Binance: furto record da 6,3 miliardi partito da un laptop DevOps

Il 29 ottobre 2026 dagli hot wallet di Binance, i portafogli collegati a internet che l’exchange usa per i prelievi, sono usciti circa 6,3 miliardi di dollari in criptovalute. Binance ha confermato l’incidente e lo collega, nelle prime ricostruzioni, al laptop compromesso di un ingegnere DevOps. Le società di analisi della blockchain TRM Labs e Chainalysis lo attribuiscono con alta confidenza a TraderTraitor, il gruppo nordcoreano a cui l’FBI aveva attribuito il furto da 1,5 miliardi a Bybit del febbraio 2025. Se le cifre saranno confermate, è il più grande furto di criptovalute mai registrato.

La notizia è riportata da BleepingComputer, Security Affairs, TechCrunch, The Hacker News, The Register, SecurityWeek, Help Net Security e The Record.

Cosa è successo

• 29 ottobre, dalle 20:05 UTC: secondo TRM Labs, circa 6,36 miliardi di dollari lasciano i wallet di Binance, per la maggior parte in una ventina di minuti. TRM parla di dieci blockchain; The Record scrive invece di 20 blockchain, tra cui Bitcoin, Ethereum, Tron, XRP Ledger e Solana.
• Nelle prime ore le stime pubbliche, basate solo sulle transazioni osservate, oscillano tra 2 e 5,8 miliardi. Binance dice di essere al lavoro e che i fondi degli utenti sono «completamente al sicuro», poi sospende depositi e prelievi. Secondo The Register sono state fermate anche le negoziazioni.
• 30 ottobre: nel primo aggiornamento tecnico Binance porta la stima a 6,3 miliardi, dichiara di aver congelato circa 3 miliardi con l’aiuto dei partner e si impegna a coprire tutte le perdite con il fondo SAFU e con fondi propri. Secondo Help Net Security i depositi sono ripresi, mentre i prelievi restano sospesi fino alla revisione di sicurezza del servizio di prelievo e degli indirizzi collegati, con una ripresa prevista entro 48 ore.

Dettagli tecnici

La versione di Binance. L’indagine iniziale indica che il laptop compromesso di un ingegnere DevOps ha permesso all’attaccante di accedere a un container di servizio e di inviare transazioni di prelievo non autorizzate. Binance afferma di non aver trovato prove di una fuga di chiavi private dei wallet. Il co-CEO Richard Teng precisa che l’attaccante «non ha semplicemente usato i permessi di un ingegnere» e che non è stata un’azione «con un clic», ma un processo più complesso; l’azienda segnala «ulteriori punti di violazione» ancora in analisi. L’autorizzazione dell’indirizzo coinvolto è stata revocata ed è annunciato un post-mortem tecnico. Binance non ha spiegato come sia stato compromesso il laptop: The Register ipotizza phishing o un pacchetto software compromesso, ma è solo un’ipotesi.

L’analisi di TRM Labs (riportata da SecurityWeek, Help Net Security e BleepingComputer):

• preparazione: almeno un giorno e mezzo. Il wallet usato per l’operazione è stato finanziato con piccoli prelievi da Tornado Cash e il codice malevolo è stato provato su altri wallet prima dell’attacco;
• Ethereum: gli attaccanti hanno usato EIP-7702, il meccanismo che permette a un wallet ordinario di delegare il proprio comportamento a uno smart contract firmando un’autorizzazione. Hanno inviato 50 autorizzazioni firmate in anticipo da un hot wallet di Binance, in modo che una corrispondesse al contatore delle transazioni (nonce) al momento dell’esecuzione. Il wallet è finito delegato a un contratto controllato solo dagli attaccanti, che lo hanno svuotato;
• le altre blockchain: i wallet di Binance hanno inviato i fondi con normali transazioni firmate in modo valido, pur usando tipi di chiave e schemi di firma diversi, tutti entro circa mezz’ora. Per TRM la spiegazione più probabile è che l’attaccante abbia ottenuto la possibilità di far firmare al sistema di firma degli hot wallet transazioni a sua scelta. Il phishing, che all’inizio sembrava spiegare Ethereum, non spiega le altre catene.

