Un falso colloquio di lavoro, un computer compromesso e un accesso interno arrivato fino ai sistemi che autorizzano i trasferimenti. È il percorso ricostruito da Binance per spiegare il furto del 29 ottobre 2026: circa 6,34 miliardi di dollari in criptovalute, secondo il primo rapporto tecnico pubblicato il 3 novembre. Una ricostruzione ancora provvisoria, che apre interrogativi sulle difese dell’exchange e sulla gestione dell’emergenza. [1]
Il denaro sottratto, i fondi bloccati agli aggressori e le riserve ricostituite dalla società sono tre conti diversi. Confonderli significa leggere male anche le rassicurazioni rivolte ai clienti. Intanto i prelievi stanno tornando disponibili per gruppi di asset e reti: la riapertura procede insieme alle indagini, non le conclude.
Quanto è stato rubato: perché circolano cifre diverse
Binance quantifica l’impatto in circa 6,34 miliardi di dollari. TRM Labs ricostruisce trasferimenti per circa 6,36 miliardi su dieci blockchain, valorizzandoli ai prezzi degli asset al momento della sottrazione; Chainalysis parla di circa 6,4 miliardi. Sono valutazioni riferite a criptovalute e token: non un’unica somma in dollari uscita da un conto bancario. [1][2][3]
TRM individua, tra i movimenti principali, 18.270 bitcoin, 233,46 milioni di XRP e circa 970.500 SOL. La porzione maggiore del controvalore passa da Ethereum. Per la società di analisi si tratta del più grande furto di criptovalute documentato fino a quel momento. Il primato riguarda questo settore e questo perimetro: non autorizza a trasformarlo automaticamente nel maggiore furto finanziario di ogni epoca. [2]
La differenza tra 6,34, 6,36 e 6,4 miliardi va quindi letta mantenendo fonte, precisione e criterio di valutazione. Una cifra aggiornata ai prezzi successivi può cambiare anche senza un ulteriore trasferimento.
Prima del colpo: il reclutatore, il finto CEO e il compito da scaricare
Il nuovo elemento del 3 novembre è la preparazione dell’attacco. La cronologia aziendale, ripresa anche da Reuters, descrive una campagna sviluppata in più fasi: non un singolo collegamento aperto pochi minuti prima del furto. [13]
- Giugno 2026. Un ingegnere del team wallet scarica un’installazione manomessa di uno strumento per sviluppatori. Binance afferma di avere individuato il problema, sostituito il dispositivo e cambiato le credenziali; l’episodio avrebbe però esposto il ruolo del dipendente e informazioni sui colleghi.
- Settembre. Un secondo ingegnere, in cerca di lavoro, affronta colloqui per una posizione apparentemente legittima, fino all’incontro virtuale con il presunto amministratore delegato di una società fittizia. Scarica sul computer un compito contenente codice malevolo.
- 20 ottobre. Il dispositivo compromesso e uno strumento di intelligenza artificiale interno vengono usati, secondo la ricostruzione, per raggiungere altri computer del gruppo che lavora sui wallet.
- 29 ottobre. Credenziali sottratte permettono di arrivare all’ambiente dal quale viene avviato l’attacco.
Il ruolo dell’IA va circoscritto: emerge come passaggio nell’accesso interno. I documenti non dimostrano che un modello abbia autonomamente progettato ed eseguito il furto. Il problema da chiarire è come identità, dispositivi e permessi abbiano consentito il passaggio da una postazione ai servizi più sensibili.
