Hack Binance da 6,3 miliardi: come hanno fatto a portare via i soldi

Giovedì 29 ottobre 2026, poco dopo le 21:20 ora italiana, il wallet Ethereum che gli esploratori di blockchain etichettano come «Binance 14» ha svuotato se stesso in una sola transazione: 167.464 ether, 1,615 miliardi di dollari in USDT e una sessantina di altri token, circa 2,5 miliardi di dollari in tutto, verso un indirizzo creato dal nulla. Nel wallet è rimasto 1 ether, giusto per pagare le commissioni. Ventiquattro secondi dopo è toccato a «Binance 16». Nei dodici minuti successivi altri hot wallet dell'exchange su Optimism, Arbitrum e Avalanche hanno mandato fondi allo stesso indirizzo. In quella stessa mezz'ora erano già partiti 233 milioni di XRP, 970.500 SOL, 612 milioni di USDT su Tron e 18.270 bitcoin, spezzettati in blocchi da 1.000 e da 100 nello stesso blocco in cui uscivano.

Il conto, al momento in cui scriviamo, lo fa Binance stessa: circa 6,3 miliardi di dollari di impatto stimato, di cui circa 3 miliardi congelati on-chain dagli emittenti di stablecoin e da alcuni protocolli. TRM Labs conta 6,36 miliardi di deflussi su dieci blockchain, Chainalysis 5,9 miliardi al momento del furto. Comunque la si misuri, è la rapina di criptovalute più grande di sempre, circa quattro volte quella di Bybit del febbraio 2025, che fino a ieri deteneva il record con 1,5 miliardi. E, secondo TRM, anche al netto dei congelamenti quello che resta in mano all'attaccante — circa 2,4 miliardi, tra cui più di 420.000 ether e i 18.270 bitcoin — supera da solo qualsiasi furto precedente.

Binance ha pubblicato solo i risultati preliminari dell'indagine e promette un post-mortem tecnico completo. Ma il grosso del meccanismo è già leggibile sulla blockchain, dove tutto è pubblico, e le società di analisi (Blockaid, TRM Labs, Chainalysis) lo hanno ricostruito nelle ore successive. Vale la pena seguirlo passo per passo, perché spiega sia come si ruba una cifra del genere senza «rubare una chiave», sia perché le difese che l'industria si era data dopo Bybit non sono bastate.

Cosa dice Binance: il portatile, il container, nessuna chiave

La versione ufficiale è asciutta. L'indagine iniziale «suggerisce che l'incidente possa coinvolgere il portatile compromesso di un ingegnere DevOps»: da lì l'attaccante avrebbe ottenuto accesso a un service container — un ambiente isolato in cui gira una componente del software interno — e lo avrebbe usato per inoltrare «transazioni di prelievo non autorizzate». E poi la frase su cui si regge tutta la comunicazione dell'exchange: «Non abbiamo trovato alcuna prova di fuga di chiavi private dei wallet».

Le due cose, a prima vista, non stanno insieme. Se le chiavi non sono uscite, come fanno undici wallet su dieci chain diverse, con tipi di chiave e schemi di firma diversi, a firmare in mezz'ora transazioni che Binance non voleva? La risposta è che non serve possedere una chiave per usarla. In un exchange le chiavi degli hot wallet non stanno sul portatile di nessuno: vivono dentro un sistema di firma — moduli hardware, servizi di custodia, pipeline automatizzate — che riceve richieste di prelievo dal resto dell'infrastruttura e le firma se passano i controlli. Chi riesce a entrare a monte di quel sistema, nel punto in cui si costruiscono le richieste, non ha bisogno delle chiavi: gli basta far firmare al sistema quello che vuole lui. Ed è esattamente la lettura di TRM: l'attaccante «ha molto probabilmente ottenuto la capacità di far firmare al sistema di firma degli hot wallet di Binance transazioni a sua scelta, su più chain».

