Binance ha fermato depositi e prelievi dopo aver rilevato sottrazioni non autorizzate per un valore stimato di circa 6,3 miliardi di dollari. Per dimensioni, l’episodio viene indicato come il più grande furto mai emerso nel settore delle criptovalute e apre una crisi operativa per l’exchange, che custodisce una quota rilevante degli asset scambiati sul mercato globale.
La piattaforma sostiene di essere riuscita a bloccare approssimativamente 3 miliardi di dollari degli asset coinvolti. Si tratta in larga misura di stablecoin, token progettati per mantenere un valore stabile e centrali per la liquidità del mercato crypto. Il congelamento è possibile perché gli emittenti di alcuni di questi asset mantengono la facoltà tecnica di mettere in blacklist gli indirizzi associati a operazioni illecite. Non tutti i fondi sottratti, però, hanno questa caratteristica.
Secondo Elliptic, società specializzata nell’analisi delle blockchain, gli aggressori avrebbero già convertito circa 3,3 miliardi di dollari in asset che non possono essere bloccati con lo stesso meccanismo. La distinzione è cruciale: congelare un token non equivale a recuperare il denaro, ma impedisce almeno che venga spostato o liquidato. Per la quota trasferita verso criptovalute prive di controlli centralizzati, la risposta dipende invece dalla tracciabilità dei flussi, dalla collaborazione degli intermediari e dalla capacità di fermare l’uscita verso valute tradizionali.
Da un laptop compromesso a un attacco più ampio
Nella prima ricostruzione, Binance aveva collegato l’incidente alla compromissione del laptop di un ingegnere DevOps. L’accesso avrebbe consentito all’attaccante di raggiungere un service container e inoltrare richieste di prelievo non autorizzate. Gli aggiornamenti successivi della società, tuttavia, hanno ampliato il perimetro del problema: l’indagine interna ha individuato ulteriori punti di intrusione.
Binance invita quindi a non ridurre l’accaduto al furto delle credenziali di un singolo dipendente. Richard Teng, co-CEO della società, ha precisato che l’operazione non sarebbe dipesa da una semplice autorizzazione usata impropriamente né da un singolo passaggio operativo. L’azienda afferma inoltre di non aver attribuito responsabilità individuali e di non aver trovato, finora, evidenze della fuga di chiavi private dei wallet.
Questi dettagli contano perché descrivono due scenari molto diversi. Una chiave privata sottratta può compromettere direttamente il controllo di fondi su blockchain; un’intrusione nell’infrastruttura di un exchange può invece sfruttare sistemi applicativi, processi di autorizzazione e catene di distribuzione interne. In entrambi i casi il risultato è grave, ma il secondo indica una superficie d’attacco più estesa e richiede un esame forense che coinvolge endpoint, ambienti cloud, identità digitali e procedure di gestione dei prelievi.
L’indirizzo coinvolto è stato privato dell’autorizzazione e Binance sta lavorando con le forze dell’ordine. La sospensione delle operazioni serve a contenere l’incidente e a verificare l’integrità dell’infrastruttura, ma ha un costo immediato per utenti e operatori che non possono movimentare gli asset dalla piattaforma. La società non ha indicato una tempistica per il ripristino completo.
La pista TraderTraitor e il precedente Bybit
Binance non ha indicato pubblicamente un responsabile. Due realtà di intelligence blockchain, TRM Labs e Chainalysis, hanno però ricondotto l’attacco al gruppo TraderTraitor, collegato alla Corea del Nord. L’attribuzione resta quindi un’analisi di soggetti esterni e non una conclusione ufficiale dell’exchange o delle autorità, ma si inserisce in un quadro noto agli investigatori: i gruppi nordcoreani hanno da tempo le piattaforme crypto tra i propri obiettivi prioritari.
Il confronto più diretto è con l’attacco a Bybit dello scorso anno, nel quale furono sottratti circa 1,5 miliardi di dollari in criptovalute. Il salto di scala segnato dal caso Binance è notevole. Le borse crypto concentrano infatti grandi quantità di asset dei clienti e, quando gestiscono internamente custodia, autorizzazioni e trasferimenti, diventano bersagli ad alto rendimento per campagne che possono richiedere settimane o mesi di preparazione.
L’interesse non riguarda soltanto il bottino. La natura transfrontaliera delle blockchain permette di spostare rapidamente gli asset, frammentarli tra indirizzi diversi e convertirli attraverso servizi differenti. La trasparenza del registro pubblico offre agli analisti una traccia delle transazioni, ma non garantisce da sola il recupero: serve intervenire prima che gli asset raggiungano canali di conversione difficili da presidiare.
La promessa di rimborsare tutti e i limiti della copertura
Binance ha assicurato che coprirà le perdite degli utenti. La società afferma di aver destinato oltre 6,34 miliardi di dollari di fondi aziendali all’incidente, dei quali 5 miliardi sarebbero già detenuti negli stessi token sottratti. Per la parte restante sta acquistando ulteriori asset sul mercato, avvertendo che il processo può richiedere tempo quando la liquidità dei token è ridotta e quando le operazioni devono essere regolate.
La piattaforma dispone anche di un fondo di emergenza, valutato attorno a 1,3 miliardi di dollari nell’ultimo aggiornamento citato dalle fonti. Changpeng Zhao, cofondatore di Binance ed ex CEO, ha sostenuto che il divario da colmare resterebbe gestibile, pur definendolo doloroso. Yi He, co-CEO, ha dichiarato che i ricavi annuali dell’azienda sarebbero sufficienti ad assorbire il danno, senza fornire ulteriori dettagli finanziari.
Per gli utenti, la promessa di rimborso attenua il rischio di una perdita diretta, ma non elimina quello operativo. Un exchange può avere riserve e capitale sufficienti per ricostituire i saldi, mentre il blocco temporaneo di depositi e ritiri incide comunque sulla disponibilità immediata degli asset. Inoltre, la capacità di acquistare nuovamente token sul mercato può risentire della profondità degli scambi e delle reazioni dei trader.
La notizia ha avuto effetti anche sui prezzi: Bitcoin ha perso circa il 4% nelle ore successive all’emersione dell’attacco, prima di recuperare terreno sopra i 78.000 dollari. Il movimento arriva in una fase già fragile per il comparto, dopo il forte ribasso che alla fine dello scorso anno aveva sottratto oltre 1.000 miliardi di dollari alla capitalizzazione aggregata di migliaia di token.
Per Binance l’incidente arriva inoltre in un momento in cui la fiducia regolatoria resta un tema sensibile. Nel 2023 la società si era dichiarata colpevole negli Stati Uniti per violazioni legate alle norme antiriciclaggio e aveva accettato una sanzione da 4,3 miliardi di dollari. L’episodio attuale è di altra natura, ma riporta al centro la questione di come vengono custoditi gli asset e di quanta esposizione gli utenti mantengano verso un singolo intermediario.
Nei prossimi giorni l’attenzione si concentrerà su tre elementi: l’estensione effettiva della violazione, la quota dei fondi che potrà essere congelata o recuperata e le condizioni per riaprire pienamente l’operatività. L’inchiesta dovrà anche chiarire se l’attacco abbia sfruttato vulnerabilità tecniche, errori procedurali o una combinazione delle due. Nel frattempo, il caso mostra un limite strutturale della custodia centralizzata: anche in un ecosistema costruito su registri distribuiti, la concentrazione di asset e poteri operativi in un’unica piattaforma resta un obiettivo estremamente appetibile.