Il punto decisivo: far autorizzare una transazione può bastare
Il 30 ottobre Binance dichiarava di non avere trovato prove di una fuoriuscita delle chiavi private. Questa affermazione non esclude la compromissione di un sistema che le usa per firmare operazioni: custodire il segreto e controllare le richieste di firma sono difese differenti. [4]
La documentazione tecnica di Ethereum aiuta a capire il passaggio. EIP-7702 consente a un normale account di delegare l’esecuzione a codice esterno mediante un’autorizzazione firmata. È una funzionalità del protocollo, pensata anche per rendere più flessibili le operazioni dei wallet. La validità crittografica di una firma, però, non certifica che l’organizzazione abbia voluto o approvato economicamente quella delega. [10]
Se un aggressore riesce a far autorizzare una delega verso codice sotto il proprio controllo, può ottenere capacità operative senza dovere pubblicare la chiave privata del titolare. Nel caso Binance, TRM descrive proprio l’uso di questa funzione su Ethereum; sulle altre reti individua anche trasferimenti firmati ordinari. È uno dei motivi per cui l’analisi guarda all’infrastruttura di firma dell’exchange, anziché a un’unica blockchain. [2]
È qui che il blocco dei prelievi mostra il suo limite tecnico: fermare le richieste nell’applicazione non equivale, in generale, a revocare un’autorizzazione già registrata sulla rete. Sono interventi su livelli diversi. Per il lettore la domanda utile non è soltanto «hanno rubato una password?», ma anche «quali operazioni poteva autorizzare il sistema raggiunto dall’aggressore?».
La corsa a spostare i fondi e il prezzo pagato per farlo
Chainalysis descrive una seconda fase: convertire in fretta token congelabili dai rispettivi emittenti in altri asset, prima che arrivassero i blocchi. Secondo la sua ricostruzione, circa 325 milioni di dollari in stablecoin sono stati scambiati per circa 285 milioni in ETH in una ventina di minuti. La differenza di valutazione è un indizio della priorità assegnata alla velocità, non un normale rendimento di investimento. [3]
La stessa società segnala migliaia di transazioni e sequenze ripetitive compatibili con processi automatizzati. Un indirizzo nuovo non equivale necessariamente a una persona nuova: spezzare o far circolare i trasferimenti può rendere più difficile seguire gli asset, senza cancellare automaticamente la traccia pubblica.
Nel rapporto del 3 novembre Binance indica circa 2,85 miliardi di dollari congelati o intercettati, precisando che la cifra è soggetta a riconciliazioni e oscillazioni di mercato. Chainalysis riporta circa 2,8 miliardi alle 11:30 della costa orientale statunitense dello stesso giorno. Non sono somme da aggiungere tra loro: i perimetri possono sovrapporsi. [1][3]
Congelare non significa avere già restituito. Il blocco limita la possibilità di usare gli asset; il loro recupero e la successiva disponibilità per la parte danneggiata richiedono passaggi ulteriori. Perciò la cifra dei fondi bloccati non va presentata come un rimborso già eseguito.
Chi c’è dietro: l’attribuzione dell’FBI e la smentita nordcoreana
Il 31 ottobre l’FBI ha attribuito il furto alla Corea del Nord, identificando l’attività come TraderTraitor. L’avviso, diffuso con riferimenti al lavoro di Secret Service e IRS-CI, invita gli operatori del settore a bloccare transazioni collegate agli indirizzi indicati. È un’attribuzione dell’autorità investigativa statunitense, da riportare come tale. [9]
Chainalysis cita, a sostegno della propria analisi, la confluenza di fondi del caso Binance con fondi sottratti in un precedente attacco a Bitget attribuito ad attori nordcoreani. È un elemento della sua ricostruzione forense, non un’identificazione redazionale autonoma delle persone dietro gli indirizzi. [3]
La Corea del Nord respinge l’accusa: Associated Press riferisce il 3 novembre la smentita di Kim Yo Jong. L’attribuzione investigativa e la smentita vanno entrambe distinte da una sentenza sulle responsabilità individuali. [12]
Chi copre il buco: SAFU, risorse societarie e un altro fondo
Binance si è impegnata ad assorbire l’impatto finanziario senza trasferirlo agli utenti. Nel comunicato del 30 ottobre dichiarava oltre 6,34 miliardi di dollari di risorse aziendali accantonate, di cui 5 miliardi già nelle tipologie di token sottratte. Disporre del controvalore e avere ricomprato tutti i token nelle quantità necessarie sono passaggi diversi. [4]
