Binance, 6,3 miliardi in 20 minuti: l’attacco sfrutta il sistema di firma, non (dichiaratamente) un leak dalle chiavi private

Il 29 ottobre 2026 sono usciti dagli hot wallet di Binance circa 6,3 miliardi di dollari su dieci blockchain, in gran parte in una ventina di minuti. L’attacco non è stato un phishing: il dato più rilevante è dove si è rotta la catena di sicurezza. – In aggiornamento.

Binance dichiara di non aver trovato evidenza di una fuga di chiavi private e indica come possibile punto di ingresso il laptop di un ingegnere DevOps, da cui l’attaccante avrebbe raggiunto un container di servizio abilitato a inviare prelievi. TRM Labs arriva a una conclusione coerente: su nove delle dieci catene i fondi sono stati inviati con normali trasferimenti firmati, il che starebbe ad indicare una compromissione dell’infrastruttura di firma e non una falla in una singola rete. Blockaid conta però undici chiavi di hot wallet che hanno firmato i trasferimenti, e Binance stessa parla ormai di “ulteriori punti di violazione”. La distinzione tra “chiavi rubate” e “chiavi fatte usare” resta quindi un’ipotesi in attesa del post-mortem.

Su Ethereum la scena è quasi cinematografica: l’attaccante ha aggiunto un meccanismo specifico. Alle 20:20 UTC una transazione ha inviato cinquanta autorizzazioni EIP-7702 firmate da Binance 14, ciascuna con un nonce diverso, perché ne bastava una in linea con lo stato del wallet. Quella valida ha delegato l’hot wallet a un contratto controllato dall’attaccante, che tre minuti dopo ha spostato 167.464 ETH e decine di token. La delega è rimasta attiva fino alla revoca, e questo ha permesso sweep ripetuti sui fondi che Binance continuava a inviare al wallet. EIP-7702 non risulta difettoso: ha reso persistente un accesso già ottenuto.

Il quadro è quello di un’operazione preparata con cura, il wallet operatore è stato finanziato tramite Tornado Cash il 28 ottobre e le prove generali si sono svolte nelle ore che hanno preceduto l’attacco e TRM e Chainalysis lo attribuiscono a TraderTraitor, noto anche con i nomi di Jade Sleet o UNC4899, ed è legato a ingenti furti di criptovalute, non ultimo Bybit e di norma rende di mira sviluppatori e personale DevOps del settore tecnologico e delle criptovalute, ricorrendo a falsi colloqui di lavoro e strumenti di sviluppo compromessi. Tuttavia per Binance il vettore iniziale non è dimostrato.

L’indagine iniziale di Binance suggerisce che l’incidente di sicurezza possa coinvolgere il laptop compromesso di un ingegnere DevOps, che avrebbe permesso a un attaccante di accedere a un contenitore di servizio e inviare transazioni di prelievo non autorizzate. L’impatto totale stimato si aggira intorno a 6,3 miliardi di dollari e circa 3 miliardi sono stati congelati on-chain con i partner blockchain. Viene subito dichiarato che tutte le perdite verranno coperte con il fondo SAFU e i fondi aziendali e che i fondi degli utenti sono al sicuro e nel frattempo i prelievi temporaneamente sospesi, l’autorizzazione dell’indirizzo viene revocata, mentre le forze dell’ordine e partner di intelligence blockchain vengono coinvolti.

Sul fronte del recupero l’esito è diviso a metà: circa 3 miliardi sono stati congelati, soprattutto stablecoin bloccate da Tether, Circle e altri emittenti, mentre il resto, in particolare BTC, XRP e gran parte degli ETH, non può essere bloccato da nessun emittente. Su questi fondi si concentra ora l’attenzione: finché restano fermi sugli indirizzi dell’attaccante sono tracciabili, e il primo deposito su un exchange o su un altro servizio mostrerà dove tenta di convertirli.

