Hack Binance da 6,3 miliardi di dollari: cosa è confermato, cosa no, e cosa significa per chi tiene crypto su un exchange

La sera di giovedì 29 ottobre 2026, in circa venti minuti, un attaccante ha spostato circa 6,3 miliardi di dollari fuori dai wallet di Binance su dieci blockchain. È il furto di crypto più grande mai registrato, circa quattro volte gli 1,5 miliardi sottratti a Bybit nel febbraio 2025. Binance dice che assorbirà la perdita e che i fondi degli utenti sono al sicuro. L'FBI dice che è stata la Corea del Nord. Restano aperte questioni centrali, a cominciare da come l'attaccante sia entrato. Questo articolo separa ciò che le fonti primarie stabiliscono da ciò che è ancora dichiarazione di parte, con i dati disponibili alle prime ore del 1° novembre 2026.

In breve

• Confermato da Binance: un incidente di sicurezza che ha coinvolto circa 6,3 miliardi di dollari di asset dei clienti. Ha sospeso depositi e prelievi giovedì, ha revocato le autorizzazioni degli indirizzi interessati e dice di non aver trovato prove di una fuga di chiavi private.
• Confermato dagli analisti on-chain: TRM Labs conta circa 6,36 miliardi spostati da wallet attribuiti a Binance su dieci blockchain, in gran parte in circa 20 minuti. Chainalysis conta circa 6,4 miliardi.
• Confermato dall'FBI: sabato 31 ottobre l'FBI, insieme a Secret Service e IRS Criminal Investigation, ha attribuito l'attacco a TraderTraitor, un gruppo nordcoreano legato allo Stato, secondo il resoconto della dichiarazione dato da NPR. La stessa unità era stata indicata per il furto di Bybit.
• Congelato: circa 2,7-2,8 miliardi secondo TRM e Chainalysis, soprattutto stablecoin bloccate da Tether, Circle, Ripple e World Liberty Financial. Binance ha parlato di circa 3 miliardi.
• Non noto: la causa. Binance ha indicato prima il laptop compromesso di un ingegnere DevOps, poi ha detto che l'indagine ha trovato ulteriori punti di violazione e che l'attacco era più complesso dell'abuso dei permessi di un solo ingegnere. Un'analisi tecnica finale è stata promessa, non pubblicata.
• L'impegno di Binance: dice di aver reintegrato circa il 90% degli asset rubati e di coprire il resto. La ripresa dei prelievi era indicata per domenica 1° novembre.

Cronologia

Mercoledì 28 ottobre, mattina. Secondo TRM, il wallet operativo dell'attaccante riceve tre piccoli prelievi da Tornado Cash, primo segno di preparazione. TRM dice che i preparativi sono iniziati almeno 36 ore prima del furto.

Giovedì 29 ottobre, di prima mattina. TRM riferisce che l'operatore ha messo in rete un primo codice e lo ha provato su due wallet, poi ha provato la versione finale su un terzo wallet e ha riportato i fondi di prova a sé. Circa quattro ore dopo la prova lo stesso codice è stato installato su un hot wallet di Binance.

Giovedì 29 ottobre, 20:05 UTC (16:05 a New York). Il primo furto, secondo TRM, avviene sull'XRP Ledger: tra le 20:05 e le 20:09 UTC cinque wallet di Binance inviano 233,46 milioni di XRP a un unico indirizzo dell'attaccante. Seguono poco dopo le 20:10 wallet su Solana e Optimism. Alle 20:20 un hot wallet Bitcoin di Binance invia 18.270 BTC a un indirizzo dell'attaccante, che inizia a spezzettarli in importi tondi nello stesso blocco. Entro due minuti un hot wallet su Tron invia 612,7 milioni di USDT e 46,4 milioni di TRX. Chainalysis colloca l'inizio dei deflussi intorno alle 16:20 ora di New York, cioè le 20:20 UTC, coerente con il prelievo su Ethereum descritto più avanti.

