Binance, 6,3 miliardi rubati: il furto e il potere di fermare il denaro

L’attacco a Binance del 29 ottobre 2026 ha sottratto circa 6,3 miliardi di dollari in criptovalute dai wallet operativi dell’exchange. È il valore confermato dalla società, che colloca l’inizio della violazione intorno alle 20:05 UTC, le 21:05 in Italia. Nei due giorni successivi Binance ha bloccato i prelievi, annunciato miliardi di asset immobilizzati con l’aiuto di altri operatori e impegnato risorse proprie per ricostituire le disponibilità sottratte.

Il 1° novembre l’exchange ha avviato la riapertura progressiva dei prelievi e dichiarato di avere reintegrato circa il 95% degli asset coinvolti. Non significa che abbia recuperato il 95% del bottino: gran parte della copertura è stata realizzata acquistando token sul mercato e utilizzando fondi aziendali. Intanto l’FBI ha attribuito l’operazione al gruppo TraderTraitor, collegato alla Corea del Nord, mentre gli indirizzi associati al furto restano sotto osservazione.

Questa è la cronaca di un attacco informatico, ma anche di un gigantesco esercizio di controllo sul denaro digitale: chi lo custodisce può fermarne l’uscita, chi emette alcuni token può congelarli e chi gestisce l’infrastruttura deve decidere quando permettere di nuovo agli utenti di muoverli. La decentralizzazione, nel momento dell’emergenza, ha dovuto presentarsi allo sportello.

Attacco Binance: cronologia del furto dal 29 ottobre al 1° novembre

Il punto di partenza è la sera di giovedì 29 ottobre, alle 20:05 UTC. Binance ha poi quantificato in circa 6,3 miliardi di dollari il valore degli asset sottratti ai propri hot wallet, i portafogli online usati per gestire le operazioni quotidiane. Una ricostruzione on-chain di Bitquery individua trasferimenti non autorizzati tra le 20:04 e le 23:56 UTC, riconducendoli a 17 wallet operativi distribuiti su nove blockchain. La società non ha ancora pubblicato il resoconto tecnico definitivo che possa ricomporre ogni passaggio dell’intrusione.

Nella notte del 30 ottobre Binance ha comunicato una prima ipotesi d’ingresso: il computer di un ingegnere DevOps compromesso, seguito dall’accesso a un container di servizio e dall’invio di richieste di prelievo non autorizzate. La comunicazione iniziale è stata successivamente precisata: secondo l’aggiornamento ufficiale del 30 ottobre, gli investigatori hanno individuato ulteriori punti di compromissione. La dinamica completa rimane aperta.

Il 30 ottobre Binance ha anche annunciato circa 3 miliardi di dollari di asset congelati on-chain, la sospensione precauzionale dei prelievi e un impegno di oltre 6,34 miliardi di fondi aziendali per coprire le perdite. Il 31 ottobre è arrivata l’attribuzione dell’FBI a TraderTraitor; nello stesso giorno Binance ha dichiarato il reintegro del 90% e registrato una nuova fotografia delle riserve alle 00:00 UTC, le 01:00 italiane.

Infine il 1° novembre: il quarto aggiornamento ufficiale ha programmato la prima fase di riapertura tra le 06:00 e le 09:00 UTC, cioè tra le 07:00 e le 10:00 in Italia, comunicando una copertura degli asset salita al 95%. Binance ha poi annunciato nuovi indirizzi operativi per i prelievi, inclusi nell’elenco della Proof of Reserves. Il ripristino non implica che tutte le reti siano tornate disponibili contemporaneamente.

Come sono stati rubati 6,3 miliardi: wallet online, autorizzazioni e un computer compromesso

Un hot wallet serve a effettuare trasferimenti rapidamente: resta collegato ai sistemi dell’exchange e, proprio per questo, deve essere protetto non soltanto nelle chiavi crittografiche ma nell’intera catena di autorizzazioni che decide quando una transazione è lecita. L’ipotesi iniziale di Binance descrive una compromissione dell’ambiente operativo, non un semplice furto di password del singolo cliente.

La società ha precisato di non avere trovato prove di una fuga delle chiavi private dei wallet. Non significa che il rischio sia stato escluso in assoluto o che l’indagine sia conclusa. Significa che, sulla base delle verifiche comunicate fino al 1° novembre, l’attaccante avrebbe sfruttato il percorso applicativo capace di autorizzare prelievi, anziché sottrarre direttamente le chiavi con cui firmarli.

