Gli investigatori hanno rintracciato miliardi attraverso i portafogli di criptovalute, mentre quasi 3 miliardi di dollari sono stati congelati. Ma dove si trova il denaro rimanente? L'indagine sull'hacking da 6,34 miliardi di dollari ai danni di Binance del 29 ottobre 2026 ha scoperto un'operazione elaborata che ha coinvolto falsi colloqui di reclutamento, strumenti per sviluppatori infetti e sistemi interni compromessi.

Secondo l'ultimo rapporto di Binance, pubblicato il 3 novembre, gli hacker hanno iniziato a preparare l'attacco almeno quattro mesi prima di sottrarre i fondi dal più grande exchange di criptovalute al mondo. L'FBI ha identificato il gruppo di hacker nordcoreano TraderTraitor come responsabile. Pyongyang nega l'accusa.

Come gli hacker sono entrati in Binance
La prima violazione è avvenuta a giugno, quando un ingegnere di Binance ha scaricato uno strumento di installazione software modificato mentre tentava di installare un'applicazione di programmazione basata sull'IA. Sebbene Binance avesse rilevato attività sospette, sostituito il computer e cambiato le credenziali, gli aggressori erano riusciti a ottenere informazioni preziose sull'infrastruttura dei portafogli dell'azienda.

A settembre, un altro ingegnere è stato contattato attraverso una legittima piattaforma di reclutamento. Il presunto datore di lavoro ha organizzato due colloqui, incluso un incontro video con il sedicente CEO di una società fittizia. Successivamente, all'ingegnere è stato ordinato di scaricare un compito di programmazione contenente codice malevolo.

Il 20 ottobre, gli aggressori hanno sfruttato il computer compromesso e uno strumento di IA interno per accedere ai sistemi di altri ingegneri. Nove giorni dopo, le credenziali rubate hanno permesso l'implementazione di software malevolo nell'infrastruttura di firma dei portafogli di Binance. Gli hacker non hanno avuto bisogno di rubare le chiavi private dei portafogli: hanno manipolato i sistemi autorizzati ad approvare le transazioni.

6,3 miliardi di dollari trasferiti in poche ore
Il furto è iniziato poco dopo le 20:00 UTC del 29 ottobre. Nel giro di quattro minuti, cinque portafogli di Binance hanno trasferito 233,46 milioni di XRP a un indirizzo controllato dagli aggressori.

Sono seguiti altri trasferimenti su Bitcoin, Ethereum, Solana, Tron e altre reti. L'investigatore blockchain TRM Labs stima che gli hacker abbiano estratto circa 3,79 miliardi di dollari dai portafogli Ethereum, incluse le stablecoin, e 18.270 Bitcoin per un valore di circa 1,47 miliardi di dollari.

Altri 628 milioni di dollari hanno lasciato i portafogli Tron, circa 296 milioni di dollari sono stati rubati in XRP e 96 milioni di dollari in token Solana. Su Ethereum, gli aggressori hanno sfruttato il meccanismo di autorizzazione EIP-7702, inviando 50 transazioni di firma per stabilire permessi malevoli. Questi permessi hanno consentito ai trasferimenti di continuare anche dopo che Binance ha iniziato a sospendere i normali prelievi. L'ultima transazione non autorizzata, che ha coinvolto 2.961,9 ETH, è stata confermata alle 23:56 UTC.

Dove sono finiti i soldi?
Gli hacker hanno iniziato immediatamente a convertire le stablecoin congelabili in criptovalute come Ethereum. Chainalysis ha identificato un'operazione in cui 325 milioni di dollari in stablecoin sono stati scambiati con circa 285 milioni di dollari in ETH in meno di 20 minuti. Gli aggressori hanno sacrificato effettivamente 40 milioni di dollari per spostare gli asset al di fuori dell'autorità di congelamento diretto degli emittenti di stablecoin. Gli investigatori hanno anche osservato migliaia di transazioni automatizzate attraverso indirizzi appena creati. Elliptic ha segnalato attività che hanno coinvolto circa 12.000 portafogli su 11 blockchain e circa 40.000 transazioni.

Secondo l'analisi di Bitquery del 3 novembre, gli aggressori controllavano ancora circa 3 miliardi di dollari, principalmente in Bitcoin ed Ethereum. Otto grandi portafogli Ethereum detenevano la maggior parte degli ETH tracciati, mentre 18.270 Bitcoin rimanevano distribuiti su 19 indirizzi. Alcuni fondi sono transitati attraverso servizi decentralizzati tra cui THORChain, Relay e SunSwap.

Bitquery ha tracciato 685 milioni di TRX distribuiti su 220 indirizzi e ha identificato ulteriori trasferimenti attraverso servizi di scambio cross-chain. Tuttavia, gran parte della criptovaluta rubata è rimasta in portafogli apparentemente inattivi. Le consistenze tracciate non confermano che i fondi abbiano raggiunto la Corea del Nord o siano stati convertiti in valuta convenzionale.

Quasi 3 miliardi di dollari congelati
Binance riferisce che circa 2,85 miliardi di dollari sono stati congelati o intercettati, equivalenti a circa il 45% degli asset rubati. L'FBI ha pubblicato 628 indirizzi di criptovaluta collegati al furto e ha esortato gli exchange e gli operatori di finanza decentralizzata a bloccare le transazioni sospette. L'attacco da 6,34 miliardi di dollari è oltre quattro volte superiore ai circa 1,5 miliardi di dollari rubati a Bybit nel febbraio 2025. La scala è straordinaria anche per gli standard dei crimini finanziari convenzionali.

Cosa succede ai clienti di Binance? Binance afferma che coprirà le perdite utilizzando il suo Secure Asset Fund for Users e le riserve aziendali. Entro il 31 ottobre, l'exchange ha riferito di aver ripristinato il 98% degli asset token interessati, sebbene le dichiarazioni successive abbiano utilizzato diverse misure di ripristino. Secondo Reuters, Binance ha subito 4,72 miliardi di dollari di prelievi netti da parte dei clienti entro il 2 novembre — circa il 3% degli asset detenuti sulla piattaforma.

Da allora i prelievi si sono ampiamente normalizzati.
Le più grandi domande senza risposta riguardano le falle di sicurezza che hanno permesso agli hacker di compromettere diversi dipendenti, la capacità di revocare rapidamente i permessi malevoli dei portafogli e la destinazione finale dei fondi rubati.

L'indagine dimostra una debolezza fondamentale nella finanza digitale: una sofisticata protezione crittografica non può compensare sistemi operativi compromessi. Per ora, miliardi rimangono visibili sulle blockchain pubbliche, ma visibilità non significa recupero.