: in una prima fase Binance aveva comunicato che i depositi continuavano a funzionare, mentre i prelievi erano sospesi; in seguito la piattaforma ha temporaneamente sospeso anche i depositi per completare verifiche di sicurezza e coordinarsi con le autorità, annunciando che i prelievi dovrebbero riprendere entro 48 ore una volta risolti i problemi.

Richard Teng ha dichiarato:

“L’incidente ha coinvolto un processo di attacco più complesso e non si è trattato di una singola azione ‘one-click’. La nostra indagine non ha attribuito responsabilità a una singola persona.”

Secondo le ricostruzioni preliminari fornite dall’exchange, il punto d’ingresso sembra essere stato il computer portatile di un ingegnere DevOps compromesso, che avrebbe consentito all’attaccante l’accesso a un servizio interno e la sottomissione di prelievi non autorizzati. Gli investigatori non hanno finora trovato prove di una fuga di chiavi private dei wallet. Binance ha inoltre dichiarato che coprirà tutte le perdite utilizzando il fondo di emergenza SAFU e risorse societarie.

Attribuzione e sospetti su gruppo nordcoreano

Più società di analisi blockchain e investigatori on‑chain stanno collegando l’operazione al gruppo definito TraderTraitor, ritenuto legato alla Corea del Nord. Chainalysis e altri attori di intelligence on‑chain hanno individuato somiglianze tecniche e sovrapposizioni con attacchi precedenti attribuiti allo stesso gruppo.

Jonathan Levin ha affermato:

“È probabile che il responsabile sia il gruppo TraderTraitor; stimiamo il furto intorno a $6,4 miliardi.”

Indizi a supporto di questa ipotesi includono il fatto che fondi provenienti anche da altri exploit recenti, come quello su Bitget, risultano confluiti in indirizzi collegati dopo passaggi via THORChain, suggerendo l’azione coordinata dello stesso attore.

Ido Ben‑Natan ha spiegato:

“L’attacco presenta preparazioni on‑chain sofisticate, contratti di sweeping dei clienti e richieste di autorizzazioni multiple: elementi che ricordano operazioni attribuite alla DPRK.”

Congelamenti e azioni di custodia

Diversi emittenti di stablecoin e altre entità di infrastruttura hanno congelato asset collegati agli indirizzi coinvolti. Le misure includono interventi da parte di Tether, Circle, Ripple, World Liberty Financial e altri, che hanno bloccato movimenti per centinaia di milioni o miliardi di dollari nell’ambito delle procedure di tracciamento e coordinamento con le forze dell’ordine.

Jeremy Allaire ha annunciato:

“Circle ha congelato oltre $800 milioni in USDC in coordinamento con le autorità competenti e continuerà a supportare le indagini.”

Paolo Ardoino ha scritto:

“Abbiamo congelato più di $1,567 miliardi in USDT collegati all’incidente. La protezione dell’ecosistema e dei nostri partner è la priorità.”

Tra le azioni tecniche, il Arbitrum Security Council ha eseguito una transazione per congelare fondi per circa $30,5 milioni (74,6 milioni di ARB e 8.425 ETH), trasferendoli in un wallet intermedio bloccato: tali fondi non potranno più essere movimentati dall’indirizzo originario se non con ulteriori atti del Consiglio o con un voto della governance del Arbitrum DAO.

First Digital ha confermato di aver congelato FDUSD coinvolti e ha dichiarato che collaborerà con Binance e gli investigatori per proteggere i detentori di FDUSD.

Effetti su mercati e piattaforme decentralizzate

La notizia ha avuto impatto immediato sui prezzi: Bitcoin è sceso vicino a $77.000 (-4,9% in 24 ore), BNB ha perso circa l’8% e Ether è sceso di circa il 5,7%. Anche token DeFi come AAVE e UNI hanno registrato cali significativi.

Per quanto riguarda la decentralizzazione del trading, alcuni analisti ritengono che l’evento possa accelerare la migrazione verso gli exchange decentralizzati (DEX). Standard Chartered ha indicato che una maggiore fiducia verso DEX come Uniswap potrebbe favorire questi protocolli nel medio‑lungo termine, citando anche la crescita del rapporto DEX‑to‑CEX osservata nelle analisi di mercato.

