Il colpo a Binance: l'FBI collega TraderTraitor della Corea del Nord al furto di criptovalute più grande mai registrato
La sera del 29 ottobre 2026, prelievi non autorizzati hanno iniziato a svuotare le hot wallet di Binance su undici blockchain nel giro di poche ore. Le stime della perdita vanno dai circa 6,3 miliardi di dollari, cifra dello stesso exchange, a 6,43 miliardi, dove si è assestato il bilancio on-chain di Elliptic dopo giorni di conteggi — per la società di analisi, con ogni probabilità il singolo furto più grande di qualsiasi tipo nella storia. I prelievi sono stati sospesi la stessa notte, e il più grande exchange di criptovalute al mondo ha passato i giorni successivi a rassicurare i suoi circa 335 milioni di utenti registrati: il loro denaro non era mai andato via.
I numeri di un furto record
Ci sono pochi precedenti a cui aggrapparsi. Il bottino è più di quattro volte i 1,46 miliardi di dollari rubati a Bybit nel febbraio 2025 — all'epoca il record — e più di sei volte il miliardo di dollari circa che Saddam Hussein prelevò dalla banca centrale irachena nel 2003, come sottolinea il confronto di Elliptic. Sui conti dell'FBI, The Hacker News conta undici blockchain toccate, con l'82 per cento del valore su Ethereum e Bitcoin. La fetta più grossa era su Ethereum: circa 3,8 miliardi di dollari su 186 token, più 18.270 BTC per circa 1,48 miliardi di dollari.Corea del Nord, con elevata confidenza
Il 31 ottobre l'FBI ha attribuito formalmente il furto a TraderTraitor, un cluster allineato alla Corea del Nord noto anche come Jade Sleet e Slow Pisces, in coordinamento con i servizi statunitensi e l'IRS Criminal Investigation. Gli stessi attori sono legati ai colpi a Bybit e DMM Bitcoin e a incidenti minori su KelpDAO e Bitget. Gli analisti privati avevano indicato la stessa direzione entro poche ore: l'investigatore ZachXBT ha definito l'attaccante "probabilmente Lazarus", e TRM Labs ha pubblicato una valutazione con "elevata confidenza" sulla responsabilità di TraderTraitor — una unità che CoinDesk descrive come un sottoinsieme del gruppo Lazarus."Abbiamo ora reintegrato il 90% degli asset rubati e ci impegniamo a coprire il restante 10%". — Richard Teng, co-CEO di Binance, 31 ottobre 2026Binance ha sospeso i prelievi e poi si è impegnata a coprire integralmente tutte le perdite dei clienti. L'azienda ha messo da parte circa 6,34 miliardi di dollari di fondi propri — attingendo al fondo di garanzia Secure Asset Fund for Users da un miliardo di dollari, al fondo assicurativo futures e alla tesoreria societaria, secondo NBC News —, con il restante dieci per cento soprattutto in token poco liquidi, che richiederanno più tempo per essere riacquistati. I prelievi sono ripresi a fasi dalle 06:00 UTC del 1° novembre, e la corsa agli sportelli temuta è rimasta contenuta. The Block ha contato circa 3,64 miliardi di dollari di deflussi netti nelle prime nove ore e mezza — circa il 2 per cento degli asset in gestione — citando l'exchange: i volumi si sono "stabilizzati come previsto" dopo la punta iniziale, con depositi rimasti consistenti. Il bitcoin era già scivolato del 5 per cento, a 77.380 dollari, minimo di sei settimane, nelle ore successive alla notizia, come racconta la cronaca del Guardian.
Come sono state svuotate le wallet
La prima lettura pubblica di Binance indicava il laptop compromesso di un ingegnere DevOps come punto d'ingresso; l'azienda ha poi parlato di un attacco complesso con ulteriori punti di breccia e malware pensato per cancellare le tracce. La ricostruzione di Elliptic mostra l'attaccante che sfrutta la delega EIP-7702, una funzionalità introdotta con l'aggiornamento Pectra di Ethereum del 2025: un'unica transazione con cinquanta autorizzazioni firmate validamente ha delegato il controllo della wallet etichettata "Binance 14" a un contratto sweeper, che l'ha svuotata di 167.464 ETH e 63 token tre minuti e mezzo dopo. I fondi sono passati dall'infrastruttura di firma di Binance stessa e non da chiavi private rubate — a parole di Elliptic, sono stati compromessi l'infrastruttura e le persone intorno alle wallet, non la crittografia.La pista del riciclaggio
L'FBI ha mappato in anticipo le proprie aspettative. Dopo aver osservato l'attaccante convertire gli asset rubati soprattutto in Ethereum, l'agenzia si attende che i fondi vengano ulteriormente riciclati attraverso DeFi e servizi di swap istantaneo, e ha pubblicato gli indirizzi delle wallet contro cui i servizi devono filtrare. Il registro on-chain finora segue il copione: stablecoin scambiate con ETH e TRX con perdite dal 12 al 26 per cento, la velocità prima del valore; 59,9 milioni di USDT parcheggiati su Aave per prendere in prestito ETH contro di essi; TRX fatto transitare su almeno sei bridge diversi.- Circa 2,85 miliardi di dollari erano stati congelati o sequestrati on-chain nel giro di pochi giorni — il 44 per cento del furto, quasi tutto stablecoin, secondo Elliptic; la stima di Binance stessa è intorno ai 3 miliardi.
- Non è stato congelato nulla su Bitcoin, XRP Ledger, Solana o NEAR, lasciando all'attaccante circa 3,25 miliardi di dollari in asset non congelabili distribuiti su più di 800 indirizzi.
- Elliptic ha pubblicato una blocklist gratuita con oltre 8.000 indirizzi collegati per exchange e provider di wallet.
- Gli attori legati alla Corea del Nord avrebbero rubato più di 6,5 miliardi di dollari in criptovalute negli ultimi anni, e Elliptic nota che questo incidente quasi raddoppia quel totale.