IN BREVE

• 1. Compromissione dell’infrastruttura di firma e danno da 6,3 mld
  • EIP-7702: cos’è e come funziona
• 2. Possibile compromissione degli hot wallet, prelievi anomali e attribuzione
• 3. Bitquery: 6,3 miliardi su nove blockchain, circa 2,7 congelati
• 4. SOCRadar: sintesi e implicazioni
• 5. Fondi non congelabili: aggiornamento della sera del 30 ottobre
• 6. TTP chiave: compromissione della signing infrastructure
• 7. Timeline dell’attacco a Binance (29-30 ottobre 2026)

1. Compromissione dell’infrastruttura di firma e danno da 6,3 mld

Binance dichiara di non aver trovato evidenza di una fuga di chiavi private, ma non ha spiegato come sia stato compromesso il laptop, come sia stato ottenuto l’accesso al container e perché i controlli sulle transazioni non abbiano bloccato i trasferimenti. Il quadro è stato poi complicato da due elementi: Blockaid conta undici chiavi di hot wallet che hanno firmato i trasferimenti, e Binance stessa parla di “ulteriori punti di violazione”.

Livello di confidenza: MEDIA (la questione delle chiavi è ancora aperta)

Ethereum, secondo l’analisi on-chain, l’attaccante ha usato EIP-7702 per associare uno smart contract all’hot wallet Binance 14 e avviare, tramite la funzione di sweep, il prelievo di ETH e token. Alle 20:20 UTC una singola transazione ha inviato cinquanta autorizzazioni firmate da Binance 14, ciascuna con un nonce diverso, e una sola è risultata valida. La delega richiedeva una firma crittografica valida del wallet, e non è noto come sia stata ottenuta. La delega è rimasta attiva fino alla revoca da parte di Binance e ha consentito sweep ripetuti sui fondi che l’exchange continuava a inviare al wallet. Sulle altre nove catene i fondi sono usciti con normali trasferimenti firmati, il che porta TRM Labs a indicare una compromissione dell’infrastruttura di firma e non una falla di EIP-7702 o di Ethereum.

Gli emittenti di stablecoin hanno inserito d’urgenza i wallet dei destinatari nelle blacklist degli smart contract, impedendo trasferimenti e scambi dei token sottratti. Tether ha bloccato oltre 1,567 miliardi di USDT e Circle circa 823 milioni di USDC; Ripple, World Liberty Financial e l’Arbitrum Security Council hanno congelato altre somme. Binance stima ora i fondi congelati in circa 3 miliardi di dollari. Il resto, in particolare BTC, XRP e gran parte degli ETH, non può essere bloccato dagli emittenti.

TRM Labs collega con elevata confidenza l’attacco a TraderTraitor, gruppo APT responsabile anche dell’hack di Bybit da 1,5 miliardi a febbraio 2025 mentre Chainalysis arriva a una valutazione analoga.

EIP-7702: cos’è e come funziona

Livello di confidenza: ALTA

EIP-7702, intitolata “Set Code for EOAs”, è stata attivata sulla mainnet di Ethereum il 7 maggio 2025 con l’upgrade Pectra. Su Ethereum esistono due tipi di account. Gli EOA sono i wallet normali: controllati da una chiave privata, firmano e inviano transazioni ma non eseguono codice. Gli smart contract account eseguono codice, ma non hanno una chiave privata e non avviano transazioni da soli.

EIP-7702 colma questo divario. Permette a un EOA di delegare l’esecuzione del proprio codice a uno smart contract già esistente, senza cambiare indirizzo, senza spostare fondi e mantenendo la chiave privata. In pratica un wallet tradizionale può comportarsi come un account programmabile: batch di operazioni, pagamento delle commissioni da parte di terzi, limiti di spesa, recupero dell’accesso.

Come funziona.

