Attacco interno a Binance
L'"hackeraggio" di Binance era molto probabilmente un lavoro interno
Punti chiave
- Il furto da $6.3 miliardi di Binance viene attribuito a un hacker nordcoreano, ma il dettaglio più importante punta nella direzione opposta.
- Binance stessa ha confermato che non sono state compromesse le chiavi private dei wallet. L'attacco ha sfruttato l'accesso all'infrastruttura di firma — che è proprio il tipo di accesso che un insider ha già.
Le dichiarazioni pubbliche di Binance sono oscillate tra "i fondi degli utenti sono completamente al sicuro" e "copriremo tutte le perdite" — e la sua storia del "laptop rubato" è autoconsistente e non verificata.
Questa non è la prima volta per Binance. Le stesse memorie di CZ sospettavano tangenti interne per l'attacco del 2019, e la società si è dichiarata colpevole nel 2023 di aver deliberatamente favorito il riciclaggio di denaro.
L'attribuzione "ad alta fiducia" alla Corea del Nord è un'analisi per pattern-matching, non una prova — ed è la vittima a controllare la narrazione.
La versione ufficiale, riassunta
Tardi il 29 ottobre 2026, circa $6,3 miliardi sono usciti dai wallet caldi di Binance su dieci blockchain — Bitcoin, Ethereum, Tron, Solana e altre — per la maggior parte dentro vent minuti. Per qualsiasi misura, è il furto più grande della storia delle criptovalute: quasi quattro volte il record precedente, la perdita da $1,5 miliardi di Bybit di febbraio 2025.
Nel giro di poche ore, le società di intelligenza blockchain TRM Labs e Chainalysis hanno attribuito l'attacco "con alta confidenza" a TraderTraitor, il gruppo nordcoreano collegato all'operazione Lazarus. La versione di Binance: il laptop di un ingegnere DevOps è stato compromesso, l'attaccante lo ha usato per raggiungere un container di servizio e da lì ha presentato transazioni di prelievo non autorizzate. Circa $3 miliardi sono stati bloccati con l'aiuto di Tether, Circle e Ripple. Binance ha dichiarato che rimborserà tutti gli utenti tramite il fondo assicurativo SAFU e le riserve aziendali.
Fatto chiuso, pareva dicesse il mercato. Bitcoin scivolò, BNB crollò e la vicenda assunse la solita forma: un'altra nazione colpita, un altro exchange chiamato a pagare. Ma la narrazione confortevole nasconde una crepa che la percorre dritta.
Il segnale: nessuna chiave privata è stata trafugata
La frase più importante della stessa divulgazione di Binance è stata sommersa dal rumore. Binance ha dichiarato — ripetutamente — che gli investigatori non hanno trovato prove che la chiave privata di qualsiasi portafoglio sia stata compromessa.
Fermati e pensa a cosa significa. Un ladro che si introduce dall'esterno deve prendere qualcosa: una chiave, una frase di recupero, una password, un segreto di firma. Questo è ciò che "hack" significa nel crypto. Ma qui, nulla è stato sottratto. Invece, si afferma che l'attaccante abbia utilizzato l'infrastruttura di firma — il meccanismo di firma EIP-7702 su Ethereum, transazioni pre-autorizzate — per trasferire fondi. In termini semplici: i fondi si sono mossi perché qualcosa all'interno del proprio pipeline di firma di Binance li ha autorizzati a muoversi.
Questa è una differenza profonda. Una infrastruttura di firma compromessa non significa «ci sono stati rubati». Significa «qualcuno con l’accesso di firma legittimo ha spostato i fondi». E le persone che detengono l’accesso di firma legittimo sono, per definizione, all’interno dell’edificio — oppure sono state fatte entrare da qualcuno che lo è.
Un attore statuale esterno avrebbe dovuto impegnarsi in enormi sforzi per raggiungere quel livello senza essere rilevato. Un insider, o un insider che lavora con un partner esterno, si trova già al suo interno. La storia del «laptop hackerato» è comoda proprio perché spiega via la chiave rubata mancante — ma è il conto non verificato di Binance, e merita lo stesso scetticismo di qualsiasi prima versione dei fatti fornita da una vittima.
Una narrativa contraddittoria e interessata
Guarda le comunicazioni della stessa Binance e vedrai che la storia vacilla. In un messaggio, i fondi degli utenti erano "completamente sicuri". Nel prossimo, l'azienda avrebbe "sostenuto tutte le perdite". Quelle due affermazioni non possono essere entrambe casuali. L'account latino-americano dell'azienda ha confermato un impatto di "circa 6,3 miliardi di dollari" avvertendo che il numero "potrebbe continuare a salire". Le dichiarazioni sono emerse a scatti, a volte contraddicendosi — come hanno notato diverse testate.
Niente di questo prova illeciti. Le aziende in crisi spesso comunicano male. Ma quando l'ente che racconta la storia è anche l'ente che controlla le indagini, il pubblico riceve esattamente una versione dei fatti — e quella versione ha un incentivo strutturato a incolpare un nemico straniero invece di un difetto nella propria casa.
