Binance colpita da un incidente di sicurezza senza precedenti. 6,3 miliardi di dollari trasferiti fuori dall’exchange. È il più grande hack nella storia delle criptovalute?
Il 29 ottobre 2026 si è verificato uno degli incidenti di sicurezza più gravi nella storia del mercato delle criptovalute. Asset per un valore stimato di circa 6,3 miliardi di dollari sono stati trasferiti da 17 hot wallet di Binance. L’operazione ha coinvolto diverse blockchain ed è durata poco meno di quattro ore. Binance ha confermato ufficialmente l’incidente, si è impegnata a coprire tutte le perdite attraverso il fondo SAFU e le proprie risorse e ha avviato una collaborazione con società di analisi blockchain ed emittenti di stablecoin per recuperare gli asset.
La portata dell’evento è senza precedenti. Per fare un confronto, il precedente attacco record a Bybit, avvenuto nel febbraio 2025, aveva provocato perdite stimate in circa 1,5 miliardi di dollari. Nel caso di Binance, l’impatto dichiarato è superiore di oltre quattro volte. Questo, tuttavia, non significa che tutti i 6,3 miliardi di dollari siano andati definitivamente perduti. Circa 3 miliardi di dollari sono stati congelati, mentre una parte degli asset rimanenti è ancora sotto il controllo dell’attaccante.
L’aspetto più preoccupante riguarda però il modo in cui è stata condotta l’operazione. Secondo le prime conclusioni di Binance, l’attaccante potrebbe aver ottenuto accesso all’infrastruttura interna dell’exchange attraverso il laptop compromesso di un ingegnere DevOps. Al momento non ci sono prove di una fuga delle chiavi private dei wallet. Il problema sembra quindi aver riguardato il sistema che autorizzava i prelievi, piuttosto che una violazione della sicurezza della blockchain stessa.
Binance: che cosa è successo esattamente il 29 ottobre?
I primi deflussi dai wallet di Binance sono stati registrati intorno alle 20:04 UTC. Nei minuti successivi, gli asset hanno iniziato a essere trasferiti verso indirizzi controllati dall’attaccante. Secondo la ricostruzione di Bitquery, l’operazione ha coinvolto 17 hot wallet di Binance e nove reti blockchain. TRM Labs segnala invece flussi attraverso dieci blockchain.
Tra le reti interessate figurano Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base e Polygon. Il valore complessivo degli asset trasferiti fuori dai wallet dell’exchange è stato stimato in circa 6,3-6,36 miliardi di dollari.
Due eventi avvenuti a pochi secondi di distanza meritano particolare attenzione, ma non devono essere confusi. Alle 20:20:06 UTC, circa 18.270 BTC sono stati trasferiti a un indirizzo controllato dall’attaccante. Alle 20:20:59 UTC sono state invece registrate 50 autorizzazioni EIP-7702 associate a Binance 14. Si tratta di due eventi distinti, verificatisi a meno di un minuto di distanza.
La principale serie di trasferimenti di ETH e token ERC-20 è iniziata intorno alle 20:24 UTC. Ulteriori trasferimenti dai wallet di Binance sono proseguiti fino alle 23:56 UTC. I deflussi analizzati da Bitquery hanno quindi coperto un periodo di quasi quattro ore.
I momenti principali dell’incidente:
20:04 UTC - Inizio dei deflussi registrati dai wallet di Binance.
20:20:06 UTC - Circa 18.270 BTC trasferiti a un indirizzo controllato dall’attaccante.
20:20:59 UTC - Registrazione di 50 autorizzazioni EIP-7702 associate a Binance 14.
20:24 UTC - Inizio della principale serie di trasferimenti di ETH e token ERC-20.
20:26 UTC - Ulteriori trasferimenti di ETH dai wallet di Binance.
20:40-20:41 UTC - Altri trasferimenti di ETH e USDC.
23:56 UTC - Fine della finestra temporale dei deflussi analizzata da Bitquery.
02:23 UTC del 30 ottobre - Binance pubblica il comunicato ufficiale sull’incidente e stima l’impatto in 6,3 miliardi di dollari.
Fonti: la ricostruzione on-chain di Bitquery e il comunicato ufficiale di Binance.
Quali criptovalute sono state rubate da Binance?
L’incidente non ha riguardato un solo asset o una singola rete. L’attaccante ha trasferito enormi quantità di stablecoin, ETH, BTC e numerosi token popolari. I dati dettagliati dei trasferimenti su Ethereum mostrano chiaramente la portata dell’operazione.
Tra gli asset più rilevanti figuravano:
USDT: 1.615.409.499 token per un valore di circa 1,615 miliardi di dollari.
USDC: 780.177.060 token per un valore di circa 780 milioni di dollari.
