Attacco hacker a Binance da 5,8 miliardi: cosa è confermato e no

Il problema è iniziato con poche righe di codice e un portafoglio contenente una somma di denaro straordinaria. Giovedì 29 ottobre 2026, le criptovalute hanno iniziato a defluire dagli indirizzi collegati a Binance; secondo quanto riferito, una singola transazione su Ethereum ha sottratto circa 167.464 ETH, 1,615 miliardi di USDT e decine di altri token. Nel giro di 40 minuti, un unico indirizzo destinatario aveva raccolto una somma stimata di 3,52 miliardi di dollari.

Poi la vicenda ha preso un’altra piega. Gli analisti hanno individuato ulteriori movimenti che coinvolgevano Bitcoin, Tron e altre reti, portando alcune stime oltre i 5,5 miliardi di dollari. Le società di stablecoin si sono affrettate a congelare i proventi, Binance ha bloccato i prelievi e il fondatore Changpeng Zhao ha ammesso che l’attività sembrava un attacco hacker. L’exchange stesso deve ancora confermare se si sia trattato effettivamente di un furto o l’entità del danno finanziario.

Il mistero del portafoglio di Binance si trasforma in un’emergenza multimiliardaria

I primi movimenti significativi su Ethereum sono iniziati intorno alle 16:24, ora della costa orientale, quando le risorse provenienti da un portafoglio identificato come Binance 14 sono state trasferite a un indirizzo di nuova creazione. Il trasferimento includeva oltre 60 token diversi, e le transazioni successive hanno portato ulteriori fondi da altri portafogli collegati a Binance. Osservatori e ricercatori della blockchain hanno rapidamente lanciato l’allarme. In prima serata, le stime erano in aumento mentre gli investigatori seguivano le risorse attraverso diversi indirizzi e reti. Le cifre erano tutt’altro che chiare. Alcuni conteggi on-chain stimavano i presunti deflussi a 5,57 miliardi di dollari tra Ethereum, Bitcoin e Tron. Glassnode ha stimato circa 5,3 miliardi di dollari, mentre valutazioni più ampie si avvicinavano ai 5,8 miliardi. Si tratta di cifre preliminari e alcuni analisti hanno avvertito che le stime più elevate potrebbero includere trasferimenti non correlati al presunto attacco. Binance non ha pubblicato una cifra relativa alle perdite verificata in modo indipendente. Tuttavia, le transazioni su Ethereum da sole sono state sufficienti a mettere in allerta il settore. Unchained ha calcolato che tra le 16:24 e le 17:04 (ora della costa orientale) sono affluiti circa 3,52 miliardi di dollari in un unico indirizzo di destinazione. A titolo di confronto, l’attacco hacker a Bybit del febbraio 2025 ha coinvolto circa 1,5 miliardi di dollari. Anche le stime più conservative relative a Ethereum supererebbero tale importo.

Come la firma dello stesso portafoglio potrebbe aver aperto la porta

La principale spiegazione tecnica ruota attorno all’EIP-7702, una funzionalità di Ethereum introdotta con l’aggiornamento Pectra nel maggio 2025. Questa funzionalità consente a un normale portafoglio di criptovalute di autorizzare uno smart contract a eseguire istruzioni per suo conto. Si tratta di una tecnologia utile, ma tale autorità diventa pericolosa quando finisce nelle mani sbagliate.

Gli investigatori che hanno esaminato Binance 14 hanno identificato una transazione di delega inviata alle 16:20 circa, ora della costa orientale. Secondo l’analisi di Blockaid, la transazione conteneva 50 autorizzazioni progettate per tenere conto di diversi possibili contatori di transazione, noti come nonce. Uno di questi corrispondeva.

Circa tre minuti dopo, le risorse del portafoglio sono state trasferite a un indirizzo esterno. I ricercatori hanno inoltre individuato un contratto implementato in precedenza quello stesso giorno e un indirizzo associato finanziato tramite il mixer ETH Tornado Cash, un protocollo per la privacy delle criptovalute. La distinzione importante è che l’EIP-7702 richiede un’autorizzazione valida. Gli analisti stanno valutando se l’autore dell’attacco abbia ottenuto una chiave privata, indotto un firmatario autorizzato ad approvare istruzioni dannose o compromesso un’altra parte dell’infrastruttura di firma di Binance. Nessuna di queste ipotesi è stata ancora confermata. Né il meccanismo di Ethereum spiega i movimenti segnalati su Bitcoin e Tron. Ciò lascia agli investigatori un enigma notevolmente più complesso rispetto alla semplice compromissione di un singolo smart contract. Ido Ben-Natan, cofondatore e CEO di Blockaid, ha dichiarato a Bitcoin.com News che la sua azienda aveva previsto questa eventualità. Il rapporto semestrale della società aveva previsto che nella seconda metà del 2026 si sarebbe verificato un attacco con un bottino a sette cifre. «L’autore dell’attacco ha di fatto riprogrammato un importante hot wallet di Binance su Ethereum in modo che un singolo operatore potesse svuotarlo, compresi eventuali nuovi fondi depositati al suo interno, e ha riutilizzato quell’accesso più di un’ora dopo», ha spiegato il CEO di Blockaid. Ben-Natan ha aggiunto:

“L’attacco era stato pianificato con largo anticipo: l’autore ha finanziato l’operazione tramite Tornado Cash e ha simulato la stessa presa di controllo su portafogli di prova ore prima, il tutto visibile sulla blockchain. Tether e Circle sono intervenuti rapidamente per congelare circa 2,4 miliardi di dollari e stiamo continuando a rintracciare il resto.”