Le due versioni sono compatibili: un servizio di firma può essere abusato senza che le chiavi escano dal sistema.

Attribuzione. TRM attribuisce l’attacco a TraderTraitor (tracciato anche come Lazarus Group e APT38) per le somiglianze con Bybit e con l’attacco a KelpDAO dell’aprile 2026: wallet operativo finanziato da un mixer, lunga preparazione, firme raccolte in anticipo e usate tutte insieme. Chainalysis arriva alla stessa conclusione perché ha trovato proventi del furto a Bitget del mese scorso mescolati ai fondi sottratti a Binance. Binance non ha nominato i responsabili.

Congelamenti e riciclaggio. Tether ha bloccato oltre 1,56 miliardi in USDT e Circle oltre 800 milioni in USDC; Ripple, World Liberty Financial e il Security Council di Arbitrum hanno bloccato importi minori. TRM conta circa 2,7 miliardi congelati, Binance circa 3. Per anticipare i blocchi, gli attaccanti hanno venduto USDT a market maker a oltre il 10% sotto il prezzo di mercato e preso in prestito ETH su Aave dando USDT in garanzia. Secondo TRM controllano ancora oltre 420.000 ETH e 18.270 BTC, circa 2,4 miliardi che nessun emittente può congelare.

MITRE ATT&CK (nostra mappatura dai fatti riportati): T1657 (Financial Theft). Il vettore d’accesso iniziale non è stato reso noto.

Impatto per le aziende europee e italiane

Per chi ha fondi su Binance l’effetto immediato è il blocco dei prelievi e il rischio di phishing: Binance stessa avverte di non fidarsi di link, messaggi o richieste di dati arrivati da canali non ufficiali. I prestatori di servizi per le cripto-attività autorizzati in base al MiCA rientrano nel regolamento DORA, con i suoi obblighi su rischio ICT e segnalazione degli incidenti.

La lezione però vale ben oltre le criptovalute. Un portatile di chi gestisce l’infrastruttura è bastato per arrivare a un container di produzione e, da lì, a un servizio che firma operazioni di valore. Lo stesso schema si applica a pagamenti, rilascio di software firmato, CA interne e chiavi in KMS o HSM: se il servizio firma ciò che gli viene chiesto, proteggere la chiave non basta. Per i soggetti NIS2, l’articolo 21 chiede misure su controllo degli accessi, sicurezza nello sviluppo e gestione degli incidenti, e le postazioni del personale DevOps ne fanno parte.

Cosa fare subito

1. Fondi su Binance: usa solo i canali ufficiali e avvisa chi gestisce la tesoreria che circoleranno falsi annunci e falsi operatori del supporto.
2. Postazioni DevOps e amministrative: trattale come sistemi critici. Postazioni dedicate per l’amministrazione, niente accesso diretto alla produzione dal portatile di tutti i giorni, credenziali a breve durata e autenticazione forte.
3. Accessi ai container di produzione: verifica chi può aprire una sessione o eseguire comandi nei container, registra ogni sessione e allerta su accessi fuori orario o da dispositivi nuovi.
4. Servizi di firma: aggiungi regole indipendenti da chi fa la richiesta, come limiti per importo e per frequenza, destinazioni autorizzate e approvazione di più persone sopra una soglia. Prevedi un blocco d’emergenza: qui la maggior parte dei fondi è uscita in 20 minuti.
5. Autorizzazioni firmate in anticipo: se gestisci wallet, impedisci che il sistema firmi deleghe EIP-7702 non previste e controlla se esistono firme già pronte e non ancora usate.
6. Exchange e servizi che accettano depositi in cripto: TRM consiglia di controllare i depositi in arrivo rispetto agli indirizzi che ha collegato al furto.

Come aiuta ARXDOME

ARX Sentry raccoglie con l’agent log, eventi di sicurezza, processi e modifiche ai file di computer e server Windows, Linux e macOS, comprese le postazioni di sviluppatori e DevOps. Le pagine identità del SOC mostrano accessi privilegiati, accessi notturni e raffiche di tentativi. Con ARX Trace gli analisti avviano raccolte e ricerche su più macchine per capire se una postazione è compromessa e dove l’attaccante si è spostato.

Ultimo aggiornamento: 30 ottobre 2026