Intro
Poche settimane or sono, nel post sul punto debole delle cryptovalute, ci chiedevamo come e dove tenere le crypto in modo sicuro. La risposta era che chi non controlla le chiavi private non controlla davvero i propri soldi. Poi, con il caso dei Ledger manomessi, abbiamo visto che, in casi molto particolari e con tecniche sofisticate, anche un wallet fisico può tradire.
Ora tocca agli exchange. Il furto a Binance, scoperto giovedì 29 ottobre e annunciato il giorno dopo, è il più grande della storia delle crypto. Secondo CoinDesk e AP, dai wallet della piattaforma sono stati sottratti circa 6,3 miliardi di dollari.
Vediamo cosa è successo, come ha reagito Binance e cosa insegna a chi lascia le crypto sull’exchange. Alla fine diamo uno sguardo al meccanismo tecnico, una funzione di Ethereum chiamata EIP-7702.
Cosa sappiamo del furto a Binance
Giovedì sera, ora italiana, sono partiti trasferimenti non autorizzati dagli «hot wallet» di Binance, cioè i portafogli sempre collegati a internet che servono per i prelievi. Secondo Chainalysis, i fondi sono usciti da più blockchain nello stesso momento. Oltre a ether e stablecoin, riferisce CoinDesk, sono spariti 18.270 bitcoin, centinaia di milioni di XRP e token su Solana e Tron.
Sul totale del furto a Binance le cifre non coincidono del tutto. Binance parla di 6,3 miliardi, Chainalysis stima circa 6,4 miliardi. La differenza dipende probabilmente dai prezzi usati per il calcolo, in giorni di mercato molto agitati.
Il co-CEO Richard Teng ha detto che le prime indagini portavano al portatile compromesso di un ingegnere DevOps. In seguito, riferisce CoinDesk, sono emersi altri punti di accesso. Gli aggressori avrebbero anche usato un meccanismo di autodistruzione per cancellare le tracce. Teng ha precisato di non aver trovato prove di una fuga delle chiavi private.
Sugli autori del furto a Binance le indicazioni sono ormai convergenti. Chainalysis ha attribuito l’attacco a TraderTraitor, un gruppo legato alla Corea del Nord. Il 31 ottobre l’FBI ha confermato questa pista. Secondo il Bureau, è lo stesso gruppo che nel 2025 rubò 1,4 miliardi a Bybit. Pyongyang, come in passato, non ha commentato.
La risposta di Binance: fondi congelati e prelievi riaperti
Dopo il furto a Binance, l’exchange ha sospeso subito i prelievi. Secondo CoinDesk, circa 3 miliardi dei fondi rubati sono stati congelati, anche grazie agli emittenti di stablecoin. Circle, per esempio, ha bloccato oltre 1,1 miliardi in USDC, come riporta CNBC.
L’exchange si è impegnato a coprire tutte le perdite con il fondo di emergenza SAFU e con risorse proprie, senza scaricarle sui clienti. Il 1° novembre diceva di aver già ricostituito circa il 95% degli asset sottratti. Mancano solo token meno liquidi, che si stanno ancora ricomprando sul mercato.
I prelievi sono ripartiti domenica 1° novembre, a fasi, cominciando dal bitcoin. In poche ore gli utenti hanno ritirato 4,65 miliardi, a fronte di 1,01 miliardi di depositi. La seconda fase, con Ethereum, Solana e altre reti, è partita oggi, 3 novembre.
Binance avverte anche di una nuova ondata di truffe. Falsi operatori promettono prelievi più rapidi o aiuto per i rimborsi, in cambio di una commissione. Chi chiede soldi per «accelerare» un prelievo è sempre un truffatore.
Cosa insegna a chi tiene le crypto sull’exchange
Stavolta, a quanto pare, i clienti non perderanno nulla dal furto a Binance. Ma è andata bene perché Binance ha le spalle larghe, non perché il sistema protegga chi deposita. Un exchange più piccolo, davanti a un furto del genere, sarebbe probabilmente fallito.
La vecchia regola «not your keys, not your coins» vale anche qui. Sull’exchange non avete bitcoin, ma un credito verso la piattaforma. Teng ha detto che è stato colpito un wallet della società e non direttamente i fondi dei clienti. Secondo CoinDesk, però, quei wallet comparivano tra gli asset a garanzia dei saldi degli utenti.
Ma come può essere successo? Si è trattato di errore umano o di sistema? Secondo Teng l’intrusione sarebbe partita dal portatile compromesso di un ingegnere DevOps. Questo spiega da dove sono entrati gli aggressori, ma non di chi sia la colpa, perché anche un esperto può cadere in un attacco costruito da professionisti. Un solo computer compromesso, inoltre, non dovrebbe bastare a muovere miliardi. Di solito, in casi come questo, pesa una combinazione di debolezze di processo, controlli insufficienti ed eventuali errori umani.
Ripetiamo anche qui le rules of thumb per conservare le crypto con una certa tranquillità:
- solo il necessario: sull’exchange tenete quello che vi serve per fare trading, il resto va su un wallet di cui controllate le chiavi;
- exchange autorizzati: in Europa conviene scegliere piattaforme con licenza MiCA, verificabili nel registro della Consob o dell’ESMA;
- prova delle riserve: guardate se la piattaforma pubblica regolarmente la «proof of reserves», come ha promesso di fare Binance;
- attenzione ai finti soccorsi: nessuno può accelerare un prelievo o recuperare fondi a pagamento.
Per Nerd: il meccanismo tecnico: EIP-7702
Su Ethereum il furto a Binance ha sfruttato EIP-7702, una funzione introdotta a maggio 2025. Permette a un normale wallet di «prendere in prestito» il codice di uno smart contract firmando una semplice autorizzazione. Doveva servire per raggruppare i pagamenti o far pagare a terzi le commissioni.
Secondo la ricostruzione di CoinDesk, l’attaccante aveva 50 autorizzazioni firmate dal wallet «Binance 14», tutte puntate verso un suo contratto «spazzino». Erano 50 perché il contatore delle transazioni del wallet cambiava di continuo, e così almeno una sarebbe andata a segno.
Una è stata accettata. In meno di quattro minuti sono usciti circa 2,5 miliardi tra ether e token, tra cui circa 1,6 miliardi di USDT. Il wallet è rimasto nelle mani dell’attaccante per quasi quattro ore, e intanto venivano svuotati anche i nuovi depositi in arrivo.
I 2,5 miliardi sono quindi solo la parte su Ethereum. Il resto dei 6,3 miliardi è uscito da altre blockchain con normali trasferimenti firmati, perché lì EIP-7702 non esiste. Resta da capire come l’attaccante abbia ottenuto firme valide di Binance. Se il furto a Binance avrà altri sviluppi, ne riparleremo.
Questo articolo ha scopo informativo e non è consulenza finanziaria.
