Binance ha iniziato a riaprire i prelievi dopo l’attacco informatico che ha sottratto circa 6,3 miliardi di dollari in asset digitali dai suoi hot wallet. La ripartenza non equivale però a un ritorno immediato alla piena operatività: l’exchange sta procedendo per reti e per singoli token, mantenendo limitazioni su una parte dei servizi mentre completa i controlli di sicurezza.
Il passaggio più rilevante per gli utenti è la garanzia finanziaria annunciata dalla società. Nell’ultimo aggiornamento, Binance afferma di aver già coperto il 95% degli asset rubati e di stare acquistando quelli ancora mancanti. Si tratta soprattutto di token meno liquidi, più difficili da reperire sul mercato nelle quantità necessarie senza incidere in modo significativo sui prezzi. In precedenza la piattaforma aveva comunicato una copertura pari al 90%; il nuovo dato segnala che il processo di ricostituzione delle riserve sta avanzando, ma non è ancora concluso.
Va distinta una questione fondamentale: coprire gli asset dei clienti non significa aver recuperato i fondi nelle mani degli aggressori. Binance sostiene che l’impatto economico del furto sarà assorbito dall’azienda e non trasferito agli utenti, ricostituendo le disponibilità con risorse proprie e fondi dedicati. I responsabili dell’attacco restano quindi in possesso di asset che, secondo l’FBI, sarebbero stati convertiti in larga misura in Ethereum in preparazione a ulteriori fasi di riciclaggio.
Prelievi riaperti, ma con servizi ancora disomogenei
Il blocco di depositi e prelievi era stato introdotto come misura di contenimento dopo la scoperta dell’incidente. Una decisione drastica per una piattaforma che gestisce ogni giorno flussi molto elevati, ma necessaria per verificare l’entità delle perdite, fermare eventuali movimenti non autorizzati e ripristinare le componenti coinvolte. Ora Binance ha avviato la riattivazione a fasi, avvertendo che i tempi di elaborazione potranno allungarsi per l’elevato volume di richieste.
Bitcoin è stato tra i primi network riaperti, seguito dalla rete Ethereum e da BNB Smart Chain. Lo stato dei servizi resta tuttavia variabile: per alcune reti sono nuovamente disponibili sia depositi sia prelievi, mentre su altre una o entrambe le funzioni risultano ancora solo parzialmente attive. Anche dove il servizio è stato sbloccato, gli utenti possono incontrare ritardi legati ai controlli operativi e al picco di traffico generato dalla riapertura.
Nelle prime ore della ripartenza, Binance ha riferito di aver processato 4,6 miliardi di dollari in prelievi e 1 miliardo in depositi, per un deflusso netto di 3,6 miliardi. Secondo la società, il saldo equivale al 2,1% degli asset totali in gestione. È un dato da osservare per due ragioni: mostra che una parte degli utenti ha scelto di spostare subito i fondi fuori dalla piattaforma, ma indica anche che l’exchange è stato in grado di sostenere quel primo volume di richieste senza segnalare un nuovo stop generalizzato.
Come Binance sta ricostituendo la copertura
La piattaforma ha indicato tre fonti per rimpiazzare le disponibilità sottratte: il Secure Asset Fund for Users, noto come SAFU, una quota del fondo assicurativo dedicato ai futures e la tesoreria aziendale. Il SAFU è il meccanismo creato da Binance per affrontare eventi straordinari che possano incidere sui fondi custoditi per conto dei clienti. La sua attivazione in un caso di questa portata rappresenta una verifica concreta della capacità di protezione promessa dall’exchange.
Binance ha inoltre comunicato che gli asset più importanti coinvolti nell’incidente — tra cui BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC — risultano già coperti integralmente. Il residuo riguarda token al di fuori della fascia principale del mercato, per i quali gli acquisti devono essere distribuiti attraverso i mercati disponibili e canali over-the-counter. La società punta a raggiungere una copertura del 100% per tutte le attività interessate.
Questo approccio evita di dover attendere il recupero on-chain dei fondi per rendere nuovamente disponibili i saldi degli utenti. Al tempo stesso espone Binance a un costo diretto potenzialmente rilevante, che dipenderà dall’andamento dei prezzi degli asset da acquistare e dalla liquidità effettiva dei token meno trattati. La promessa dell’azienda è netta, ma la sua attuazione dovrà essere verificata attraverso l’avanzamento del piano e, soprattutto, la completa normalizzazione dei servizi.
L’attribuzione alla Corea del Nord e le zone ancora aperte
L’FBI ha attribuito il furto ad attori nordcoreani, indicando in particolare il gruppo conosciuto come TraderTraitor. L’attribuzione si inserisce in un quadro già noto alle autorità e alle società di analisi blockchain: gruppi collegati a Pyongyang sono stati più volte associati a campagne contro aziende del comparto crypto, con l’obiettivo di ottenere asset digitali e movimentarli attraverso conversioni, wallet intermedi e servizi che rendono più difficile seguirne la traccia.
Resta invece da chiarire con precisione il vettore tecnico dell’intrusione. Nelle prime comunicazioni era emersa l’ipotesi che l’attacco potesse essere passato dal laptop compromesso di un ingegnere DevOps, usato per raggiungere un service container e inviare transazioni di prelievo non autorizzate. Il co-CEO Richard Teng ha poi descritto l’operazione come più complessa del semplice abuso dei privilegi di un singolo dipendente. Binance non ha divulgato ulteriori dettagli e ha rinviato la pubblicazione di un rapporto approfondito alla conclusione dell’indagine.
Questa prudenza è comprensibile sul piano investigativo, ma lascia aperti interrogativi importanti per un operatore che custodisce asset per una platea globale. Un furto di questa dimensione non riguarda soltanto la vulnerabilità di un componente tecnico: chiama in causa l’architettura dei wallet, la separazione dei privilegi, le procedure di autorizzazione delle transazioni e la capacità di rilevare anomalie prima che assumano scala sistemica.
Per ora la priorità immediata è completare il ripristino. Binance dovrà portare al 100% la copertura dichiarata, eliminare le sospensioni residue e spiegare in modo verificabile come l’attaccante sia riuscito a colpire i suoi hot wallet. La ripresa dei prelievi riduce il rischio di un blocco prolungato per gli utenti, ma non chiude l’incidente: la prova più delicata sarà dimostrare che l’infrastruttura riattivata non conserva le condizioni che hanno reso possibile il furto.