La storia che nessuno vuole menzionare
Ecco dove la teoria del complotto interno smette di essere speculazione e diventa uno schema.
Prima, 2019. Nel maggio 2019, gli hacker hanno drenato 7,000 bitcoin — circa $40 milioni all'epoca — dal portafoglio caldo di Binance. Nella sua stessa memoire, il fondatore Changpeng Zhao scrive di aver fortemente sospettato del gruppo nordcoreano Lazarus, e che gli attaccanti potrebbero aver corrotto un dipendente interno. Non è un critico esterno a dirlo. È il fondatore, su carta, ad ammettere che la via interna era sulla tavola.
In secondo luogo, nel 2023. Binance e Zhao si sono dichiarati colpevoli di accuse federali e hanno pagato una risoluzione da $4,3 miliardi — il più grande insediamento aziendale nella storia dell'antiriciclaggio del Dipartimento del Tesoro degli Stati Uniti. Il Dipartimento di Giustizia ha illustrato, in dettagliata profondità, come Binance abbia deliberateamente fallito nell'impedire denaro criminale: circa $106 milioni in bitcoin fluiti direttamente dal mercato oscuro Hydra, centinaia di milioni ancora tramite il servizio di mixing Bestmixer, e uno schema per nascondere gli utenti statunitensi dietro un'etichetta "UNKWN" dopo aver affermato pubblicamente di averli bloccato. Le stesse parole di Zhao da una chat interna: "È meglio chiedere il perdono che il permesso."
In terzo luogo, il modello più ampio del settore. I furti dalle piattaforme non sono sempre esterni. Nel 2019, la coreana Bithumb ha stabilito che la sua perdita di $19 milioni fosse opera di un dipendente ex che aveva accesso al hot wallet. Il punto non è che ogni hack sia interno. Il punto è che l'etichetta "nation-state hacker" è la narrazione predefinita perché è quella con cui tutti — inclusa la vittima — sono più a loro agio, ed è la più facile da affermare.
Se un'azienda ha una storia documentata di occultamento di ciò che fa, la sua versione non verificata della propria violazione della sicurezza non dovrebbe essere accettata acriticamente. Non si tratta di una teoria del complotto. È una due diligence di base.
Ciò che lo chiuderebbe
La questione dell'insider è rispondibile, e la risposta arriverà dalle prove che Binance controlla — che è esattamente il problema. Una risoluzione credibile includerebbe: una relazione forense indipendente di una terza parte (non un post-mortem scritto dall'azienda); l'identità e l'ambito degli accessi di ogni autorità di firma toccata durante la finestra dei venti minuti; e un resoconto pubblico di quali sistemi interni hanno autorizzato i prelievi.
Fino a quando tale evidenza non esisterà, la posizione onesta è che questo sia stato molto probabilmente un lavoro interno — o una mano interna che guida una esterna. L'attribuzione alla Corea del Nord non è prova; è un'inferenza tratta da somiglianze con incidenti passati. Le somiglianze non sono impronte digitali.
La conclusione sgradevole: il più grande furto nella storia delle criptovalute potrebbe non essere stato proprio una rottura. Potrebbe essere stata una porta aperta dall'interno. E una società con la storia di Binance merita ogni singola parte delle attenzioni che la seguono.
FAQ
Quanto è stato effettivamente rubato da Binance? Circa $6,3 miliardi sono stati prelevati dai wallet caldi di Binance su dieci blockchain in circa vent minuti il 29 ottobre 2026. Circa $3 miliardi sono stati congelati; Binance afferma che coprirà tutte le perdite dei clienti con il proprio fondo SAFU e le riserve aziendali.
Perché alcune persone pensano che si sia trattato di un lavoro interno? Perché Binance ha confermato che non sono state compromesse le chiavi private dei wallet. I fondi sono stati spostati tramite un'infrastruttura di firma compromessa — accesso autorizzato, non chiavi rubate. Questo tipo di accesso è proprio quello di cui dispone già un insider, e Binance ha una storia che rende difficile prendere alla lettera la sua versione del "laptop hackerato".
A quale storia si riferiscono? Nella sua autobiografia, CZ ha affermato che l'attacco del 2019 a Binance potrebbe aver coinvolto un insider corrotto. Nel 2023, Binance e CZ si sono dichiarati colpevoli di accuse federali e hanno pagato 4,3 miliardi di dollari per aver deliberatamente facilitato il riciclaggio di denaro e nascosto gli utenti statunitensi ai regolatori.
Non è la Corea del Nord ufficialmente accusata? Sì — TRM Labs e Chainalysis hanno attribuito l'attacco al gruppo TraderTraitor nordcoreano "con alta confidenza." Ma si tratta di un'ipotesi basata su somiglianze con incidenti precedenti, non di una prova. La vittima controlla le indagini, e non è stato rilasciato alcun rapporto forense indipendente.
Quale evidenza chiarirebbe la questione? Un rapporto forense indipendente di terze parti, un resoconto completo di quali autorità di firma sono state coinvolte e una spiegazione pubblica dei sistemi interni che hanno autorizzato i prelievi. Nulla di tutto questo è stato reso disponibile.