ETH: circa 195.470 ETH per un valore di circa 442 milioni di dollari.
wBETH: 29.934 token per un valore di circa 74,6 milioni di dollari.
RLUSD: 62.597.240 token per un valore di circa 62,6 milioni di dollari.
XAUt: 11.372 token per un valore di circa 45,6 milioni di dollari.
UNI: 6.189.796 token per un valore di circa 41,2 milioni di dollari.
ENA: 198.369.717 token per un valore di circa 37 milioni di dollari.
PEPE: circa 7,18 trilioni di token per un valore di circa 35,3 milioni di dollari.
USD1: 27.760.802 token per un valore di circa 27,7 milioni di dollari.
LINK: 2.263.172 token per un valore di circa 25 milioni di dollari.
AAVE: 127.853 token per un valore di circa 16,2 milioni di dollari.
Questo elenco proviene da un’analisi precedente dei trasferimenti sulla rete Ethereum. Non rappresenta il bilancio completo di tutti gli asset trasferiti nell’incidente multi-chain. Inoltre, questi importi non devono essere sommati alla successiva stima di 6,3 miliardi di dollari come se costituissero una perdita aggiuntiva.
18.270 BTC, pari a circa 1,4 miliardi di dollari. L’attaccante ha suddiviso i Bitcoin tra 19 wallet
Uno degli aspetti più interessanti dell’incidente riguarda il modo in cui sono stati distribuiti i Bitcoin sottratti. Circa 18.270,2 BTC, valutati intorno a 1,4 miliardi di dollari al momento della pubblicazione dei dati, sono stati inviati all’indirizzo dell’attaccante attraverso 11 transazioni. Successivamente, i fondi sono stati suddivisi tra 19 wallet.
La distribuzione è stata la seguente:
17 wallet hanno ricevuto esattamente 1.000 BTC ciascuno.
Un wallet ha ricevuto circa 832,5 BTC.
L’ultimo wallet ha ricevuto circa 437,7 BTC.
Secondo CoinDesk, alle 04:23 UTC del 30 ottobre nessuno di questi 19 wallet aveva ancora trasferito i Bitcoin ricevuti.
Questo aspetto è particolarmente importante per comprendere la differenza tra Bitcoin e stablecoin. Gli emittenti di USDT e USDC possono congelare i fondi direttamente a livello degli smart contract dei token. Bitcoin, invece, non ha un emittente centrale in grado di bloccare specifiche monete. In pratica, il recupero dei BTC richiede la collaborazione di exchange, broker OTC o altri intermediari che possono rifiutarsi di elaborare fondi collegati all’attacco.
L’attaccante ha convertito parte delle stablecoin in ETH e TRX. Che cosa è stato possibile recuperare?
Il congelamento delle stablecoin non significa che l’attaccante non sia riuscito a convertire una parte dei fondi rubati in altri asset prima del blocco. Secondo la ricostruzione di Bitquery, circa 729 milioni di dollari in stablecoin sottratte sono stati convertiti in ETH e TRX prima che alcuni indirizzi venissero congelati.
Di conseguenza, l’attaccante ha accumulato circa 490.361 ETH. Si tratta di una quantità pari a circa 2,4 volte i 200.630 ETH inizialmente ottenuti nei deflussi analizzati. La restante parte della posizione è stata costituita convertendo in Ether altri asset rubati.
Secondo una rilevazione di Bitquery delle 03:54 UTC del 30 ottobre, circa 3,1 miliardi di dollari si trovavano ancora in wallet controllati dall’attaccante. In quel momento, Bitquery non aveva registrato trasferimenti di questi fondi verso exchange o mixer.
TRM Labs presenta un quadro leggermente diverso, basato su una rilevazione precedente e sulla propria metodologia. Secondo la sua analisi, l’attaccante controllava ancora oltre 420.000 ETH e 18.270 BTC, per un valore complessivo di circa 2,4 miliardi di dollari. Le differenze tra queste stime dipendono, tra gli altri fattori, dal momento della rilevazione, dall’ambito degli asset monitorati e dai cambiamenti nei flussi on-chain.
Come ha fatto l’attaccante a ottenere il controllo dei wallet di Binance?
Le prime conclusioni di Binance indicano che il possibile punto di ingresso sia stato il laptop compromesso di un ingegnere DevOps. L’attaccante avrebbe così ottenuto accesso a un container di servizi all’interno dell’infrastruttura interna dell’exchange, utilizzandolo successivamente per inviare transazioni di prelievo non autorizzate.
Binance ha dichiarato di non aver trovato prove di una fuga delle chiavi private dei propri wallet. Si tratta di una distinzione fondamentale. Le transazioni sono state firmate dal sistema di Binance, ma questo non significa che qualcuno abbia violato la crittografia di Bitcoin o Ethereum. Il problema sembra invece aver riguardato l’accesso all’infrastruttura che poteva autorizzare i prelievi.