Giovedì 29 ottobre, dalle 21:01 alle 22:26 UTC. Iniziano i congelamenti. Secondo TRM, Tether ha congelato 971,1 milioni di USDT nel principale wallet ricevente alle 21:01 UTC, 37 minuti dopo il prelievo principale. Circle ha congelato 823 milioni di USDC alle 21:04. Ripple ha congelato RLUSD alle 22:01 e World Liberty Financial ha congelato USD1 alle 22:10. Chainalysis dice che i congelamenti sono iniziati entro le 17:14 ora di New York (21:14 UTC).

Giovedì 29 ottobre, 23:05 UTC. Una seconda ondata, secondo TRM, raggiunge wallet Binance su Avalanche e Polygon. Quella stessa notte Binance dice che il totale congelato verificato ha raggiunto 2,54 miliardi di dollari.

Venerdì 30 ottobre. Binance dichiara che l'impatto è di circa 6,3 miliardi con circa 3 miliardi congelati, che coprirà tutte le perdite con il fondo SAFU e con fondi aziendali, e che i primi accertamenti indicano un laptop compromesso di un ingegnere DevOps. TRM e Chainalysis pubblicano l'attribuzione alla Corea del Nord. Bitcoin tocca il minimo di sei settimane a 76.368 dollari ed Ether il minimo di due mesi a 2.178, secondo Al Jazeera. In giornata Binance dice di aver trovato ulteriori punti di violazione.

Sabato 31 ottobre. L'FBI conferma la responsabilità nordcoreana. Binance riferisce di aver reintegrato circa il 90% degli asset rubati, dall'80% circa dell'aggiornamento precedente, e pubblica un nuovo snapshot della proof of reserves.

Domenica 1° novembre. Obiettivo dichiarato da Binance per la ripresa dei prelievi. Al momento della stesura non abbiamo potuto confermare se sia avvenuta. Una proof of reserves completa è stata promessa entro martedì 3 novembre.

Cosa è stato preso, blockchain per blockchain

TRM ha tracciato ogni trasferimento dai wallet attribuiti a Binance verso indirizzi controllati dall'attaccante e ha valutato ciascuno al prezzo dell'asset nel momento in cui è stato prelevato. Le sue cifre, aggiornate al 30 ottobre alle 00:30 UTC:

Totale: circa 6,36 miliardi al momento del furto. Ai prezzi del 30 ottobre, TRM valutava gli stessi asset circa 6,23 miliardi. Chainalysis arrotonda a 6,4 miliardi e Binance a 6,3. Binance ha anche avvertito che la cifra potrebbe continuare ad aumentare man mano che traccia altri asset. Le differenze riguardano la data di valutazione e il metodo, non un disaccordo su ciò che è successo.

Come si è mosso l'attaccante: cosa mostra la blockchain

La ricostruzione tecnica pubblica più dettagliata è quella di TRM. È un'analisi di dati pubblici della blockchain, non una dichiarazione di Binance, e va letta così.

Ethereum. L'attaccante ha usato un meccanismo chiamato EIP-7702, introdotto con l'aggiornamento Pectra di Ethereum a maggio 2025, che permette a un wallet ordinario di cedere il controllo del proprio comportamento a uno smart contract firmando un'autorizzazione. Alle 20:20 UTC l'operatore ha inviato un'unica transazione con 50 autorizzazioni, ciascuna firmata dall'hot wallet di Binance, ciascuna che puntava il wallet a un contratto che accetta istruzioni solo dall'attaccante. Poiché un'autorizzazione è valida solo a un preciso numero di transazioni e l'hot wallet elabora un flusso continuo di prelievi, preparare firme per 50 numeri consecutivi garantiva che una fosse ancora valida all'esecuzione. Una ha coinciso. Tre minuti e 24 secondi dopo l'operatore ha ordinato al wallet di inviare tutto il saldo, spostando 167.464 ETH e 63 token, tra cui 1,615 miliardi di USDT. La delega è rimasta attiva e TRM dice che l'attaccante ha ripulito i nuovi arrivi alle 20:41, 20:59, 21:04, 21:44, 22:39 e 23:56 UTC.