Bitquery ha ricostruito un flusso di transazioni provenienti da 17 indirizzi e descrive, su uno dei principali wallet Ethereum, circa 50 autorizzazioni che avrebbero consentito all’attaccante di operare per quasi quattro ore. È un’analisi indipendente di dati pubblici, non una conferma formale di Binance su ogni dettaglio. L’exchange ha riferito di avere revocato le autorizzazioni interessate, isolato l’infrastruttura coinvolta e rafforzato i controlli. Il post-mortem promesso dovrà stabilire quali permessi fossero realmente sfruttabili e perché gli automatismi non abbiano interrotto prima le operazioni.

La differenza fra una chiave rubata e un’infrastruttura che firma operazioni non autorizzate non è accademica. Nel secondo caso il sistema può apparire, all’esterno, come un normale processo aziendale. È un rischio che attraversa tutto il software dotato di credenziali e poteri operativi, non soltanto il settore crypto: l’analisi di Terza Pillola sulla sicurezza degli agenti AI e sulla gestione dei permessi affronta lo stesso confine fra accesso tecnico e autorizzazione legittima.

Tre miliardi congelati: Tether, Circle e il controllo sugli asset

La prima risposta all’attacco è passata anche dagli emittenti delle stablecoin. Nelle ore in cui la cifra complessiva del furto non era ancora stata confermata, Terza Pillola aveva documentato i congelamenti di Tether e Circle: oltre 2,38 miliardi di dollari in token bloccati, già visibili prima che Binance formalizzasse il valore dei fondi sottratti.

Binance ha successivamente parlato di circa 3 miliardi immobilizzati on-chain grazie alla collaborazione fra emittenti, società di analisi blockchain, forze dell’ordine e altri operatori. Bitquery, con un proprio perimetro e una diversa data di rilevazione, ha conteggiato circa 2,7 miliardi congelati o messi in sicurezza. Le cifre non vanno sommate e non descrivono necessariamente lo stesso insieme di operazioni. Soprattutto, congelare non equivale ad avere materialmente restituito gli asset.

Le stablecoin centralizzate come USDT e USDC possono includere funzioni che permettono all’emittente di bloccare determinati indirizzi. Bitcoin ed ether non dispongono dello stesso interruttore amministrativo sul protocollo di base. Una parte del patrimonio sottratto è quindi immobilizzabile attraverso controlli sugli strumenti, un’altra richiede di seguire i trasferimenti e intervenire nei punti di conversione e custodia.

Il dettaglio restituisce alle stablecoin e al loro rapporto con il sistema finanziario tradizionale una dimensione concreta. Un token può viaggiare su una blockchain pubblica senza che tutte le sue regole siano decise dalla blockchain: l’emittente continua a possedere poteri che una moneta nativa decentralizzata non concede a un singolo soggetto.

L’FBI accusa TraderTraitor: la pista nordcoreana e il riciclaggio in ether

Il 31 ottobre l’FBI ha attribuito ufficialmente l’attacco a TraderTraitor, sigla usata dalle autorità americane per identificare attività informatiche malevole associate alla Corea del Nord. La nota riguarda specificamente il furto a Binance, non una generica ipotesi sul ruolo di hacker nordcoreani nell’industria delle criptovalute.

L’agenzia ha dichiarato che gli attori attribuiti a TraderTraitor stanno convertendo parte degli asset sottratti soprattutto in ether e ha previsto ulteriori passaggi attraverso piattaforme DeFi e servizi di scambio istantaneo. Per questo ha chiesto agli operatori di nodi, exchange, servizi di analisi e altri intermediari di individuare e bloccare trasferimenti provenienti dagli indirizzi segnalati nella sua comunicazione.

È un’attribuzione investigativa formulata da un’autorità, non il risultato già pubblicato di un processo giudiziario. L’FBI fornisce indirizzi da monitorare e un quadro dei movimenti osservati, ma non espone nella nota l’intera catena tecnica dell’intrusione nei sistemi di Binance. L’origine del gruppo e il metodo di accesso sono due questioni collegate che richiedono prove diverse.

L’hacker vende token PROM per 71 dollari: i cinque milioni sono un valore teorico

Tra le operazioni successive all’attacco ce n’è una che sembra costruita apposta per diventare un titolo. Secondo Lookonchain, un indirizzo attribuito all’attaccante ha scambiato 908.793 token PROM, valutati indicativamente intorno a 5 milioni di dollari, ottenendo appena 0,0316 ETH, circa 71 dollari. La transazione è consultabile su Etherscan.

