“I nostri team sono a conoscenza delle segnalazioni relative a un potenziale problema di sicurezza e stanno indagando attivamente. I fondi degli utenti sono completamente al sicuro”. Con questo messaggio, pubblicato dal suo account X la sera del 29 ottobre, la piattaforma di scambio di criptovalute Binance ha dato inizio a una delle storie di cybersicurezza più incredibili dell’ultimo decennio.
Il più grave incidente di sicurezza del settore – come definito da molte testate internazionali -, che ha coinvolto l’elite degli hacker nord-coreani, causando alla società proprietaria della piattaforma una perdita economica di 6.3 miliardi di dollari, oltre a un danno reputazionale che sarà difficile recuperare in poco tempo.
Indice degli argomenti
Il laptop di un ingegnere come punto di accesso: cosa sappiamo dell’attacco a Binance
Tutto è cominciato nel pomeriggio di giovedì 29 ottobre, quando su X è cominciata a circolare la notizia di un cyberattacco a Binance, supportata dalle osservazioni di operatori del settore delle criptovalute, che hanno rilevato movimenti di ingenti somme di valuta in uscita dai portafogli associati alla piattaforma.
La conferma è arrivata dopo poche ore dalla società stessa, che ha ammesso di essere rimasta vittima di un “incidente di sicurezza” che ha coinvolto il “laptop compromesso di un ingegnere DevOps”, permettendo così agli aggressori di entrare nei sistemi di Binance ed “effettuare transazioni di prelievo non autorizzate”, arrivando a sottrarre la cifra record di 6,3 miliardi di dollari dai portafogli di criptovalute dei clienti.
Un’operazione durata appena 20 minuti, ma che ha permesso di mettere a segno quello che sembra essere il furto più grande della storia delle crypto.
L’esca di un falso colloquio di lavoro
L’attacco ben orchestrato, che sembra difficile credere sia stato reso possibile dal fatto che un ingegnere di Binance è caduto nella trappola di un falso colloquio di lavoro e ha scaricato sul suo computer un software dannoso, permettendo così ai cybercriminali di infiltrarsi nella rete aziendale e accedere a un sistema di autenticazione dei portafogli che gli ha consentito di effettuare transazioni al di fuori delle normali procedure di prelievo.
“Due aspetti della vicenda colpiscono in particolare – commenta Sofia Scozzari, CEO & Founder Hackmanac -. Il primo riguarda il laptop compromesso di un DevOps engineer, indicato come possibile vettore iniziale. È decisamente preoccupante che in un ambiente così critico non ci sia stata una separazione netta tra ambiente di sviluppo e infrastruttura di produzione, come ci si aspetterebbe in qualsiasi azienda finanziaria. Il secondo riguarda i controlli interni sulle transazioni anomale: un deflusso di questa entità in circa 20 minuti avrebbe dovuto quantomeno far scattare un allarme ed essere bloccato, cosa che evidentemente non è successa”.
Le “disattenzioni” di Binance, all’origine del maxi furto
Una serie di “disattenzioni” che sono valse a Binance la perdita di oltre 6 miliardi di dollari, in parte congelati dagli operatori delle società di criptovalute e in parte nelle mani dei cybercriminali che hanno messo a segno l’attacco.
Attentamente pianificato nei mesi precedenti al 29 ottobre, secondo quanto riportato dalla piattaforma nella sua analisi dell’accaduto.
E proprio questo, secondo la Scozzari, è il motivo per cui le piattaforme digitali non possono prescindere da una strategia di sicurezza informatica: “Dobbiamo innalzare ulteriormente le difese, soprattutto per quanto riguarda gli ambienti più critici: è evidente che il cybercrime è ormai anche uno strumento di finanziamento geopolitico e, in uno scenario internazionale sempre più complesso, attacchi di questo tipo sono destinati ad aumentare”.
Il coinvolgimento degli hacker nord-coreani
I responsabili della maxi rapina a Binance non sono mai stati un segreto, sin dagli inizi di questa storia.
Già nelle prime ore successive ai movimenti in uscita dai portafogli dei clienti della piattaforma, le società specializzate nel tracciamento delle criptovalute hanno collegato l’attacco agli hacker della Repubblica Popolare Democratica di Corea (RPDC).