Tutto il resto. Sulle altre nove blockchain e su un secondo hot wallet Ethereum, secondo TRM i fondi sono usciti con ordinari trasferimenti firmati, senza delega. Questi wallet usano blockchain, tipi di chiave e schemi di firma diversi, eppure hanno prodotto tutti firme valide per l'attaccante in circa mezz'ora.

Da questo schema TRM trae la sua valutazione centrale: la spiegazione più probabile è che l'attaccante abbia ottenuto la capacità di far firmare al sistema di firma degli hot wallet di Binance transazioni a sua scelta su più blockchain. Il lotto di 50 autorizzazioni pre-firmate suggerisce che l'accesso fosse limitato nel tempo oppure che le firme dovessero essere richieste attraverso un sistema. TRM aggiunge, in modo netto: «Binance non ha ancora pubblicato una causa».

I primi commenti avevano ipotizzato che le autorizzazioni su Ethereum fossero state carpite con phishing. TRM osserva che questa spiegazione copre Ethereum e lascia inspiegate le altre blockchain. Consideriamo quindi il «phishing» non supportato per l'incidente nel suo insieme.

Cosa dice Binance sulla causa

Le dichiarazioni di Binance, in ordine:

1. Venerdì 30 ottobre. «L'indagine iniziale di Binance suggerisce che l'incidente di sicurezza possa riguardare il laptop compromesso di un ingegnere DevOps, che ha permesso a un attaccante di accedere a un service container e di inviare transazioni di prelievo non autorizzate. Non abbiamo trovato prove di alcuna fuga di chiavi private di wallet. Condivideremo un'analisi tecnica dettagliata una volta conclusa l'indagine e verificati i fatti».
2. Più tardi lo stesso giorno. Il co-CEO Richard Teng ha detto che l'attacco ha coinvolto un processo più complesso dell'abuso dei permessi di un solo ingegnere, secondo CNBC. Binance ha poi detto che ulteriori accertamenti hanno individuato «ulteriori punti di violazione», senza specificarli.
3. Venerdì 30 ottobre. Teng ha scritto su X che l'indagine «non ha attribuito la responsabilità a nessun individuo», secondo Al Jazeera.

Vale la pena tenere separate due letture. «Nessuna prova di fuga di chiavi private» riguarda ciò che Binance ha trovato finora, non dimostra che nessuna chiave sia stata esposta. In un'intervista a Reuters ripresa da Al Jazeera, l'ex capo di Mt. Gox Mark Karpelès ha detto che gli attaccanti hanno probabilmente avuto accesso alle chiavi di almeno due wallet di Binance. È l'opinione di un esperto esterno che non ha visto i sistemi di Binance, e Binance non l'ha confermata. In secondo luogo, lo schema di firma descritto da TRM è coerente con una compromissione dell'infrastruttura di firma e non richiede una chiave trapelata: un attaccante che riesce a far firmare a un sistema di firma legittimo non ha bisogno di possedere la chiave. Lo segnaliamo come considerazione analitica, non come accertamento su Binance.

Chi è stato: tre livelli di attribuzione

L'attribuzione poggia su tre fonti distinte, che non hanno la stessa forza.

1. TRM Labs. TRM attribuisce l'attacco con «alta confidenza» a TraderTraitor, l'unità nordcoreana che l'FBI aveva indicato per il furto di Bybit del febbraio 2025. Le ragioni sono informazioni on-chain e off-chain che non rende del tutto note, più caratteristiche in comune con l'attacco a Bybit e con quello a KelpDAO di aprile 2026: piccoli prelievi da Tornado Cash che finanziano un wallet operativo, preparazione iniziata ben prima del furto, firme ottenute in anticipo ed eseguite in un'unica raffica. TRM osserva inoltre che il riciclaggio finora, basato su grandi scambi tramite market maker e protocolli di prestito, differisce dallo schema centrato sui bridge visto dopo Bybit.