Il precedente è noto. A Bybit, nel febbraio 2025, il punto d'ingresso fu la macchina di uno sviluppatore di Safe, il fornitore del wallet multi-firma: del codice JavaScript iniettato nell'interfaccia mostrava ai firmatari un bonifico normale mentre faceva firmare loro un'altra cosa. Lì vennero ingannate persone; qui, a quanto pare, è stato ingannato un processo. La lezione è la stessa: il perimetro di un exchange non finisce dove finisce la cassaforte, finisce dove finisce l'ultimo laptop che può parlare con la cassaforte.

Un dettaglio di contorno: due giorni prima dell'attacco Binance aveva dichiarato di aver bloccato tentativi della campagna nordcoreana «Contagious Interview», quella che infetta sviluppatori con finti colloqui di lavoro e finti progetti su GitHub. Nessuno, al momento, ha stabilito un collegamento tra quella campagna e il portatile dell'ingegnere. Ma è lo schema con cui, negli ultimi due anni, sono cominciati quasi tutti i grandi furti attribuiti a Pyongyang.

Il trucco su Ethereum: una funzione legittima usata al contrario

Su Bitcoin, Tron, Solana e XRP Ledger il furto ha la forma più banale possibile: bonifici ordinari, firmati dalla chiave giusta, verso l'indirizzo sbagliato. Su Ethereum, invece, l'attaccante ha fatto una cosa più sofisticata, ed è il pezzo che ha fatto scattare per primo gli allarmi.

Da maggio 2025, con l'aggiornamento Pectra, Ethereum ha introdotto la EIP-7702: un wallet «normale» (un indirizzo controllato da una chiave privata, senza codice) può delegare il proprio comportamento a uno smart contract già esistente. Serve a cose utili: pagare le commissioni in stablecoin invece che in ether, raggruppare più operazioni in una, impostare limiti di spesa, farsi sponsorizzare il gas. Per attivare la delega, il proprietario firma un'autorizzazione che contiene tre cose: l'identificativo della chain, l'indirizzo del contratto a cui delegare, e il nonce del wallet, cioè il contatore progressivo delle transazioni che ha già inviato. Quell'autorizzazione viene poi inclusa in una transazione di nuovo tipo, la «type 4», che può essere spedita da chiunque, anche da un terzo che paga il gas. Da quel momento ogni chiamata al wallet esegue la logica del contratto delegato, finché il proprietario non firma un'altra autorizzazione che la sostituisce.

L'attaccante ha fatto firmare al sistema di Binance non una, ma cinquanta autorizzazioni per «Binance 14», tutte verso lo stesso contratto, ciascuna con un nonce diverso: da 18.914.775 a 18.914.824, cinquanta valori consecutivi. Il motivo è elegante. Binance 14 era un hot wallet attivo, che continuava a processare i prelievi dei clienti: il suo contatore avanzava di continuo, e chi firmava in anticipo non poteva sapere a che numero sarebbe arrivato nel momento esatto in cui la transazione sarebbe finita in un blocco. Allora ha coperto una finestra: cinquanta numeri in fila, uno dei quali sarebbe stato per forza quello giusto. Alle 20:20:59 UTC la transazione type 4 è entrata in blocco: quarantanove autorizzazioni sono state scartate come non valide, una è passata. Da quell'istante Binance 14 non era più un semplice indirizzo con una chiave: era un contratto.

Il contratto in questione — Blockaid lo chiama sweeper, «spazzino» — era stato distribuito alle 15:59 UTC, più di quattro ore prima, non verificato, con una sola regola: accetta comandi solo da un indirizzo operatore. L'indirizzo operatore era stato finanziato il 28 ottobre con tre piccoli prelievi da Tornado Cash, il mixer sanzionato. Nel corso della giornata del 29 l'attaccante aveva provato la sequenza delega-e-svuota su tre wallet suoi, spostando ogni volta tra 2 e 6 dollari: prove generali, con i soldi finti, prima dello spettacolo.