La spiegazione indicata dagli analisti è la liquidità quasi assente nella pool Uniswap V2 utilizzata per lo scambio. In una pool automatizzata il prezzo effettivo dipende dalle riserve disponibili e dalla dimensione dell’ordine; scaricare una quantità enorme di token in una riserva quasi vuota può produrre uno slippage devastante. I cinque milioni, perciò, sono una stima di valore ai prezzi di riferimento, non la prova che quella quantità sarebbe stata vendibile per cinque milioni in condizioni reali.

Non è dunque corretto trasformare automaticamente l’episodio nella perdita contabile certa di cinque milioni di dollari; bisogna distinguere prezzo di mercato indicativo, profondità degli scambi e controvalore effettivo della transazione. La vicenda è rilevante proprio perché mostra come un asset iscritto a un prezzo possa non trovare un compratore capace di sostenerlo quando qualcuno prova davvero a liquidarlo.

Binance reintegra il 95% degli asset: non è il 95% del bottino recuperato

Il numero più facilmente equivocabile è anche quello più ripetuto: il 95%. Binance ha dichiarato il 30 ottobre di avere già coperto circa l’80% degli asset interessati, il 31 ottobre di essere arrivata al 90% e il 1° novembre di avere raggiunto il 95%. Per «copertura» intende la disponibilità di token equivalenti acquistati o reperiti per reintegrare quelli sottratti, non una restituzione automatica dei fondi presenti nei wallet degli attaccanti.

Per sostenere l’intervento la società ha indicato tre fonti: una parte del fondo di emergenza SAFU (Secure Asset Fund for Users), risorse del fondo assicurativo dei futures e liquidità della propria tesoreria. Binance afferma di avere accantonato oltre 6,34 miliardi di dollari e si è impegnata a non trasferire sugli utenti la perdita economica causata dall’attacco. Quella promessa resta una dichiarazione aziendale da verificare attraverso il completamento dei reintegri e la disponibilità effettiva dei servizi.

BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC risultano, secondo Binance, coperti integralmente dalle riserve. Il restante 5% riguarda token meno liquidi e non inclusi in questo gruppo: comprarli in grandi quantità può essere lento o muoverne sensibilmente il prezzo. Il paradosso è che il denaro digitalmente trasferibile in pochi secondi non è necessariamente ricostituibile altrettanto in fretta sul mercato.

Binance riapre i prelievi: 15 reti, disponibilità graduale e nuovi indirizzi

Nell’annuncio del 1° novembre, Binance ha previsto una prima fase di ripristino comprendente 15 reti, fra cui Bitcoin, Ethereum, BNB Smart Chain, Tron, Solana, XRP Ledger, Dogecoin, Polygon, Arbitrum, Base, Optimism, Avalanche C-Chain e Sui. Non tutti i token e non tutte le combinazioni rete-asset sono state dichiarate disponibili simultaneamente: l’ordine dipende dai controlli tecnici e dalla domanda registrata negli ultimi giorni.

La società ha avvertito che durante il riavvio possono verificarsi code, errori temporanei o tempi più lunghi. I depositi, secondo gli aggiornamenti successivi alla prima comunicazione, sono rimasti operativi. Gli utenti devono dunque controllare la disponibilità della singola coppia asset-rete, invece di dedurre da un generico «prelievi riaperti» che ogni uscita sia nuovamente possibile.

C’è poi una modifica strutturale: Binance ha annunciato nuovi indirizzi wallet utilizzati per processare i prelievi e li ha aggiunti all’elenco pubblico della Proof of Reserves. Il cambiamento riguarda l’infrastruttura di uscita della piattaforma; non è un invito agli utenti a inviare fondi a indirizzi ricevuti tramite messaggi privati. La distinzione è essenziale in un momento in cui un falso avviso di sicurezza può diventare un secondo attacco.

Il controllo dell’accesso appartiene all’exchange perché gli asset custoditi sono gestiti attraverso la sua infrastruttura. La blockchain registra i movimenti; non obbliga Binance a consentire un prelievo mentre il servizio è sospeso. La proprietà economica dichiarata sul conto e la possibilità tecnica di disporre immediatamente dei token non sono la stessa cosa.

Proof of Reserves: che cosa certifica e cosa resta da verificare

La Proof of Reserves (PoR) è il meccanismo con cui un exchange rende verificabili alcune consistenze patrimoniali e il rapporto fra asset detenuti e saldi degli utenti. Binance ha acquisito una nuova fotografia il 31 ottobre alle 00:00 UTC, dopo l’attacco, annunciando che la generazione completa delle prove crittografiche a conoscenza zero avrebbe richiesto 40-50 ore. L’obiettivo indicato dalla società è renderle consultabili entro il 3 novembre 2026: alla data di questo dossier è quindi improprio presentare come già conclusa una verifica completa ancora attesa.