2. Chainalysis. Chainalysis ha valutato che la responsabilità fosse di TraderTraitor, citando l'attività on-chain nelle ore successive al furto, e dice che la prova più forte è arrivata quando ha visto i fondi rubati a Binance mescolarsi in tempo reale con quelli del furto Bitget di settembre, già attribuito ad attori nordcoreani. Ha annunciato la valutazione alle 00:30 ora di New York del 30 ottobre.

3. L'FBI. Sabato l'FBI, con Secret Service e IRS Criminal Investigation, ha confermato la responsabilità nordcoreana. NPR riporta la dichiarazione: «L'FBI, insieme ai partner di USSS e IRS-CI, ha osservato attori TraderTraitor convertire gli asset rubati principalmente in Ethereum (ETH). Si prevede che questi asset saranno poi ulteriormente riciclati convertendoli con servizi DeFi e di scambio istantaneo mentre li preparano per ulteriori fasi di riciclaggio». Secondo TokenPost, l'FBI ha anche pubblicato centinaia di indirizzi collegati su Ether, Bitcoin e Solana e ha invitato gli operatori di nodi THORChain, gli operatori di nodi RPC, le piattaforme di scambio istantaneo, i servizi DeFi e le società di analisi a bloccare le transazioni che li riguardano. La pagina dell'FBI non era accessibile ai nostri strumenti, quindi per il testo ci affidiamo a NPR e TokenPost.

La dichiarazione dell'FBI è la più forte delle tre. Resta comunque un'attribuzione di un'agenzia governativa, e la Corea del Nord nega abitualmente di essere coinvolta nei furti di crypto, come ricorda Al Jazeera. Binance, da parte sua, dice di non aver attribuito la responsabilità e di lavorare con le forze dell'ordine per confermare l'identità dei responsabili.

La corsa contro i congelamenti

La lezione più utile dei dati riguarda la velocità. Ecco cosa hanno documentato gli analisti.

Cosa è stato congelato. TRM conta circa 2,7 miliardi congelati on-chain al 30 ottobre alle 00:30 UTC: circa 1,77 miliardi di USDT congelati da Tether, circa 825 milioni di USDC congelati da Circle, 40,5 milioni di RLUSD congelati da Ripple, 27,8 milioni di USD1 congelati da World Liberty Financial e circa 30 milioni di dollari in ETH e ARB portati fuori dalla portata dell'attaccante dall'Arbitrum Security Council, un gruppo che può intervenire in emergenza su quella rete. Chainalysis conta circa 2,8 miliardi. Il conteggio di Binance quella notte era di 2,54 miliardi verificati, poi «circa 3 miliardi». I conti differiscono perché fatti a ore diverse e con perimetri diversi.

Cosa ha fatto l'attaccante in risposta. Entrambe le società descrivono il tentativo di convertire stablecoin congelabili in asset che nessun emittente può bloccare, a un costo. TRM dice che circa 325 milioni di USDT sono stati venduti a market maker tramite UniswapX e altri contratti basati su intenti per circa 122.300 ETH, un prezzo vicino a 2.650 dollari per ETH quando ETH valeva circa 2.300-2.350, uno sconto di oltre il 10%. Un secondo wallet ha depositato 60 milioni di USDT sul protocollo di prestiti Aave e ha preso in prestito circa 19.760 ETH, dopodiché Aave ha congelato i mercati interessati. Chainalysis descrive lo stesso sforzo come lo scambio di 325 milioni di stablecoin con 285 milioni di ETH in quasi 20 minuti. Su Tron, 300 milioni di USDT sono passati a un wallet che ha iniziato a depositarli sul protocollo di prestiti JustLend.

Cosa resta fuori portata. TRM stima che l'attaccante detenga ancora più di 420.000 ETH e 18.270 BTC, circa 2,4 miliardi di dollari in asset fuori dalla portata di qualsiasi emittente, secondo la sua fotografia del 30 ottobre. Chainalysis descrive schemi di riciclaggio che dice di non aver mai visto: migliaia di transazioni automatizzate in poco tempo, con fondi fatti circolare ripetutamente tra indirizzi e molti indirizzi che ricevono per prima cosa esattamente 1 TRX. Entrambe le società si aspettano che i fondi continuino a muoversi nei prossimi giorni verso bridge, servizi di scambio e intermediari OTC.