L’aggiornamento del 31 ottobre elenca tre canali: il fondo di emergenza SAFU, una parte del fondo assicurativo dei futures e la tesoreria societaria. Per il fondo futures, Binance afferma di avere riallocato risorse eccedenti la copertura richiesta dal proprio sistema di gestione del rischio. Si tratta della spiegazione dell’exchange, non di una verifica indipendente compiuta da questa redazione. [5]
Il punto da seguire è la ricostituzione delle protezioni impiegate nell’emergenza. La società si impegna a riportare il SAFU a circa un miliardo di dollari. Riserve ricomprate dalla società e fondi sottratti ancora inseguiti sono flussi distinti: la copertura dei clienti può avanzare anche prima del recupero dagli aggressori. [5]
Dal 90% al 98%: i comunicati non raccontano una cronologia perfettamente allineata
Le percentuali pubblicate meritano attenzione, soprattutto quando vengono riprese senza la data del documento. Questa è la sequenza delle dichiarazioni, non una serie ricostruita da noi sul valore dei wallet:
| Documento | Indicazione riportata |
|---|---|
| 31 ottobre, aggiornamento n. 3 | Circa 90%; copertura completa per dieci asset elencati. [5] |
| 1 novembre, aggiornamento n. 4 | Circa 95%; acquisti ancora in corso per i token meno liquidi. [6] |
| 2 novembre, aggiornamento n. 5 | Richiamo al 95% e prova crittografica dello snapshot del 31 ottobre. [7] |
| 3 novembre, rapporto iniziale | 98% degli asset colpiti ricostituiti, con riferimento già al 31 ottobre. [1] |
Il riferimento retrospettivo al 98% non si allinea immediatamente alle percentuali dei comunicati precedenti. Nei passaggi citati manca un raccordo che spieghi questa differenza di data o di perimetro. È un chiarimento da attendere; non è, da solo, la prova di un nuovo ammanco né consente di correggere arbitrariamente uno dei numeri.
La prova delle riserve: cosa è verificabile e cosa resta fuori
Il 2 novembre Binance ha annunciato il completamento della prova crittografica relativa allo snapshot del 31 ottobre alle 00:00 UTC. Per dieci asset, tra cui BTC, ETH, USDT e USDC, dichiara verificabile una copertura di almeno uno a uno. Un ulteriore snapshot, con più token, è previsto per il 4 novembre: al momento di questa ricostruzione è un passaggio annunciato. [7]
La data e l’elenco sono parte del risultato. Verificare che un saldo sia incluso nello snapshot o che determinate attività sostengano i saldi considerati non equivale a descrivere ogni debito della società, ogni vincolo sugli asset o la sicurezza futura dell’infrastruttura.
È una distinzione generale richiamata già nel 2023 dall’Office of the Investor Advocate del PCAOB: le attestazioni di riserva non equivalgono a revisioni complete di bilancio e hanno limiti su passività, diritti sugli asset e controlli interni. Quel documento non è un giudizio sul caso Binance del 2026 e non dimostra che la prova pubblicata sia falsa. Serve a definire ciò che una verifica di questo tipo può e non può provare. [11]
Abbiamo approfondito separatamente i limiti della proof of reserves. Qui la domanda è concreta: quali asset, quale istante, quali obblighi e quali verifiche sono inclusi nella fotografia resa disponibile?
Prelievi riaperti, ma per combinazioni precise di token e rete
La prima riapertura annunciata per il 1° novembre riguardava reti e asset selezionati, tra cui BTC sulla rete Bitcoin ed ETH, USDT e USDC su Ethereum. L’accesso veniva ripristinato per fasi, al completamento dei controlli. [6]
L’aggiornamento del 3 novembre estende il programma a partire dalle 04:00 UTC a ulteriori combinazioni, su reti come BSC, Ethereum, Solana, XRP, Sui, Arbitrum, Optimism, Tron e Base. Binance precisa che i servizi elencati non diventano tutti disponibili contemporaneamente e che possono esserci ritardi temporanei. [8]
Un ulteriore aggiornamento dell’account ufficiale Binance Square comunica la riattivazione degli asset elencati sulle reti Ethereum e Solana, tra cui ENA e USDE sulla prima. È una conferma operativa per quelle combinazioni, non un annuncio di riapertura totale. [14]
Per un cliente, «prelievi riaperti» non è quindi un’informazione sufficiente. Conta la specifica combinazione di asset e rete riportata nella pagina ufficiale di prelievo o nello stato dei servizi. La disponibilità di un token su una rete non prova automaticamente quella dello stesso token su un’altra.
