Binance ha comunicato di essere stata colpita da un attacco informatico che avrebbe sottratto criptovalute per un valore complessivo stimato in circa 6,3 miliardi di dollari. Se la cifra verrà confermata, sarebbe il più grande furto mai registrato nel settore crypto, oltre quattro volte superiore all'attacco da 1,5 miliardi che aveva interessato Bybit nel 2025.
L'exchange sostiene che i saldi degli utenti saranno integralmente protetti e che le perdite verranno coperte con risorse proprie e con il fondo SAFU, la riserva di emergenza istituita da Binance per fronteggiare situazioni di questo tipo. Nel frattempo ha sospeso i prelievi per aggiornare le difese e contenere l'incidente, mentre i depositi risultano operativi secondo gli aggiornamenti diffusi dalla società.
Non si tratta dunque, almeno nella ricostruzione iniziale dell'azienda, di un problema confinato a una singola blockchain o a un singolo token. Il caso coinvolge l'infrastruttura di un operatore centrale del mercato: proprio per questo il suo impatto va oltre il valore nominale delle monete sottratte. Binance custodisce asset per milioni di clienti e svolge una funzione essenziale nei flussi di liquidità dell'ecosistema. Un'interruzione dei prelievi, anche temporanea, mette alla prova la fiducia nel modello degli exchange centralizzati.
Che cosa ha scoperto Binance
Le prime informazioni diffuse dall'azienda indicavano il possibile compromesso del laptop di un ingegnere DevOps. Da quell'accesso, l'attaccante avrebbe raggiunto un service container e inviato transazioni di prelievo non autorizzate. È un dettaglio importante, ma non descrive l'intera catena dell'intrusione.
Nelle comunicazioni successive Binance ha precisato che l'indagine ha individuato ulteriori punti di compromissione. Il co-CEO Richard Teng ha escluso che l'operazione possa essere spiegata come l'uso diretto delle autorizzazioni di un unico dipendente o come un'azione isolata eseguita con un solo passaggio. L'azienda afferma inoltre di non avere attribuito responsabilità individuali e di non aver trovato, finora, prove di una fuga di chiavi private dei wallet.
La distinzione è rilevante sotto il profilo tecnico. La sottrazione di una chiave privata comporterebbe il controllo diretto di un indirizzo blockchain; un abuso della catena operativa interna, invece, può sfruttare sistemi, permessi e procedure con cui un exchange autorizza i movimenti dei clienti. In entrambi i casi il danno può essere enorme, ma le contromisure necessarie non sono le stesse. La revoca dell'autorizzazione dell'indirizzo coinvolto è stata una delle azioni già adottate da Binance.
Tre miliardi bloccati, ma il recupero resta parziale
La natura pubblica delle blockchain rende possibile seguire molti trasferimenti, non necessariamente recuperarli. Binance ha dichiarato che circa 3 miliardi di dollari degli asset interessati sono stati congelati finora on-chain attraverso la collaborazione con partner del settore. Le stablecoin emesse da soggetti centralizzati offrono, in certe circostanze, uno strumento ulteriore: Tether e Circle hanno indicato di aver bloccato rispettivamente circa 1,5 miliardi e 800 milioni di dollari collegati all'attacco.
Il congelamento non equivale a riportare automaticamente gli asset nelle disponibilità originarie, né copre l'intero ammontare stimato. Dipende dalla tipologia dei token, dalla velocità con cui sono stati spostati e dalla capacità di identificare gli indirizzi usati dagli aggressori prima che i fondi attraversino conversioni, bridge o altri servizi. È però un elemento che può limitare il valore concretamente spendibile della refurtiva e fornire agli investigatori una traccia operativa.
Per la parte non ancora bloccata, Binance afferma di disporre di coperture per oltre 6,34 miliardi di dollari tra fondi aziendali e SAFU. Secondo la società, 5 miliardi sarebbero già detenuti negli stessi asset digitali coinvolti nell'incidente; il fondo di emergenza, all'ultima valutazione richiamata dall'azienda, valeva circa 1,3 miliardi. È una promessa di rimborso che attenua il rischio immediato per gli utenti, ma che dovrà essere verificata nella fase di riapertura dei servizi e nella gestione concreta delle richieste.
- Furto stimato da Binance: circa 6,3 miliardi di dollari.
- Asset già congelati: circa 3 miliardi di dollari, secondo l'exchange.
- Prelievi sospesi durante l'intervento di sicurezza; depositi indicati come regolari.
L'ipotesi TraderTraitor e il precedente nordcoreano
Binance non ha indicato pubblicamente un responsabile. Le società di analisi blockchain TRM Labs e Chainalysis attribuiscono però l'operazione a TraderTraitor, gruppo di cybercriminali associato alla Corea del Nord e già noto per attacchi rivolti a piattaforme crypto. TRM Labs parla di una valutazione condotta con alta confidenza, fondata su elementi raccolti sia sulla blockchain sia al di fuori di essa.
L'attribuzione in ambito cyber va comunque trattata con cautela: l'indagine resta in corso e non coincide con un'accusa giudiziaria né con una conferma formale delle autorità. Il contesto, tuttavia, è coerente con un modello ormai ben documentato. Gruppi legati a Pyongyang hanno preso di mira negli anni exchange, wallet, sviluppatori, fornitori di servizi e dipendenti con privilegi tecnici, usando intrusioni mirate e ingegneria sociale per raggiungere fondi digitali rapidamente trasferibili oltre confine.
Il possibile coinvolgimento di TraderTraitor sposta l'attenzione dal solo bug o dall'errore umano alla resilienza complessiva della supply chain operativa. Un laptop compromesso può essere l'ingresso iniziale, ma un attacco capace di produrre prelievi per miliardi solleva interrogativi su segmentazione della rete, gestione degli accessi privilegiati, controlli a più livelli sulle transazioni e capacità di rilevare anomalie in tempo reale.
Il problema della custodia centralizzata
Per chi utilizza le criptovalute, il caso Binance riapre una questione che il settore discute da anni: affidare asset a una piattaforma semplifica acquisti, vendite e conversioni, ma espone al rischio che una singola infrastruttura diventi un bersaglio di valore eccezionale. Gli exchange centralizzati concentrano fondi, processi di autorizzazione e responsabilità operative. Sono quindi più comodi per l'utente medio rispetto alla gestione autonoma, ma devono garantire standard di sicurezza, liquidità e trasparenza proporzionati alla loro dimensione.
La vicenda mostra anche il doppio volto delle stablecoin. Da una parte, la possibilità per gli emittenti di congelare indirizzi permette di fermare rapidamente una quota dei fondi sottratti. Dall'altra, dimostra quanto alcune componenti del mercato crypto dipendano da soggetti in grado di intervenire centralmente. È un compromesso che può rivelarsi decisivo nel contenimento di un reato, ma che resta distante dall'idea di asset completamente non censurabili.
Le prossime verifiche riguarderanno l'estensione effettiva della compromissione, il percorso dei fondi non bloccati e i tempi per il ritorno alla piena operatività. Binance dovrà anche chiarire quali cambiamenti introdurrà nella propria architettura di sicurezza, senza divulgare dettagli che possano agevolare nuovi attacchi. Per il mercato, la prova sarà osservare se il rimborso promesso e la ripresa dei prelievi avverranno senza ulteriori tensioni. Dopo un furto di queste proporzioni, non basterà dichiarare che i fondi sono al sicuro: serviranno evidenze operative, verificabili nel tempo.
