Binance sotto controllo degli hacker per 8 settimane prima del colpo da 6,3 miliardi di dollari, stima Security Alliance

Secondo Security Alliance (SEAL), il gruppo collegato alla Corea del Nord noto come TraderTraitor avrebbe ottenuto l’accesso ai sistemi di Binance circa otto settimane prima dell’ampia violazione da 6,3 miliardi di dollari avvenuta il 29 ottobre.

SEAL segnala che l’intrusione iniziale è avvenuta tra settembre e ottobre e che, dopo l’accesso, gli attori della minaccia possono muoversi all’interno delle infrastrutture con un elevato grado di riservatezza per periodi prolungati prima di essere scoperti.

Nel suo rapporto l’organizzazione ha identificato almeno quattro società di comodo utilizzate nelle campagne di falsa reclutamento del 2026, tra cui citalab.net, citalab.com, bitfit.io e oddium.io, che avrebbero servito da esca per compromettere dispositivi di dipendenti e raccogliere credenziali sensibili.

L’analisi tecnica di SEAL mette in evidenza uno schema multi-fase ricorrente in altri attacchi di rilievo: gli autori avrebbero mantenuto accessi per diverse settimane prima di sfruttare le vulnerabilità, con tempistiche simili nei casi che hanno colpito Bitget, LayerZero, Kelp DAO e AFX.

Binance ha attribuito l’esfiltrazione dei fondi a un colloquio di lavoro fittizio che ha permesso ai criminali informatici di compromettere un dispositivo aziendale e rubare credenziali utili a penetrare la sua infrastruttura dei wallet. Secondo l’exchange, la campagna di attacco risalirebbe a giugno, quando un altro dispositivo di un dipendente era già stato compromesso; benché quel dispositivo sia stato sostituito, gli aggressori avrebbero già raccolto informazioni sulla squadra e sulle procedure di gestione dei wallet.

Le autorità statunitensi, tra cui il FBI, hanno indicato la responsabilità del gruppo TraderTraitor per l’operazione. La famiglia al potere nella Corea del Nord ha respinto le accuse pubblicamente, con commenti della sorella del leader, Kim Yo Jong, che smentiscono qualsiasi coinvolgimento diretto del regime.

Questo episodio si inserisce in un contesto geopolitico più ampio nel quale la cybercriminalità collegata alla Corea del Nord è spesso interpretata come una fonte alternativa di introiti per aggirare sanzioni internazionali e finanziare programmi statali.

Dal punto di vista della sicurezza informatica, l’attacco mette in luce la necessità per le piattaforme di criptovalute di rafforzare controlli su dispositivi endpoint, procedure di verifica per assunzioni e l’implementazione di architetture basate su zero-trust e segmentazione delle chiavi private per limitare la capacità di movimento laterale degli intrusi.

Implicazioni per il mercato e per gli investitori

L’entità della perdita e la modalità dell’intrusione avranno probabilmente effetti duraturi sulla fiducia verso gli exchange centralizzati: maggiore scrutinio regolamentare, richieste di trasparenza sulle pratiche di custodia e possibili aumenti dei costi assicurativi per i servizi di custodia dei criptoasset sono scenari plausibili.

Per gli investitori, la vicenda sottolinea l’importanza di valutare non solo i rischi di mercato ma anche quelli operativi legati alla sicurezza delle piattaforme dove sono depositati asset digitali; strategie di diversificazione, uso di soluzioni di custodia multiple e controlli sulle controparti diventano elementi chiave nella gestione del rischio.

Per l’ecosistema finanziario italiano, un’ondata di ulteriori attacchi o scoperte di vulnerabilità potrebbe accelerare l’intervento delle autorità di vigilanza e spingere verso normative più stringenti sul concetto di custodia, con possibili ripercussioni sui costi di compliance per le imprese locali che offrono servizi in ambito crypto.

Infine, la ripetizione di campagne di ingegneria sociale sofisticata evidenzia come la sicurezza informatica non sia più solo un costo tecnico, ma un fattore sistemico che influenza valutazioni di investimento e la stabilità dell’intero mercato degli asset digitali.

In sintesi

• La compromissione prolungata delle infrastrutture di un grande exchange aumenta il premio per il rischio percepito sugli asset crypto e può determinare volatilità aggiuntiva nei mercati; gli investitori dovrebbero ponderare questo rischio nelle strategie di allocazione.
• L’attacco evidenzia che il rafforzamento delle pratiche di custodia e della governance operativa è destinato a diventare un fattore competitivo: i fornitori che investono in sicurezza potrebbero guadagnare vantaggio di mercato.
• Per le imprese italiane che operano nel settore crypto, è prevedibile un incremento degli obblighi di conformità e dei costi associati alla certificazione dei processi di sicurezza, incidendo sui margini e sulle scelte di prezzo verso il cliente finale.