Binance: l'FBI accusa la Corea del Nord del furto

Cosa è successo

Intorno al 29 ottobre 2026 da Binance, uno dei maggiori scambi di criptovalute, sono stati sottratti asset per circa 6,34 miliardi di dollari (dato ufficiale del rapporto Binance del 3 novembre; le prime testate avevano scritto 6,3 miliardi secondo Help Net Security, 6,36 su dieci blockchain secondo BleepingComputer). Sarebbe il più grande furto di criptovalute registrato.

Il 31 ottobre l'FBI ha pubblicato un avviso: responsabile è la Corea del Nord, tramite il gruppo TraderTraitor, lo stesso indicato per il furto da 1,5 miliardi a Bybit nel febbraio 2025. Le società di analisi blockchain TRM Labs e Chainalysis lo avevano già collegato al gruppo (secondo Help Net Security, entro un giorno).

I fondi sono stati convertiti soprattutto in Ethereum. L'FBI, con Secret Service e IRS Criminal Investigation, si aspetta altro riciclaggio tramite piattaforme DeFi e servizi di scambio rapido, e ha pubblicato 628 indirizzi (608 Ethereum, 19 Bitcoin, 1 Solana) chiedendo agli operatori di bloccare le transazioni collegate.

Come sono entrati

Binance ha spiegato che l'attacco è partito dal portatile compromesso di un ingegnere DevOps: da lì gli attaccanti hanno raggiunto un container di servizio e inviato prelievi non autorizzati (BleepingComputer, Help Net Security).

Il rapporto pubblicato da Binance il 3 novembre, nel racconto di The Register, aggiunge i passaggi:

1. Giugno: un ingegnere installa una versione malevola di Homebrew (attacco alla catena di fornitura); l'azienda sostituisce il dispositivo e cambia le credenziali.
2. Settembre: un secondo ingegnere viene contattato su una piattaforma di ricerca lavoro da un finto direttore di progetto. Due colloqui: una videochiamata con una finta responsabile HR, poi una chat con un finto CEO che gli chiede di scaricare un "compito" con codice malevolo.
3. Il codice, eseguito sul computer di lavoro, sostituisce un componente di uno strumento di sviluppo e comunica con un server degli attaccanti. La protezione aziendale non lo ha rilevato subito.
4. 20 ottobre: usando quel computer e uno strumento AI interno, gli attaccanti arrivano ai computer di due colleghi del team che gestisce i portafogli.
5. 29 ottobre: con un token di distribuzione dei container rubato, avviano lo script che sottrae i fondi.

Cosa cambia per i clienti

Binance dichiara che sosterrà lei l'impatto economico e non gli utenti: ha già coperto con fondi propri il 98% degli asset sottratti al 31 ottobre (dato ufficiale Binance; le prime testate scrivevano 95%, prima ancora 90%) — probabilmente una misura diversa dalla precedente (quantità di token coperti, non valore in dollari: non verificato, è un'ipotesi). Dice che i saldi dei dieci asset principali (tra cui BTC, ETH, USDT, BNB, SOL, USDC, XRP) sono coperti al 100%.

I depositi sono regolari. I prelievi sono ripresi a fasi dal 1º novembre (per BleepingComputer erano programmati); il 2 novembre sono state aggiunte altre cinque valute tradizionali, per un totale di 28 (Help Net Security).

Attenzione alle truffe: circolano falsi post sui social che promettono un "risarcimento" di 150 dollari da riscuotere nell'app. Un membro del team affiliati di Binance l'ha smentito su X; il cofondatore Changpeng Zhao ha messo in guardia dalle truffe (Help Net Security).

1. Non cliccare link che promettono rimborsi o bonus per l'incidente.
2. Controlla comunicazioni e annunci solo dai canali ufficiali di Binance, aprendo l'app o il sito da te, non da un link ricevuto.
3. Attiva l'autenticazione a due fattori sul conto, se non l'hai già fatto.

Cosa non è chiaro

Il rapporto ufficiale di Binance ha chiarito alcuni punti rispetto alle prime testate (vedi sopra: la cifra totale, il 98% di copertura, e il meccanismo usato per autorizzare i prelievi — deleghe EIP-7702, che affidano a un programma il diritto di firmare transazioni al posto del portafoglio, revocate da Binance sul portafoglio "Binance14" alle 00:10 UTC del 30 ottobre). Restano fonti che non dicono:

1. quanto sia stato davvero recuperato: Binance parla di circa 2,85 miliardi "congelati o intercettati" (dato ufficiale, non più solo di Help Net Security che dava circa 3 miliardi). Il 98% è la copertura con fondi di Binance, non denaro ritrovato;
2. come sia stato compromesso e usato lo strumento AI interno;
3. nome della finta società, della piattaforma di lavoro e della app di chat usate: il rapporto Binance non li nomina;
4. se Binance abbia verificato in modo indipendente l'attribuzione dell'FBI;
5. se ci siano clienti italiani coinvolti.

Da dove vengono questi dati

Lette per intero: il rapporto ufficiale di Binance (3 novembre 2026), BleepingComputer (1 novembre), Help Net Security (2 novembre) e The Register (3 novembre). L'avviso dell'FBI resta non aperto: risponde 403 ai programmi automatici anche in sede di verifica diretta, quindi i dettagli sui 628 indirizzi vengono dalle testate, non dal documento originale.