Cosa significa «congelato». Ari Redbord di TRM Labs ha detto a CNBC che «un congelamento ferma il denaro, e il recupero segue attraverso un procedimento legale», di norma un ordine del tribunale o un mandato di sequestro. Eric Jardine di Chainalysis ha aggiunto che restituire gli asset congelati richiede coordinamento tra forze dell'ordine, exchange ed emittenti e che «non esiste una tempistica standard di recupero». Un saldo congelato non è un saldo restituito. Le stablecoin sono la classe di asset più recuperabile perché l'emittente controlla il contratto del token, mentre recuperare Bitcoin ed Ether significa rintracciarli fino a un exchange che collabori.

La risposta di Binance: le dichiarazioni e come verificarle

Il terzo aggiornamento di Binance, pubblicato il 31 ottobre, contiene affermazioni concrete. Le elenchiamo con il modo per controllarle.

• «Oltre 6,34 miliardi di dollari» accantonati in fondi aziendali per coprire la perdita. È una dichiarazione di Binance sul proprio bilancio. Non abbiamo visto una verifica indipendente.
• «Circa 80%», poi «90%» degli asset rubati reintegrati. Binance dice che il reintegro ha usato un impiego parziale del proprio Secure Asset Fund for Users (SAFU), una parte del fondo assicurativo dei futures e la tesoreria aziendale, e che continua ad acquistare gli asset mancanti sul mercato e fuori mercato. Il 10% residuo è composto da token meno liquidi, fuori dai primi dieci.
• «Tutti BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC sono coperti al 100%». È l'affermazione che conta di più per i clienti, ed è una dichiarazione sulle riserve di Binance stessa. È stato pubblicato un nuovo snapshot di proof of reserves datato 31 ottobre alle 00:00 UTC. Binance dice che la prova completa a conoscenza zero richiede da 40 a 50 ore di calcolo e sarà pronta entro martedì 3 novembre, dopodiché gli utenti potranno verificare che i propri saldi siano coperti almeno 1:1. Fino ad allora lo snapshot è una dichiarazione, non una prova completata. Teng aveva indicato in precedenza lunedì 2 novembre per un report completo, secondo TokenPost; la stima del 3 novembre è del terzo aggiornamento di Binance.
• SAFU. Binance dice che il SAFU è detenuto e gestito da Nest Clearing and Custody Limited, una clearing house riconosciuta e regolata dall'autorità finanziaria dell'Abu Dhabi Global Market, e che lo reintegrerà fino a circa 1 miliardo di dollari. Al Jazeera indica il SAFU a 1 miliardo prima dell'incidente, e un analista citato da CNBC a circa 1,2 miliardi. In ogni caso è una frazione della perdita: la somma rubata è più di sei volte il fondo come lo descrive Al Jazeera.
• Fondo assicurativo dei futures. Binance dice di aver rilasciato solo l'eccedenza sopra il livello richiesto dal proprio quadro di rischio e che il resto è un requisito regolamentare.

Sean Farrell di Fundstrat Global Advisors ha detto a CNBC che l'incidente «al momento non sembra creare un rischio di insolvenza significativo per Binance», con gli indicatori chiave nella rapidità con cui riprendono i prelievi e nel fatto che i deflussi restino ordinati. È il parere di un analista al 30 ottobre, e una ripartenza è un test, non una garanzia.

La reazione dei mercati

Bitcoin ha toccato 76.368 dollari, minimo di sei settimane, ed Ether è sceso di oltre il 3% a 2.178, minimo di due mesi, secondo Al Jazeera, che per la reazione del mercato cita Reuters. Coinbase, che ha detto di non essere coinvolta, ha perso circa il 4,8%. CNBC ricorda che le crypto erano già sotto pressione per tassi d'interesse USA più alti e minore domanda per gli exchange-traded fund. Siamo cauti nell'attribuire l'intero movimento a questo singolo evento.