E, nello specifico, al gruppo TraderTraitor, che già lo scorso anno è riuscito a
mettere le mani sull’ingente somma di 1,5 miliardi di dollari in criptovalute.
Un’ipotesi confermata anche dall’FBI e, seppur non in maniera chiara e diretta, da Binance, che proprio in questi giorni ha ammesso di essere stata presa di mira dai cybercriminali nord-coreani già in precedenza.
In una corposa analisi pubblicata sull’accaduto, infatti, la società ha ammesso che l’attacco del 29 ottobre è stato il risultato di un lavoro cominciato molti mesi prima: a giugno 2026 un ingegnere ha installato una versione compromessa di Homebrew, un package-manager open-source, mettendo subito in allerta i sistemi di sicurezza, che non hanno potuto impedire agli hacker di usare a proprio piacimento le informazioni su cui avevano messo le mani.
A settembre, poi, un secondo ingegnere è stato adescato su una piattaforma di lavoro e invitato a una serie di colloqui conoscitivi, durante i quali un falso recruiter gli ha chiesto di scaricare un software contenente codice dannoso.
I precedenti
Nella settimana precedente l’attacco, i cybercriminali sono riusciti a prendere il controllo dei portafogli degli ingegneri coinvolti mesi prima negli incidenti di sicurezza. E nella giornata del 29 ottobre hanno preso il controllo del sistema di firma dei portafogli Binance, avendo già in mano le credenziali di accesso necessarie per farlo.
Un attacco studiato nei minimi dettagli, il che è senza dubbio un tratto distintivo del gruppo nord-coreano TraderTraitor, come sottolineato da Rafe Pilling – Senior Director of Threat Intelligence presso il Sophos Counter Threat Unit – a Wired.com: “La violazione iniziale è solo un punto d’appoggio. Il vero attacco è accuratamente progettato in base al modo in cui la vittima trasferisce effettivamente il denaro”.
D’altronde, i criminali informatici della Corea del Nord sono piuttosto avvezzi a mettere a segni colpi di questo tipo per incassare denaro da riciclare dentro e fuori il paese: dal 2017 a oggi, secondo un report di TRM Labs, gli hacker nord-coreani hanno rubato circa 12 miliardi di dollari in criptovalute, di cui oltre la metà proviene da furti avvenuti nel corso del 2026.
A cosa serve una somma così ingente di denaro? A sostenere lo sviluppo del programma di armi nucleari e dei sistemi missilistici balistici del Paese, secondo alcuni esperti che hanno analizzato i movimenti dei gruppi criminali.
Il “lieto” fine
Nei giorni seguenti al furto, la piattaforma ha lavorato duramente per risarcire l’ingente cifra sottratta ai portafogli dei clienti dai criminali nord-coreani.
“Sarà Binance ad assorbire l’impatto finanziario di questi fondi rubati, non i nostri utenti”, ha dichiarato la società, facendo tutto il possibile per mantenere la sua promessa. Allo stato attuale, il 90% della somma risulta recuperato, ma questo non basta per smettere di chiedersi come sia stato possibile che il più grande furto della storia delle criptovalute sia passato per i computer di un gruppo di ingegneri.
“Si dice che la realtà superi la fantasia, ma è sbagliato. Siamo noi che di fantasia ne abbiamo troppa e, per questo, immaginiamo epici scontri tecnologici tra aziende e criminali informatici. Nessun malfattore si misura con la forza quando può evitarlo – commenta Christian Bernieri, DPO (Data Protection Officer) -. Nelle aziende il punto debole è sempre lo stesso: una persona, la paura, la vergogna, la fretta, la pigrizia, l’assoluta buona fede che caratterizza le persone perbene. Il copione è sempre lo stesso e rimarremo vulnerabili finché non capiremo che la sicurezza ha un costo che non si misura in denaro: un computer bloccato, sul quale non si può installare
nulla, non è un dispetto ma una protezione; l’autenticazione a due fattori non ostacola il lavoro, ma lo rende sicuro; le regole non sono ostacoli da bypassare ma una garanzia, eccetera.
Ciò che è accaduto a Binance si ripete ogni giorno, ovunque e a qualsiasi livello e continuerà a ripetersi finché ci ostiniamo a commettere i medesimi errori. Per sconfiggere i criminali informatici occorre mettere in campo la cyber sicurezza comportamentale individuale e collettiva”.
Partecipa alla community