1. Il proprietario firma un’autorizzazione che contiene l’indirizzo del contratto, il chain ID e un nonce. Il chain ID deve essere quello della rete oppure 0: con 0 l’autorizzazione vale su qualsiasi catena.
2. L’autorizzazione viene inclusa in una transazione di tipo 0x04 (“set-code”). È valida solo se il nonce coincide con quello dell’account al momento dell’elaborazione, e dopo ogni autorizzazione valida il nonce aumenta di uno.
3. Una volta elaborata, l’EOA memorizza un delegation designator (0xef0100 seguito dall’indirizzo del contratto).
4. Da quel momento ogni chiamata all’EOA esegue il codice delegato, usando saldi e storage del wallet.
5. La delega non è temporanea: resta attiva finché il proprietario non ne firma un’altra. Per revocarla basta un’autorizzazione verso l’indirizzo zero, che cancella il codice.

Vantaggi: batching, sponsorizzazione del gas, compatibilità con ERC-4337 senza migrare a un nuovo wallet.

Il rischio. Una delega verso un contratto malevolo o scritto male può dare il controllo quasi totale dell’account. La specifica sconsiglia alle applicazioni di chiedere agli utenti di firmare autorizzazioni EIP-7702, perché non esiste un meccanismo standardizzato e sicuro per farlo lato applicazione. Wintermute ha osservato, già nelle prime settimane dopo Pectra, che oltre il 97% delle deleghe puntava a copie dello stesso contratto “sweeper” che svuota i wallet con chiavi compromesse.

Il caso Binance. L’attaccante ha inviato in un’unica transazione 50 autorizzazioni firmate da Binance 14, con nonce consecutivi, perché non conosceva il nonce corrente del wallet e ha coperto un intervallo. Una di queste ha agganciato il nonce del wallet e ha delegato l’hot wallet a uno sweeper che solo l’attaccante poteva comandare. Pochi minuti dopo la delega effettiva il wallet è stato svuotato. La delega è rimasta attiva per circa 3 ore e 46 minuti, fino alla revoca alle 00:10:35 UTC del 30 ottobre. Non è noto come l’attaccante abbia ottenuto le firme. TRM Labs e altri analisti escludono un difetto di EIP-7702 o di Ethereum e indicano una compromissione dell’infrastruttura di firma di Binance.

In sintesi: EIP-7702 rende i wallet tradizionali più flessibili, ma chi controlla le firme di un account può trasformarlo in un account che esegue codice altrui. Il rischio sta nella protezione delle firme, non nel meccanismo.

2. Possibile compromissione degli hot wallet, prelievi anomali e attribuzione

Nelle prime ore dopo l’inizio dei prelievi, la sera del 29 ottobre 2026, il quadro era ancora frammentario. Dagli hot wallet di Binance sulla rete Ethereum era partito un deflusso massiccio, che l’analista Spreek e il cofondatore Changpeng Zhao hanno giudicato simile a un attacco hacker. Le prime stime indicavano oltre 2 miliardi di dollari, mentre la scheda “binance-hacker-1029” su Arkham, aggiornata alle 00:36 ora di Mosca (21:36 UTC), contava 52 indirizzi con asset per circa 5,72 miliardi. In quel momento Binance non aveva ancora confermato né l’hack né l’entità del danno. Oggi ne conta 73.

La prima comunicazione ufficiale è arrivata su X: Binance ha parlato di un potenziale problema di sicurezza sotto indagine e ha assicurato che i fondi degli utenti erano al sicuro. Un portavoce ha precisato a Cointelegraph che l’impatto sui fondi dei clienti non era confermato. I primi blocchi sono stati di 971 milioni di USDT da parte di Tether e di 823 milioni di USDC da parte di Circle. CZ ha ringraziato i due emittenti, aggiungendo che, come azionista, si aspetta la piena copertura dei fondi dei clienti, mentre Allaire ha parlato di oltre 800 milioni di USDC congelati con le forze dell’ordine. Il totale dei fondi congelati confermato da Binance è poi salito a 2,54 miliardi e, in un aggiornamento successivo, a circa 3 miliardi.

