Un colpo senza precedenti nel mondo delle criptovalute. Binance, il maggiore exchange al mondo, ha subito nella notte un furto stimato in 6,3 miliardi di dollari, poco meno di 5,6 miliardi di euro. L'attacco è partito intorno alle 21:05 ora italiana e in una ventina di minuti ha svuotato i wallet su dieci blockchain diverse. Binance ha sospeso i prelievi e assicurato che i fondi degli utenti sono al sicuro: le perdite saranno coperte dal fondo di emergenza SAFU e dalle casse della società.
Come è stato svuotato l'exchange
La ricostruzione più dettagliata è di TRM Labs, che ha seguito transazione per transazione. Il primo prelievo anomalo è scattato sull'XRP Ledger, poi nei minuti successivi i wallet di Binance su Solana, Bitcoin, Tron ed Ethereum hanno inviato i saldi a indirizzi controllati da un unico attaccante. Una seconda ondata dopo mezzanotte ha colpito Avalanche e Polygon. I portafogli svuotati erano hot wallet, collegati a internet per pagare i prelievi in tempo reale: comodi, ma per la stessa ragione più esposti. La voce più pesante riguarda Ethereum con circa 3,8 miliardi di dollari, seguita da Bitcoin con 18.270 BTC (1,47 miliardi) e Tron con 628 milioni.
Blocchi e contromisure
Buona parte del bottino è stata congelata grazie alle stablecoin: Tether ha bloccato quasi 1,57 miliardi in USDT, Circle oltre 800 milioni in USDC, Ripple circa 200 milioni e World Liberty Financial 27 milioni. L'attaccante ha però convertito in fretta parte delle stablecoin in ether, cedendo circa 325 milioni di USDT a operatori professionali con uno sconto superiore al 10%. I bitcoin restano fuori portata: divisi con una peel chain in 19 wallet, diciassette da 1.000 BTC ciascuno, possono essere fermati solo al passaggio verso un exchange collaborativo. Si stima che l'attaccante controlli ancora circa 2,4 miliardi in asset non congelabili.
Gli investigatori attribuiscono l'operazione a TraderTraitor, il gruppo d'élite nordcoreano già indicato dall'FBI per il furto da 1,5 miliardi ai danni di Bybit nel febbraio 2025. L'indagine preliminare di Binance punta al portatile compromesso di un ingegnere DevOps, da cui l'attaccante avrebbe raggiunto un service container interno per inviare richieste di prelievo non autorizzate. Non ci sono ancora attribuzioni ufficiali dei governi e la Corea del Nord non ha risposto a Reuters.
Il colpo vale quattro volte il precedente record e da solo supera di oltre il doppio i 2,9 miliardi raccolti da tutti gli attacchi informatici al settore nel 2025. Per Binance, che custodiva circa 144 miliardi di dollari, la perdita corrisponde a circa il 4% degli asset. Restano però da chiarire le comunicazioni contraddittorie sul servizio: il comunicato notturno parla di sospensione di depositi e prelievi, mentre la cofondatrice Yi He ha scritto su X che i depositi non sono mai stati interessati.