Alle 20:24:23 UTC, tre minuti e ventiquattro secondi dopo la delega, l'operatore ha chiamato la funzione di svuotamento. Il contratto ha mandato tutto — ether e ogni token ERC-20 presente — all'indirizzo di raccolta, trattenendo un ether per il gas. E poiché la delega resta attiva, è tornato a farlo più volte nelle ore successive: alle 20:41, alle 20:59, alle 21:04, alle 21:44 (altri 200 milioni di USDT e tredici token arrivati nel frattempo), alle 22:39 e alle 23:56. Ogni deposito che un cliente faceva su quell'indirizzo, in quelle ore, finiva all'attaccante.

C'è stato anche un effetto a catena. Binance 14 non era solo un wallet: era anche l'esecutore autorizzato di un altro conto, uno smart account su cui l'exchange teneva USDC. Controllando Binance 14, l'attaccante controllava anche quello: alle 20:41 ne sono usciti 780 milioni di USDC, poi altri 43. È il modo in cui un singolo punto di compromissione si propaga attraverso le relazioni di fiducia tra conti.

Un ultimo dettaglio tecnico che spiega una frase altrimenti oscura dei comunicati di Binance («abbiamo revocato le autorizzazioni interessate»): la delega EIP-7702 appartiene all'indirizzo, non alla chiave. Ruotare la chiave non la cancella. Per toglierla bisogna firmare, con quella stessa chiave, una nuova autorizzazione che punti all'indirizzo zero. Finché non lo si fa, il wallet resta un contratto dell'attaccante.

Perché il pezzo Ethereum conta meno di quanto sembri

È tentante leggere la storia come «un bug di Ethereum ha svuotato Binance». Non è così, e lo dicono per primi gli analisti che hanno scoperto la delega. Ogni autorizzazione EIP-7702 deve essere firmata dalla chiave del wallet: il trucco dei cinquanta nonce non aggira la firma, la presuppone. La EIP-7702 è stata solo il modo più comodo per svuotare un wallet Ethereum attivo senza dover indovinare il momento giusto, e per tenerlo svuotato nelle ore successive.

La prova sta nelle altre chain. I wallet di Binance su XRP Ledger hanno mandato 233,46 milioni di XRP tra le 20:05 e le 20:09 UTC, prima della transazione Ethereum, lasciando ognuno al saldo minimo. Il wallet Bitcoin ha spedito 18.270 BTC alle 20:20. Quello Tron ha seguito entro due minuti con 612,7 milioni di USDT e 46,4 milioni di TRX. Nessuno di questi indirizzi ha codice: sono bonifici ordinari, firmati dalla chiave di ciascun wallet. In totale, conta Blockaid, undici chiavi di hot wallet di Binance hanno firmato trasferimenti verso l'attaccante. Undici chiavi, su chain con crittografie diverse, nel giro di mezz'ora: è l'impronta di qualcuno che è dentro il sistema che firma, non di qualcuno che ha trovato una falla nel protocollo.

Fonte: TRM Labs, dati on-chain al 30 ottobre, ore 00:30 UTC, valori al momento di ogni trasferimento.

La corsa a congelare: chi può bloccare cosa

Da qui in poi la storia diventa una gara di velocità tra chi ricicla e chi congela, e il suo esito spiega perché «6,3 miliardi di impatto» non equivale a «6,3 miliardi persi».

Le stablecoin centralizzate hanno un interruttore. Tether ha congelato 971,1 milioni di USDT nel wallet di raccolta principale alle 21:01 UTC, trentasette minuti dopo lo svuotamento di Binance 14; poiché i successivi svuotamenti continuavano ad atterrare su un indirizzo già bloccato, quella cifra è salita a 1,175 miliardi, e con gli altri wallet dell'attaccante su Ethereum, Tron, Avalanche e Polygon Tether dichiara oltre 1,567 miliardi fermati. Circle ha bloccato 823 milioni di USDC alle 21:04, «in coordinamento con le forze dell'ordine». Ripple ha congelato 40,5 milioni di RLUSD alle 22:01, ma l'attaccante ne aveva già venduti 48 sugli exchange decentralizzati tra le 21:42 e le 22:01. World Liberty Financial ha bloccato 27,8 milioni del suo USD1. Totale stablecoin congelate, secondo TRM: circa 2,67 miliardi.