Nelle prime ore circolava anche l’ipotesi di un coinvolgimento di Lazarus, senza prove. L’attribuzione a TraderTraitor è arrivata solo dopo, con le analisi on-chain. Il commingling dimostra che i flussi di riciclaggio si sovrappongono. Non è ancora una prova definitiva al 100% che sia esattamente lo stesso gruppo operativo in entrambi gli attacchi (potrebbe essere un servizio di laundering condiviso), ma è attualmente il collegamento più solido e verificabile a disposizione.

Nota: TraderTraitor è un cluster/operazione relativamente recente come denominazione e focus, ma non necessariamente un team completamente separato o privo di continuità con l’ecosistema APT38. Diverse fonti lo collocano come sub-cluster specializzato sotto l’ombrello Lazarus, con una missione distinta: crypto-theft anziché spionaggio o destructive operations. È vista come un’entità specializzata e probabilmente distinta operativamente, con TTP evolute ma un modello di missione coerente con l’ecosistema Lazarus; il laundering è una fase potenzialmente separata e riutilizzabile.

L’attribuzione rapida a DPRK poggia su evidenze on-chain immediate (commingling con Bitget, Tornado Cash, pattern Bybit/KelpDAO), non sul traffico di rete. Tuttavia, “alta confidenza” non è prova definitiva: il perimetro pubblico delle evidenze è parziale e la narrativa “NK default” merita scetticismo metodologico, non rifiuto automatico.

3. Bitquery: 6,3 miliardi su nove blockchain, circa 2,7 congelati

Livello di confidenza: ALTA

Bitquery ricostruisce che 17 hot wallet di Binance su nove blockchain hanno inviato circa 6,3 miliardi di dollari a un attaccante in meno di quattro ore, e che circa 2,7 miliardi risultano congelati. Altre analisi contano dieci blockchain, perché includono anche Avalanche, che Bitquery non elenca.

Cronologia (UTC):

• 29 ottobre, 14:54: il wallet gas riceve circa 1 ETH da Tornado Cash, dopo importi minori il giorno prima.
• 20:04: XRP Ledger, 233,5 milioni di XRP.
• 20:10: Solana.
• 20:20: Tron, Bitcoin e le 50 autorizzazioni EIP-7702 su Binance 14.
• 20:24: drain principale su Ethereum (167.464 ETH, 1,6 miliardi di USDT, 62 token).
• 20:30: Arbitrum.
• 21:01 e 21:04: primo congelamento di Tether e congelamento di 823 milioni di USDC da parte di Circle.
• 21:25: il CEO di Tether parla di oltre 1,567 miliardi di USDT bloccati.
• 22:33: Binance sospende i prelievi (secondo le ricostruzioni).
• 23:05: Polygon.
• 23:56: ultimo drain su Ethereum.
• 30 ottobre, 00:10: Binance revoca la delega EIP-7702.
• 00:18: l’Arbitrum Security Council blocca ARB ed ETH dell’attaccante.
• 02:25: Binance pubblica i primi risultati.

Distribuzione per catena: Ethereum 3,77 miliardi, Bitcoin 1,48 miliardi, Tron 628 milioni, XRP Ledger 300 milioni, Solana 96 milioni, Arbitrum 32 milioni, Polygon 10 milioni, Optimism 4,8 milioni, Base 2,7 milioni.

Congelamenti. Bitquery calcola 1,76 miliardi di USDT bloccati, il 71% degli USDT sottratti su Ethereum e Tron (1.759 milioni su 2.488). La cifra è superiore a quella annunciata alle 21:25 perché i congelamenti sono proseguiti. I restanti 729 milioni di USDT erano già stati convertiti prima del blocco, circa 234 milioni in TRX e, per differenza, circa 495 milioni in ETH.

Dove sono i fondi. Alle 06:43 UTC del 30 ottobre l’attaccante deteneva circa 3,2 miliardi: BTC 1,43 miliardi, ETH 1,14 miliardi, XRP 294 milioni, TRX 227 milioni, SOL 95 milioni, altri token 12 milioni. I BTC sono in 19 indirizzi, non spesi.