La questione Europa

Molti dei nostri lettori si chiederanno la stessa cosa: mi riguarda? La risposta onesta è che il quadro pubblico non dice quali entità o gruppi di clienti di Binance siano stati coinvolti.

• CNBC riferisce che l'incidente ha colpito la piattaforma offshore di Binance e che il suo exchange regolamentato negli Stati Uniti non ha avuto un problema analogo.
• Le dichiarazioni di Binance parlano di «asset dei clienti» e «fondi degli utenti» senza nominare le entità.
• Come abbiamo riportato in Binance ferma tutti i servizi UE dal 1° luglio, Binance ha sospeso trading, prestiti e ricompense per gli utenti europei dal 1° luglio 2026 dopo non aver ottenuto una licenza MiCA. Chi nell'UE ha ancora un conto dovrebbe chiedersi quale entità lo detiene e a quali condizioni.

Non abbiamo trovato una dichiarazione di Binance che dica se i clienti europei siano stati o meno coinvolti, e non intendiamo ipotizzarlo. Se hai fondi su Binance in qualsiasi forma, leggi gli annunci ufficiali e il canale di assistenza, non i social.

Cosa dice questo sul rischio degli exchange

Questa sezione è informazione generale, non consulenza finanziaria, e evitiamo deliberatamente di dire a qualcuno di spostare fondi.

I fatti sostengono tre punti che reggono qualunque sia il bilancio finale di Binance.

1. La custodia concentra il rischio. Sean Foley della Macquarie University ha detto ad Al Jazeera che «qualsiasi asset detenuto su un exchange centralizzato è sicuro quanto l'exchange stesso, e più grandi sono le disponibilità dell'exchange, più grande è il bersaglio che diventa». Tyler Moore dell'Università di Tulsa ha detto a CNBC che non esistono protezioni integrate quando questi hack avvengono e ha paragonato la situazione all'assicurazione sui depositi per i clienti delle banche. Altri intervistati da CNBC non erano d'accordo: Ido Ben-Natan di Blockaid ha sostenuto che, poiché Binance si è impegnata a coprire tutto, gli utenti non dovrebbero perdere denaro e che gli exchange possono essere un posto ragionevole dove tenere fondi. Gli esperti sono in disaccordo, e chi dice che la risposta è ovvia sta vendendo qualcosa.

2. La protezione è il bilancio dell'operatore, non una regola. NPR osserva che Binance non è necessariamente obbligata a rimborsare i clienti secondo le norme attuali, e cita Amanda Fischer di Better Markets su quanto sia debole il quadro regolamentare delle crypto rispetto ai broker tradizionali. Lo stesso schema si è visto nel terzo trimestre: nella nostra analisi del report Hacken sul Q3 gli operatori hanno coperto circa 410 milioni di dollari agli utenti con fondi propri. È un esito osservato, non una garanzia, e dipende da un operatore solvibile e disposto a farlo.

3. La proof of reserves risponde a una domanda più stretta di quanto si creda. Una proof of reserves dice se le riserve dichiarate coprono i saldi dichiarati. Dice poco su quanto siano protetti i sistemi di firma e gli accessi interni, che è dove è avvenuto questo incidente. Vale comunque la pena controllarla, e come si legge è spiegato nella nostra guida alla proof of reserves. In questo caso la prova promessa da Binance è la cosa da guardare dal 3 novembre.

Indicazioni pratiche che discendono dai fatti

• Aspettati truffe. Dopo gli incidenti grandi arrivano falsi servizi di recupero e phishing. Binance chiede agli utenti di affidarsi solo ai canali ufficiali per gli aggiornamenti. Nessun servizio legittimo ti chiederà seed phrase, password o codici di verifica per «ripristinare» l'accesso.
• Sappi quale entità detiene il tuo conto e quale autorità la vigila. Determina quali tutele, se ce ne sono, si applicano.
• Tieni su un exchange solo ciò che ti serve. Quanto sia, lo decidi tu. Le nostre guide su autocustodia multisig e su pianificazione ereditaria trattano l'alternativa e i suoi rischi, che gli incidenti sugli hardware wallet di quest'anno mostrano essere reali: vedi la nostra ricostruzione del caso Ledger.