Geoffrey Kendrick ha affermato:

“L’hack di un grande exchange centralizzato è un motivo in più per considerare una maggiore allocazione verso DEX; Uniswap non ha subito exploit analoghi su larga scala.”

Impatto sulle infrastrutture e attività di lending

Protocolli di lending decentralizzato hanno preso misure cautelari: Aave ha congelato mercati su diverse versioni V3 e V4 dopo che un indirizzo collegato ha depositato 60 milioni in USDT e preso in prestito 19.762 WETH (circa $44,6 milioni), azione poi non seguita da ulteriori interazioni. Le freeze impediscono nuovi depositi e prestiti ma mantengono attive ritiri e liquidazioni.

Le società di market making che operano su Binance, come Wintermute e GSR, hanno dichiarato di avere esposizioni limitate rispetto al proprio patrimonio netto e non prevedono impatti operativi significativi, pur rimanendo in dialogo con la piattaforma per valutare eventuali conseguenze.

Analisi tecnica sull’origine dell’attacco

Le prime valutazioni tecniche indicano che l’attacco potrebbe aver coinvolto un abuso dell’infrastruttura di firma delle transazioni piuttosto che la semplice sottrazione di chiavi private. Secondo la valutazione di alcuni esperti, gli aggressori avrebbero indotto il sistema di signing ad autorizzare transazioni malevole senza estrarre le chiavi sottostanti, una pratica talvolta definita “key misuse”.

Ido Ben‑Natan ha spiegato:

“Sembra un compromesso dell’infrastruttura di firma: non vogliamo dire che una chiave privata sia stata esfiltrata.”

Questa dinamica aumenta la complessità dell’indagine e la necessità di revisioni delle pratiche di sicurezza, in particolare per quanto riguarda la gestione degli accessi di ingegneri con permessi elevati e l’architettura dei servizi di signing.

Tracciamento on‑chain e collaborazione internazionale

La comunità on‑chain e le società di analytics hanno tracciato movimenti su diverse catene e individuato indirizzi etichettati come collegati all’attacco per un valore che varie analisi stima tra i $3 e i $6 miliardi. Le operazioni hanno coinvolto passaggi tra layer e l’uso di servizi di miscela e swap che complicano il tracciamento, ma la cooperazione tra emittenti di stablecoin, realtà di blockchain intelligence e autorità è risultata decisiva per bloccare parte dei fondi.

Le azioni di congelamento e la convergenza di intelligence on‑chain/off‑chain mostrano come la capacità di intervento dipenda sia dalla governance degli smart contract sia dalla volontà politica e dalla cooperazione internazionale per perseguire gli autori e recuperare asset.

Prossimi passi e implicazioni per gli utenti

Per gli utenti e gli investitori la priorità immediata è monitorare comunicazioni ufficiali delle controparti (exchange, emittenti di stablecoin e protocolli DeFi) e limitare esposizioni non necessarie su infrastrutture centralizzate fino al completamento delle verifiche. Sul piano regolamentare, l’episodio potrebbe intensificare le richieste di controlli più stringenti sugli standard di sicurezza, la conservazione delle chiavi e la responsabilità delle piattaforme che custodiscono asset di terzi.

In sintesi

• Un hack di questa entità può accelerare l’adozione di DEX rispetto ai CEX, ma la migrazione richiederà miglioramenti in scalabilità e liquidità, aspetti rilevanti anche per gli investitori italiani che vogliano ridurre il rischio di controparte.
• La pratica del congelamento degli asset da parte degli emittenti di stablecoin e dei governance council evidenzia un trade‑off tra sicurezza e decentralizzazione: per gli operatori italiani è cruciale valutare la governance del token e la capacità di intervento in caso di frode.
• L’ipotesi di compromesso dell’infrastruttura di firma sottolinea la necessità per fondi, exchange e custodi italiani di rivedere i controlli sugli accessi privilegiati e le procedure di signing distribuito per mitigare rischi simili.