Binance, boom teorie “insider job” prima dei report riserve lunedì

Gli scettici mettono in discussione la tempistica dell’audit di lunedì

I dubbi vertono sulla sequenza degli eventi, poiché nell’aggiornamento del 30 ottobre Binance aveva dichiarato di aver recuperato circa l’80% delle risorse rubate e di stare ancora acquistando il restante 20%. Aveva pianificato un primo snapshot di verifica delle riserve entro 12 ore, con i risultati pronti entro lunedì 2 novembre.

Un rapporto di verifica delle riserve ha lo scopo di dimostrare che un exchange detiene asset sufficienti a coprire il saldo di ogni cliente, ma i critici sostengono che effettuarla dopo il riacquisto nasconda l’effettiva entità del deficit iniziale.

Successivamente, il noto trader Financelancelot ha definito l’attacco hacker «un lavoro decisamente dall’interno», mettendo in dubbio come un aggressore potesse ottenere le autorizzazioni giuste tra infinite possibilità.

Allo stesso tempo, un altro utente ha affermato che Binance avrebbe «orchestrato un attacco hacker» per coprire una crisi di liquidità, sostenendo che un singolo laptop compromesso non avrebbe potuto firmare transazioni su dieci blockchain in 20 minuti, e ha paragonato la situazione a quella di FTX prima del suo crollo.

Infine, il noto trader di Solana Ansem ha fatto riferimento al crollo delle liquidazioni del 10 ottobre 2025, prima di affermare:

La mia fiducia in Binance è svanita. Un nuovo 10/10 si sta lentamente profilando.

Tuttavia, va chiarito che nessuna delle affermazioni sopra menzionate è supportata da prove concrete, e Bitcoin.com News aveva già riportato in precedenza come gli investigatori on-chain avessero messo in discussione alcune parti della prima spiegazione di Binance, incentrata su un laptop compromesso.

Cosa mostrano effettivamente le analisi forensi

Gli investigatori indicano un aggressore esterno, dimostrando al contempo perché la storia del portatile apparisse incompleta. La società di analisi blockchain TRM Labs ha attribuito il furto al gruppo di hacker nordcoreano Tradertraitor, scrivendo: «Esprimiamo questo giudizio con elevata certezza».

TRM ha convenuto che una spiegazione basata sul phishing «copre Ethereum ma lascia inspiegate le altre catene». La sua valutazione è che l’autore dell’attacco abbia probabilmente ottenuto il controllo del sistema di firma dell’hot wallet di Binance, in grado di effettuare firme su più catene.

TRM ha inoltre scoperto che i preparativi erano iniziati almeno 36 ore prima con prelievi su Tornado Cash e che l’autore dell’attacco aveva testato il codice su portafogli di prova prima di colpire Binance. La maggior parte dei fondi è stata trasferita su dieci blockchain in circa 20 minuti a partire dalle 20:05 UTC.

Da allora Binance ha superato la teoria del laptop e ha affermato di aver individuato ulteriori punti di violazione e di non aver trovato «alcuna prova che le chiavi private dei portafogli siano state divulgate». Il co-CEO Richard Teng ha dichiarato che è stato compromesso solo l’hot wallet di Binance e che i fondi dei clienti non sono stati intaccati.

Non tutti condividono la certezza di TRM sull’attribuzione: la società di conformità nel settore delle criptovalute Elliptic ha affermato che i responsabili sono probabilmente soggetti legati alla Corea del Nord, ma che «nessun governo o forza dell’ordine ha ancora confermato l’attribuzione».

Lunedì sarà la vera prova

Binance ha dichiarato che i prelievi dovrebbero riprendere gradualmente entro circa 34 ore, seguiti dal rapporto sulle riserve e da un’analisi tecnica completa post-incidente. Queste informazioni determineranno se le voci relative a un “lavoro dall’interno” si affievoliranno o acquisiranno credito.