Precisazione sulle cifre circolate su X. I “875 milioni di ETH” e i “234 milioni di TRX” includevano anche monete comprate dall’attaccante con stablecoin rubate, quindi non rappresentano ciò che Binance ha perso in quegli asset.

4. SOCRadar: sintesi e implicazioni

Livello di confidenza: ALTA

SOCRadar conferma un furto stimato in circa 6,3 miliardi dagli hot wallet su circa dieci blockchain, iniziato alle 20:05 UTC del 29 ottobre. Il punto d’ingresso indicato da Binance è un laptop DevOps compromesso con accesso a un container di servizio; la causa completa non è stata pubblicata. Circa 3 miliardi sono congelati e Binance coprirà le perdite con SAFU e fondi aziendali.

Alle 04:17 UTC del 30 ottobre la co-CEO Yi He ha dichiarato che i prelievi dovrebbero riprendere entro 48 ore (un aggiornamento successivo parla di 45 ore), mentre i depositi sono operativi. Binance.US non è coinvolta: è una piattaforma separata e i prelievi sono partiti dagli hot wallet globali.

Mercato: BTC sotto i 77.000 dollari, BNB in calo di circa il 7%, ETH di circa il 5% in 24 ore, liquidazioni per circa 1,55 miliardi (1,34 miliardi su posizioni long). La perdita equivale a circa il 4% dei circa 144 miliardi di asset detenuti da Binance prima dell’attacco.

Indicatori:

• Wallet principale di ricezione: 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c. Quando è stato congelato conteneva 971,1 milioni di USDT e 823 milioni di USDC.
• 0x8532FA14ACAf483729C449b8458aedDb900543D4, etichettato “Binance Hot Wallet Exploiter 8” su Etherscan, ha ricevuto circa 195.460 ETH alle 20:38 UTC.
• Pattern: transazione EIP-7702 di tipo 4 con 50 autorizzazioni.

Raccomandazioni: isolare i percorsi di firma degli hot wallet per catena e per livello, trattare i laptop DevOps come asset di massimo livello, configurare i signer perché rifiutino autorizzazioni EIP-7702 inattese, aggiungere limiti di velocità sui prelievi e blocchi anomali, controllare depositi e scambi contro gli indirizzi collegati, formare il personale sulle false offerte di lavoro e sugli strumenti di sviluppo compromessi.

5. Fondi non congelabili: aggiornamento della sera del 30 ottobre

Livello di confidenza: MEDIA

I fondi non congelabili, circa 3,2-3,3 miliardi, sono ancora in gran parte fermi nei wallet dell’attaccante. Binance ha accantonato -secondo le fonti – oltre 6,34 miliardi per coprire le perdite: circa 5 miliardi erano già detenuti negli asset interessati e il resto viene acquistato sul mercato e con operazioni OTC, il che può richiedere tempo per la bassa liquidità. L’importo esclude i circa 3 miliardi congelati.

Sul riciclaggio, Chainalysis parla di schemi mai visti prima: migliaia di transazioni sospettate di essere automatizzate, con fondi che circolano in cicli tra indirizzi collegati. Gli investigatori segnalano inoltre molti wallet Tron che ricevono esattamente 1 TRX prima di inoltrare altri fondi. Elliptic riporta conversioni di circa 434 milioni di USDT in ETH tramite Uniswap, 1inch e sistemi RFQ di market maker. ZachXBT collega i fondi a quelli dell’attacco a Bitget.

Valutazione: la parte convertita in asset non congelabili è quella su cui si concentra il layering automatizzato, mentre BTC e XRP restano fermi. È probabile che il momento di maggiore attività arrivi quando l’attaccante tenterà il cash-out su exchange o canali OTC.