Una prova di disponibilità degli asset è importante, ma non coincide automaticamente con una certificazione integrale di solvibilità aziendale, con un audit indipendente di tutte le passività o con la garanzia che un servizio non possa essere sospeso. La fotografia dei wallet, la corrispondenza con i crediti dei clienti, gli eventuali vincoli sui fondi e la robustezza operativa sono verifiche distinte. È particolarmente evidente dopo un incidente in cui, secondo la prima ricostruzione, ad essere stata aggredita è proprio la catena di autorizzazione dei trasferimenti.

La trasparenza sulle riserve può aiutare a misurare la copertura, ma non sostituisce il post-mortem che Binance ha promesso: quello dovrà spiegare perché il sistema ha firmato trasferimenti non autorizzati, quali presidi hanno ceduto e quali modifiche renderanno meno probabile il ripetersi del caso.

Dodici siti DeFi dirottati dai DNS: un secondo attacco, non la stessa operazione

Negli stessi giorni un altro episodio ha messo in crisi l’idea che «decentralizzato» significhi automaticamente indipendente da infrastrutture centrali. Dodici siti DeFi, fra cui Kintsu, Flap, Pickle Finance e Origami Finance, sono stati dirottati attraverso modifiche ai DNS e hanno presentato pagine capaci di ingannare gli utenti e ottenere firme dannose dai wallet. Il 31 ottobre The Block aveva individuato circa 138.000 dollari di fondi sottratti; un’analisi successiva di Bitquery, contando le perdite al momento dei trasferimenti e asset vincolati nello staking, è arrivata a circa 202.000 dollari, distribuiti su 32 wallet.

Le dodici piattaforme condividevano il registrar Name.com, ma al momento della ricostruzione non risultava pubblicamente accertata una compromissione dei suoi sistemi. Non è emersa una prova che colleghi questi dirottamenti all’attacco a Binance o allo stesso gruppo criminale. Accostarli come un’unica campagna sarebbe scorretto. Li unisce, sul piano dell’analisi, una vulnerabilità di modello: contratti decentralizzati e token su blockchain pubbliche possono rimanere accessibili soltanto attraverso siti, domini, software, credenziali e operatori centralizzati.

Che cosa devono controllare gli utenti Binance dopo l’attacco

La riapertura dei prelievi va verificata dalla pagina ufficiale dell’account e per la rete specifica scelta. Le comunicazioni che chiedono di «migrare» manualmente i fondi su un nuovo indirizzo, collegare il wallet a siti ricevuti via messaggio o comunicare codici di sicurezza non devono essere confuse con l’annuncio sui nuovi wallet di uscita dell’exchange. Le informazioni autentiche sono pubblicate nei canali ufficiali di Binance e nella sezione sullo stato delle reti.

Chi vuole verificare la copertura dei propri asset potrà controllare la Proof of Reserves ufficiale e le eventuali prove complete quando disponibili, distinguendo il saldo del proprio conto dalla prova aggregata sulle riserve. La copertura dichiarata e la disponibilità effettiva dei prelievi sono due controlli complementari; uno non sostituisce l’altro.

Il potere che sopravvive al furto

Il colpo da 6,3 miliardi contiene almeno tre storie diverse. C’è la falla ancora da ricostruire nell’infrastruttura operativa di Binance; c’è la caccia ai fondi attribuiti dall’FBI a TraderTraitor; e c’è il mercato, dove un token stimato milioni può essere scambiato per poche decine di dollari se la liquidità scompare. Confondere questi piani produce titoli rumorosi e pochissime spiegazioni.

La storia più significativa, però, resta quella dei poteri che l’emergenza ha reso visibili. Binance ha potuto sospendere e riattivare i prelievi; gli emittenti di alcune stablecoin hanno potuto bloccare asset; le autorità hanno chiesto ai servizi di non processare determinati trasferimenti; gli utenti hanno dovuto aspettare che qualcuno riaprisse la porta. Non serve immaginare una regia occulta: basta osservare l’architettura reale della custodia.

Le criptovalute possono eliminare un intermediario da una transazione. Quando i fondi vengono affidati a un exchange, quell’intermediario torna, con tutte le sue responsabilità e un potere molto concreto sulla possibilità di spendere, ritirare o immobilizzare il denaro. Dopo sei miliardi di dollari rubati, la scoperta più istruttiva non è che esistano i ladri. È che, per fermarli, si è dovuto capire con precisione chi può ancora chiudere la porta.