Gli emittenti di stablecoin intervengono con decisione su miliardi di token

Mentre gli investigatori esaminavano la cronologia delle transazioni, gli emittenti di stablecoin hanno iniziato a bloccare l’accesso alle risorse collegate al presunto exploit. Il CEO di Tether, Paolo Ardoino, ha riferito di aver congelato oltre 1,567 miliardi di USDT. Anche il CEO di Circle, Jeremy Allaire, ha confermato che la sua azienda aveva congelato oltre 800 milioni di USDC in coordinamento con le forze dell’ordine.

Il co-CEO di Binance, Yi He, ha successivamente attribuito a Ripple il merito di aver congelato circa 200 milioni di dollari, mentre il cofondatore di World Liberty Financial, Zach Witkoff, ha segnalato un congelamento separato riguardante circa 27 milioni di dollari in USD1. Nel loro insieme, le azioni segnalate rappresentano circa 2,6 miliardi di dollari, sebbene le cifre non siano state verificate in modo indipendente e non debbano essere considerate come un totale di recuperi confermato.

C’è un altro problema. Bloccare un token non equivale a restituirlo al legittimo proprietario. Gli emittenti centralizzati di stablecoin possono bloccare i trasferimenti da indirizzi specifici. Le criptovalute native come bitcoin (BTC) ed ether non dispongono di un meccanismo di blocco equivalente controllato dall’emittente. Nel frattempo, gli analisti hanno osservato il presunto operatore spostare ether tra diversi portafogli, scambiare token attraverso infrastrutture di trading decentralizzate e contrarre prestiti utilizzando criptovalute come garanzia. Aave ha temporaneamente congelato i propri mercati di prestito su Ethereum V3 a titolo precauzionale, pur sostenendo che i propri smart contract non fossero stati compromessi. Il risultato è stata una corsa tra gli investigatori, che cercavano di identificare i proventi, e chiunque controllasse i portafogli destinatari, che tentava di spostarli. Parallelamente, l’Arbitrum Security Council ha eseguito una transazione on-chain per congelare circa 30,5 milioni di dollari in asset collegati al presunto exploit di Binance.

Binance blocca i prelievi mentre Zhao promette che i clienti saranno tutelati

La risposta ufficiale di Binance è rimasta cauta, anche se il suo fondatore ha adottato un tono decisamente più deciso. L’exchange ha riconosciuto un potenziale problema di sicurezza e ha dichiarato che i propri team stavano indagando. Giovedì, in tarda mattinata, ha sospeso i prelievi per effettuare controlli di sicurezza, promettendo di ripristinare l’accesso una volta risolto il problema. Binance ha inoltre ribadito che i fondi dei clienti erano completamente al sicuro.

Zhao, che si è dimesso dalla carica di CEO nel 2023, ha offerto una valutazione più incisiva. «Sembra proprio un attacco hacker a Binance», ha scritto su X, sottolineando al contempo di non gestire più l’exchange. In qualità di azionista, ha affermato di aspettarsi che tutti i fondi dei clienti vengano coperti. In un post successivo, Zhao ha suggerito che la perdita potrebbe essere superiore a quanto inizialmente riportato e ha indicato che Binance la coprirebbe. Tale promessa pone le risorse finanziarie dell’exchange al centro dell’attenzione.

«I fondi degli utenti sono al sicuro», ha scritto Yi He, cofondatore e responsabile del servizio clienti di Binance, alle 20:00 ora della costa orientale. «Binance coprirà tutte le perdite causate dall’attacco hacker. I depositi e i prelievi sono temporaneamente sospesi mentre il nostro team effettua controlli di sicurezza, blocca i fondi e collabora con le forze dell’ordine. Condivideremo un resoconto completo una volta completata l’indagine. Vi preghiamo di fare affidamento esclusivamente sui canali ufficiali di Binance per gli aggiornamenti.”

I mercati delle criptovalute subiscono un duro colpo mentre gli investigatori si trovano di fronte a domande senza risposta

Il presunto incidente si è verificato durante una sessione di trading già difficile. Il Bitcoin è sceso verso i 76.000 dollari prima di recuperare leggermente, mentre Ethereum ha registrato un calo di circa il 4,6% e BNB ha perso quasi il 7,7%. I dati di Coinglass mostrano che in 24 ore sono state liquidate posizioni con leva finanziaria per circa 1,4 miliardi di dollari, prevalentemente posizioni rialziste. Non tutti i dollari di tali perdite possono essere attribuiti a Binance. Il Bitcoin era già sotto pressione prima che iniziassero le transazioni sospette. Il settore si è comunque trovato in una situazione difficile. Il più grande exchange di criptovalute in termini di asset dichiarati sulla piattaforma stava indagando su una potenziale violazione da miliardi di dollari, i clienti non potevano temporaneamente prelevare fondi e i ricercatori di sicurezza stavano ancora ricostruendo l’accaduto. Anche le domande sull’identità dell’autore dell’attacco rimanevano senza risposta. Alcuni ricercatori hanno sollevato la possibilità di un coinvolgimento della Corea del Nord, ma non è stata stabilita alcuna attribuzione ufficiale.

Per ora, gli investigatori devono determinare quali trasferimenti fossero non autorizzati, come siano state ottenute le autorizzazioni necessarie per gli wallet e se le risorse ancora in circolazione tramite indirizzi esterni possano essere recuperate. Binance deve rispondere a un’altra domanda: quando riprenderanno i prelievi, i clienti scopriranno che le rassicurazioni dell’exchange erano fondate?

La risposta ha un’importanza che va ben oltre Binance. Un’azienda può promettere di coprire una perdita e gli emittenti di token possono congelare miliardi, ma nessuna delle due misure spiega come sia stato possibile, in primo luogo, che una quantità così ingente di criptovaluta sia apparentemente sfuggita.