6. TTP chiave: compromissione della signing infrastructure

Lo schema è già visto nell’attacco a Bybit di febbraio 2025, quando i signer furono indotti a firmare una transazione malevola attraverso un’interfaccia manipolata. Nel caso Binance lo schema è analogo, anche se non identico: i dati disponibili indicano un abuso del percorso di firma, ma ancora non spiegano il meccanismo. Binance dichiara di non aver trovato evidenza di una fuga di chiavi, mentre Blockaid conta undici chiavi di hot wallet che hanno firmato i trasferimenti. Anche l’ipotesi di un sistema HSM/MPC con policy engine aggirato è una congettura: Binance non ha reso pubblica la propria architettura di firma.

In sintesi ciò che emerge sino ad ora: accesso via laptop DevOps → abuso del percorso di firma → EIP-7702 e drain multi-chain → layering rapido dei fondi.

Mappatura MITRE ATT&CK: confidenza bassa/media

N.B. La classificazione dello sweeper come malware è un’estensione del modello, non una corrispondenza diretta

• Passaggi non dimostrati. L’accesso iniziale è attribuito a un laptop DevOps compromesso, ma Binance non ha spiegato come sia avvenuta la compromissione. Un’ipotesi come il phishing (T1566) o l’uso di credenziali valide (T1078) è coerente con il comportamento abituale di TraderTraitor, ma nessuna fonte la conferma. Lo stesso vale per la manipolazione dell’interfaccia di firma (T1565.002), che è lo schema del caso Bybit: nel caso Binance è un’analogia, non un dato. Anche il presunto meccanismo di self-destruct (T1070) non è confermato da TRM, Chainalysis o Elliptic. Questi passaggi si potranno aggiungere quando Binance pubblicherà il post-mortem.
• Passaggi fuori dal perimetro del catalogo. La delega EIP-7702 che ha trasformato Binance 14 in uno sweeper, il finanziamento del wallet operatore tramite Tornado Cash e il riciclaggio dei fondi (peel chain su Bitcoin, swap su DEX, prestito su Aave) non hanno una tecnica dedicata nel catalogo Enterprise. 

7. Timeline dell’attacco a Binance (29-30 ottobre 2026)

Tutti gli orari sono in UTC. Sintesi basata su ricostruzioni on-chain (TRM Labs, Bitquery, Blockaid, BitOK, Crystal, Recoveris e altri) e comunicazioni ufficiali.

Fase di preparazione (28-29 ottobre)

• 28 ottobre: il wallet operatore dell’attaccante riceve i primi fondi gas da Tornado Cash (piccoli prelievi di ETH).
• 29 ottobre, 02:28: deploy della prima versione del contratto “sweeper” (versione di test).
• 13:51 – 14:24: prima prova generale su wallet di test controllati dall’attaccante (delegazione EIP-7702 e sweep di piccoli importi USDT/USDC).
• 14:54, 29 ottobre: il wallet gas riceve circa 1 ETH da Tornado Cash.
• Nel pomeriggio: deploy della versione definitiva del contratto sweeper (0x63e8…6fAe).
• 16:20 – 16:47: seconda prova generale con il contratto finale; consolidamento dei fondi di test.

Fase di drain principale (29 ottobre, ~20:04 – 21:00)

• 20:04 – 20:16: primi drenaggi su XRP Ledger (233,46 milioni di XRP da 5 hot wallet Binance), Solana, Optimism e Base.
• ~20:20, Bitcoin: 18.270 BTC da un hot wallet, subito divisi in 19 indirizzi.
• ~20:20, Tron: ~612,7 milioni di USDT e decine di milioni di TRX.
• ~20:20, Ethereum: transazione EIP-7702 con 50 autorizzazioni pre-firmate (nonce consecutivi) che delegano l’hot wallet “Binance 14” al contratto dell’attaccante.
• 20:24:23: sweep principale su Binance 14, con ~167.464 ETH, 1,615 miliardi di USDT e ~60-64 altri token (valore ~2,5 miliardi di dollari) verso l’indirizzo 0x5227…2f8c.
• 20:30 – 20:34 e oltre: drain su Arbitrum e altre catene; continua lo svuotamento su Ethereum.
• 20:41 – 21:00: tramite lo sweeper su Binance 14, l’attaccante ordina a Hot Wallet 34 (il wallet USDC) di rilasciare 780 milioni di USDC (20:41) e altri 43 milioni (20:59): in totale ~823 milioni di USDC.