Contesto: il confronto con gli altri casi

Binance vale circa quattro volte Bybit, secondo TRM, e circa 16 volte Bitget. Chainalysis dice che fondi di Binance si sono mescolati on-chain con fondi di Bitget, ed è per questo che descrive i due casi come collegati. Quel collegamento è un riscontro analitico di Chainalysis, non giudiziario. Per il caso Bitget in sé, e per capire perché il 77% delle perdite del terzo trimestre è passato fuori dalle revisioni di sicurezza, vedi la nostra analisi del report Hacken sul Q3.

Al Jazeera aggiunge la cornice geopolitica. Il Dipartimento del Tesoro USA ha sanzionato il Lazarus Group nel 2019, dicendo che era controllato dall'ufficio di intelligence principale della Corea del Nord. Il responsabile politiche di TRM Ari Redbord dice che quando la Corea del Nord ruba su questa scala, «il denaro finanzia la proliferazione di armi e altre attività destabilizzanti». È una valutazione di esperti, coerente con il contesto delle sanzioni ONU descritto da Al Jazeera, e non qualcosa che possiamo verificare in modo indipendente.

Un altro fatto dello stesso giorno, riportato da CNBC: il mercato di previsione Polymarket ha sospeso gli scambi sul suo exchange internazionale dopo che un fornitore di dati terzo è stato hackerato, con almeno 2,7 milioni di dollari sottratti dai wallet degli utenti. È un incidente separato e di scala molto minore, e indica lo stesso tema dei componenti di terzi.

Cosa ancora non sappiamo

• La causa. La prima spiegazione di Binance (il laptop compromesso di un ingegnere) è stata seguita da «ulteriori punti di violazione». L'analisi tecnica promessa non è stata pubblicata.
• Se siano stati compromessi un sistema di firma o delle chiavi. L'analisi di TRM punta all'infrastruttura di firma. Binance dice di non avere prove di fughe di chiavi. Possono essere vere entrambe, e nessuna è verificata da terzi.
• Quali clienti ed entità siano stati coinvolti, e se ci siano conti europei.
• Se la copertura al 100% dichiarata da Binance regga. La proof of reserves completa è attesa entro il 3 novembre.
• La perdita finale e il recupero. Le stime sono 6,3-6,4 miliardi rubati e 2,7-3 miliardi congelati, ma congelare non è recuperare. Circa 2,4 miliardi erano, secondo TRM al 30 ottobre, in asset che nessun emittente può congelare, e si stanno ancora muovendo.
• Se i prelievi siano effettivamente ripresi e in quale ordine, nel momento in cui leggi.
• Arresti o accuse. Non ne abbiamo trovati, e l'attribuzione a un attore statale rende poco probabile un procedimento a breve, anche se non possiamo prevederlo.

La nostra valutazione

Il nucleo documentato è stretto e serio. Un solo attore, che l'FBI valuta essere un'unità nordcoreana legata allo Stato, ha ottenuto la capacità di muovere fondi fuori dai wallet di Binance su dieci blockchain in circa mezz'ora. Qualunque sia la causa finale, lo schema on-chain, con blockchain e tipi di chiave diversi che producono firme valide nella stessa breve finestra, rende difficile spiegarlo con una singola autorizzazione carpita col phishing.

L'esito finanziario per i clienti, se le dichiarazioni di Binance reggono, è una perdita sopportata dall'azienda e non dagli utenti. Quell'esito dipende dalla dimensione e dalla volontà di un'azienda, non è una caratteristica del sistema. Un exchange più piccolo colpito da un attacco di questo tipo non avrebbe avuto 6,34 miliardi da accantonare. È questo, più della cifra in titolo, il motivo per cui l'incidente conta per come si ragiona sul rischio di controparte.

Aggiorneremo l'articolo quando Binance pubblicherà la sua analisi tecnica e la proof of reserves completa, quando l'FBI o altre autorità pubblicheranno altro, o se le cifre della perdita saranno riviste.

Domande frequenti