Poi c'è un congelamento di tipo diverso, che merita una nota a parte: alle 00:08 del 30 ottobre il Security Council di Arbitrum, l'organo di emergenza della rete, ha forzato l'uscita di 8.426 ether e 74,6 milioni di ARB dagli indirizzi dell'attaccante, spostandoli in un wallet intermedio da cui possono muoversi solo per decisione del consiglio o della DAO. È un potere che esiste su un rollup e non esiste su Ethereum: un promemoria del fatto che «decentralizzato» è una scala, non un interruttore.

Tutto il resto, invece, non si congela. Ether, bitcoin, SOL, XRP, OP, ARB su altre chain: nessuno ha un pulsante. E l'attaccante lo sapeva benissimo, perché le sue prime mosse sono state proprio convertire le stablecoin — bloccabili — in asset nativi che non lo sono. Entro novanta minuti dallo svuotamento, i fondi avevano già toccato Permit2, LI.FI, Uniswap, UniswapX e Aave.

Come si riciclano 6 miliardi in una notte

I numeri di TRM sul riciclaggio raccontano la fretta. Su UniswapX, il sistema di Uniswap in cui gli ordini vengono eseguiti da filler professionali, l'attaccante ha venduto circa 325 milioni di USDT ricevendo in cambio circa 122.300 ether: un prezzo implicito attorno ai 2.650 dollari per ether, contro un mercato che in quel momento quotava 2.300-2.350. Ha accettato, in altre parole, uno sconto superiore al 10 per cento pur di liberarsi delle stablecoin prima che venissero congelate. I restanti 175 milioni di quel lotto, infatti, Tether li ha presi.

Un secondo wallet ha depositato 60 milioni di USDT su Aave come collaterale e ha preso in prestito circa 19.760 ether; Aave ha congelato i mercati coinvolti, e il token AAVE ha perso l'11 per cento in giornata. Su Tron, 300 milioni di USDT sono finiti su JustLend, altri 200 sono passati per wallet di appoggio e scambi su Uniswap (30 milioni di questi sono stati bloccati). I bitcoin vengono lavorati con una peel chain, la tecnica classica di spezzettare un saldo in rivoli sempre più piccoli attraverso una catena di indirizzi. L'ether, invece, è stato consolidato in pochi wallet, in attesa — prevede TRM — di bridge, servizi di swap e broker OTC.

È qui che la vicenda si lega alla geopolitica. TRM attribuisce l'attacco «con alta confidenza» a TraderTraitor, il gruppo che l'FBI aveva formalmente indicato come autore del furto Bybit; Chainalysis arriva alla stessa conclusione; l'investigatore indipendente ZachXBT parla di Lazarus, l'ombrello sotto cui vanno le unità informatiche nordcoreane. Le impronte citate sono tre, e sono le stesse di Bybit e del furto KelpDAO dell'aprile scorso: il finanziamento dell'operatore con piccoli prelievi da Tornado Cash, la preparazione lunga con prove generali su wallet propri, e le firme raccolte in anticipo ed eseguite in un'unica raffica. Va detto chiaramente che è un'attribuzione di analisti privati, non di un'autorità: per Bybit l'FBI impiegò cinque giorni. Ma se la lettura regge, è la conferma che il programma nordcoreano di furto di criptovalute, già responsabile del Bybit da 1,5 miliardi, del Bitget da 352 milioni a settembre e del KelpDAO da 293 milioni, ha appena cambiato ordine di grandezza.

Cosa succede a chi ha i soldi su Binance

Binance sostiene che i clienti non perderanno nulla. Le perdite saranno coperte dal fondo SAFU — la riserva assicurativa creata nel 2018, che oggi vale circa un miliardo di dollari in bitcoin — e dalle casse della società. Il co-CEO Yi He ha scritto che i prelievi dovrebbero riprendere «entro 48 ore», dopo una revisione del servizio di prelievo e dei controlli sugli indirizzi; i depositi, dopo una sospensione iniziale, sono ripresi. Changpeng Zhao, il fondatore, ha ripetuto la sua formula storica («User funds are SAFU») precisando che non gestisce più l'exchange ma che, da azionista, si aspetta la copertura integrale. Binance ha promesso un nuovo Proof of Reserves a remediazione completata; il prossimo snapshot era comunque in calendario per il 1° novembre.