La maggior parte del valore (~6,3 miliardi di dollari totali stimati da Binance e TRM) esce in circa 20-30 minuti.

Continuazione e risposta (29-30 ottobre)

• 21:01 – 21:04: Tether inizia a congelare USDT (poi confermati oltre 1,567 miliardi); Circle congela ~823 milioni di USDC.
• 21:16 – 21:29: Binance comunica di stare investigando un “potential security issue”; CZ conferma che sembra un hack e rassicura sui fondi degli utenti.
• 21:04 – 23:56: la delega EIP-7702 su Binance 14 resta attiva; i fondi che i sistemi di Binance continuano a inviare al wallet vengono sweepati ripetutamente (alle 21:04, 21:44, 22:39 e 23:56).
• ~22:15 – 22:33: Binance sospende i prelievi (gli orari riportati variano). Secondo alcune fonti sospende anche i depositi, poi dichiarati non interessati.
• Dopo le 23:00: seconda ondata di prelievi su Avalanche e Polygon.
• Notte del 30 ottobre: Binance revoca l’autorizzazione dell’indirizzo interessato (Binance 14).
• Intorno a mezzanotte (30 ottobre): l’Arbitrum Security Council congela circa 30,5 milioni di dollari (74,6 milioni di ARB e 8.425 ETH); Binance aggiorna i fondi congelati a ~3 miliardi di dollari.
• ~02:25: Binance pubblica le prime conclusioni: punto di ingresso sospetto = laptop di un ingegnere DevOps + container di servizio da cui sono state inviate le transazioni non autorizzate. Binance dichiara di non aver trovato evidenza di fuga di chiavi private (Blockaid conta però undici chiavi di hot wallet che hanno firmato i trasferimenti). Impatto stimato ~6,3 miliardi; Binance si impegna a coprire tutte le perdite (SAFU + fondi aziendali). In un aggiornamento successivo il co-CEO Richard Teng precisa che l’attacco non è stato un’azione “one-click” e che sono emersi ulteriori punti di violazione.
• Mattina e pomeriggio, 30 ottobre: altri emittenti congelano asset; le attribuzioni di TRM e Chainalysis puntano con alta confidenza a TraderTraitor (gruppo nordcoreano legato a Lazarus). I fondi non congelabili (BTC, ETH, XRP, SOL, TRX) restano in gran parte immobili sugli indirizzi dell’attaccante.

Riepilogo numerico

• ~6,3 miliardi di dollari: valore totale stimato (Binance e TRM).
• ~2,7 – 3 miliardi: fondi congelati, soprattutto stablecoin (Tether, Circle e altri).
• ~2,4 – 3,3 miliardi: fondi ancora sotto controllo dell’attaccante (principalmente BTC, ETH e asset non congelabili); le stime variano, fino a 3,33 miliardi secondo Elliptic.

La timeline è in continua evoluzione man mano che emergono nuove analisi on-chain e aggiornamenti ufficiali.

Olivia Terragni

Autore, ex giornalista, laureata in Lettere e Filosofia con indirizzo storico-economico e poi in Architettura, ha poi approfondito i suoi studi in Network Economy e in Informations Economics, conclusi con un Master in Cyber Security e Digital Forensics e un Master in Filosofia e Governance del Digitale. Appassionata di innovazione tecnologica e sistemi complessi e della loro gestione nell’ambito della sicurezza e della loro sostenibilità in contesti internazionali. Criminalista. Velista ottimista.

Aree di competenza: Geopolitica, Intelligence, Minacce Ibride, Divulgazione