L’impegno a coprire le perdite finanziarie non cancella inoltre l’effetto operativo del blocco: durante una sospensione il cliente può avere il saldo contabilizzato, ma non il normale accesso al trasferimento esterno. Anche questa differenza fa parte della storia.
Le domande che restano dopo le prime risposte
Il rapporto pubblicato oggi resta iniziale. Binance annuncia una revisione di esperti indipendenti, ma il relativo risultato non è ancora contenuto nel documento. La chiusura del caso richiede riscontri su più fronti. [1]
- Accessi interni: come sono stati delimitati i permessi e perché l’infiltrazione ha potuto raggiungere la firma delle operazioni?
- Recuperi: quanti asset bloccati saranno effettivamente restituiti, con quali tempi e quale rendicontazione?
- Copertura: quando saranno ricomprati tutti i token ancora mancanti e chiarito il raccordo fra le percentuali comunicate?
- Verifiche: che cosa copriranno il nuovo snapshot e la revisione indipendente?
- Operatività: quando torneranno disponibili tutte le combinazioni di prelievo coinvolte?
Il furto mostra come un’infrastruttura crittografica possa eseguire operazioni formalmente valide che il suo titolare non intendeva consentire. Per valutare la risposta servono conti separati: ciò che è stato sottratto, ciò che è stato bloccato, ciò che la società ha ricostituito e ciò che il cliente può effettivamente prelevare.
Metodo: ricostruzione documentale aggiornata al 3 novembre 2026, basata sui comunicati dell’exchange, sull’avviso dell’FBI, sulle analisi dei fornitori citati e sui documenti tecnici richiamati. Le attribuzioni e le cifre sono riportate con fonte e perimetro; non abbiamo svolto una perizia autonoma dei sistemi Binance.
Illustrazione editoriale originale generata con IA per BorsaMagazine. Rappresentazione simbolica, non una fotografia o una ricostruzione documentale dell’attacco.
Fonti
- 1. Binance, 29 October 2026 Binance Security Incident: Initial Findings and Response Update, 3 novembre 2026; sezioni iniziali, Attack Preparation e Further actions
- 2. TRM Labs, North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 29 ottobre 2026; metodologia di valutazione, trasferimenti e infrastruttura di firma
- 3. Chainalysis, Binance Hack: Tracing the North Korea Link, pubblicato il 30 ottobre e aggiornato con dati al 3 novembre 2026, ore 11:30 ET
- 4. Binance, Security Incident Update #2, 30 ottobre 2026; risorse societarie, indagine e copertura dei token
- 5. Binance, Recovery Update #3, 31 ottobre 2026; copertura al 90%, SAFU e fondo futures
- 6. Binance, Recovery Update #4, 1 novembre 2026; prelievi per fasi e copertura al 95%
- 7. Binance, Recovery Update #5, 2 novembre 2026; prova crittografica dello snapshot del 31 ottobre e prossimo snapshot annunciato
- 8. Binance, Recovery Update #6, 3 novembre 2026; nuove combinazioni di asset e reti per i prelievi
- 9. FBI, North Korea Responsible for $6 Billion+ Binance Attack, 31 ottobre 2026; attribuzione TraderTraitor e richiesta di collaborazione
- 10. Ethereum Improvement Proposals, EIP-7702: Set Code for EOAs, creata il 7 maggio 2024; specifica e considerazioni di sicurezza, testo CC0
- 11. PCAOB, Office of the Investor Advocate, Exercise Caution With Third-Party Verification/Proof of Reserve Reports, 8 marzo 2023; limiti generali, non un pronunciamento sul caso del 2026
- 12. Associated Press, North Korea denies role in $6B Binance cryptocurrency heist, 3 novembre 2026; resoconto della smentita nordcoreana
- 13. Reuters, Binance hackers used fake job interview to compromise computer before $6.3 billion attack, 3 novembre 2026; articolo originale dell’agenzia riprodotto da StreetInsider
- 14. Binance Square Official, Latest Withdrawal Update, consultato il 3 novembre 2026; conferma di riattivazione per gli asset elencati sulle reti Ethereum e Solana