La domanda di solvibilità, per ora, non sembra quella giusta. Prima dell'attacco Binance custodiva circa 144 miliardi di dollari di asset secondo DefiLlama: i 6,3 miliardi sono poco più del 4 per cento, e la parte non congelata, 2,4 miliardi, è la metà. Fundstrat parla di rischio di solvibilità non significativo. È una cifra che un'azienda che ha incassato decine di miliardi di commissioni negli ultimi anni può assorbire — ed è precisamente per questo che la comunicazione dell'exchange è stata, pur con qualche inciampo, così rapida: il primo comunicato diceva di «non aver confermato alcun impatto sui fondi degli utenti», poi è stato corretto in «i fondi degli utenti sono al sicuro».

Il mercato ha reagito come reagisce sempre: bitcoin sotto i 77.000 dollari, meno 4,8 per cento; ether meno 5,7; BNB, il token dell'exchange, meno 8-9. Una correzione, non un crollo. Sullo stesso giorno, per inciso, anche Polymarket ha subito un attacco — uno script di terze parti iniettato nel sito che vendeva le posizioni degli utenti loggati, per un danno sotto i 3 milioni — ma nessuno ha trovato un collegamento tra le due vicende.

Le domande che il post-mortem dovrà chiudere

Tre, soprattutto.

Come un portatile diventa cinquanta firme. Binance dice «laptop compromesso» e «service container». Tra i due passaggi c'è tutto quello che conta: con quali credenziali il container poteva chiedere firme al sistema di custodia, perché una richiesta di cinquanta autorizzazioni EIP-7702 su un hot wallet non ha fatto scattare nulla, perché undici wallet su dieci chain hanno potuto svuotarsi fino al saldo minimo senza che un limite di velocità, un tetto per transazione o una conferma umana intervenissero. Blockaid fa notare che il suo motore classifica come malevola a vista una transazione type 4 che delega un indirizzo a un contratto non verificato, e che quella regola esiste da maggio 2025. Se un fornitore esterno lo vedeva, la domanda è cosa guardava il controllo interno.

Perché le difese post-Bybit non hanno retto. Dopo Bybit l'industria ha investito in firme hardware, in interfacce che mostrano quello che si sta firmando davvero, in simulazione delle transazioni. Tutto questo protegge chi firma a mano. Un hot wallet che processa prelievi in automatico, per definizione, non ha nessuno che guarda. L'attacco di ieri è stato costruito esattamente attorno a questo punto cieco: non ha ingannato un firmatario, ha parlato con una macchina.

Quanto rientra davvero. «Tre miliardi congelati» significa che i fondi sono fermi in wallet dell'attaccante, non che sono tornati a Binance. Per sbloccarli servono procedure legali: Tether e Circle li possono riemettere a chi dimostra di esserne il legittimo proprietario, ma non in automatico e non in fretta. E i 2,4 miliardi in ether e bitcoin, nel frattempo, continuano a muoversi.

Resta l'immagine di fondo. Un'industria nata sull'idea che «le chiavi sono tutto» ha appena subito il suo furto più grande da parte di qualcuno che, a quanto pare, non ne ha rubata nemmeno una. Ha solo trovato il posto, dentro una delle infrastrutture più sorvegliate del settore, da cui si possono chiedere firme — e lo ha fatto cinquanta volte, perché una sarebbe bastata.

Il pezzo è basato sulle analisi on-chain di Blockaid, TRM Labs e Chainalysis e sui comunicati di Binance disponibili al 30 ottobre; i numeri sono preliminari e cambieranno con il post-mortem ufficiale. Per il precedente Bybit, il nostro pezzo sulla rapina da 1,5 miliardi.