Particolarmente interessante è il meccanismo utilizzato su Ethereum, legato a EIP-7702. Questa funzionalità consente a un wallet tradizionale di delegare l’esecuzione di determinate operazioni a codice di smart contract, mantenendo comunque il proprio indirizzo e il proprio saldo.
Secondo l’analisi on-chain, l’attaccante ha utilizzato 50 autorizzazioni firmate da Binance 14. Queste erano state predisposte per valori successivi del contatore delle transazioni, chiamato nonce. In questo modo, una delle autorizzazioni ha potuto essere accettata al momento opportuno. Il wallet ha quindi iniziato a eseguire codice controllato dall’attaccante, rendendo possibile il trasferimento automatico degli asset verso un indirizzo esterno.
Questo non significa che EIP-7702 costituisca di per sé una vulnerabilità di sicurezza. Si tratta di una funzionalità del protocollo Ethereum che, in questo caso, sarebbe stata sfruttata nell’ambito della compromissione dell’infrastruttura utilizzata per autorizzare le transazioni.
Binance ha annunciato che pubblicherà un rapporto tecnico dettagliato al termine delle indagini. In questa fase, la spiegazione dell’attacco deve quindi essere considerata una ricostruzione preliminare e non un rapporto forense definitivo.
Chi c’è dietro l’attacco a Binance? Gli indizi portano alla Corea del Nord
TRM Labs ha attribuito l’incidente al gruppo nordcoreano TraderTraitor con un elevato livello di affidabilità. Anche Chainalysis indica possibili collegamenti con la Corea del Nord. Gli analisti hanno individuato somiglianze con l’attacco a Bybit del febbraio 2025, attribuito a un gruppo legato all’apparato statale nordcoreano.
TraderTraitor è il nome utilizzato per identificare un gruppo di cybercriminali associato alla Corea del Nord. Le sue attività comprendono, tra le altre cose, attacchi contro aziende del settore delle criptovalute e tentativi di ottenere fondi destinati a finanziare le attività dello Stato.
È comunque importante mantenere prudenza prima di formulare conclusioni definitive. L’attribuzione effettuata dalle società di analisi blockchain non equivale a una conferma ufficiale dell’identità degli autori da parte delle autorità giudiziarie. Binance ha dichiarato di collaborare con le autorità competenti e con i partner del settore per identificare i responsabili dell’incidente.
Quanti asset sono stati congelati? Binance parla di circa 3 miliardi di dollari
Uno degli elementi più importanti della risposta all’attacco è stata la collaborazione con gli emittenti di stablecoin e gli operatori delle infrastrutture blockchain. Tether, Circle, Ripple, World Liberty Financial e altri partner hanno adottato misure per bloccare gli asset collegati all’attacco. Inoltre, l’Arbitrum Security Council ha congelato fondi presenti sulla rete Arbitrum.
Nel suo ultimo comunicato del 30 ottobre, Binance ha dichiarato che sono stati congelati circa 3 miliardi di dollari. Un’analisi indipendente di Bitquery ha individuato circa 2,7 miliardi di dollari di asset congelati. Anche TRM Labs ha stimato in circa 2,7 miliardi di dollari il valore delle stablecoin e degli altri asset bloccati sulle diverse reti.
Le differenze tra queste stime dipendono dal momento delle rilevazioni, dall’ambito delle reti analizzate e dalle metodologie utilizzate dalle singole società. Questi dati non devono essere considerati come un unico bilancio definitivo. Inoltre, il congelamento degli asset non significa necessariamente che questi vengano immediatamente restituiti a Binance.
Come ha reagito Binance? SAFU, copertura delle perdite e sospensione dei prelievi
Binance ha confermato ufficialmente l’incidente il 30 ottobre alle 02:23 UTC. L’exchange ha dichiarato che le prime indagini indicano una possibile compromissione del laptop di un ingegnere DevOps, che potrebbe aver consentito all’attaccante di accedere a un container di servizi e inviare transazioni non autorizzate.
L’annuncio più importante riguarda però la responsabilità finanziaria. Binance si è impegnata a coprire tutte le perdite attraverso il fondo SAFU e le proprie risorse. L’exchange ha assicurato che gli asset degli utenti sono al sicuro.
SAFU, acronimo di Secure Asset Fund for Users, è un fondo di emergenza di Binance destinato a proteggere gli utenti in situazioni eccezionali legate alla sicurezza. Binance ha annunciato che utilizzerà sia le risorse del fondo sia i propri mezzi finanziari.
Nell’ambito delle misure di sicurezza, l’exchange ha:
sospeso temporaneamente depositi e prelievi per effettuare controlli di sicurezza;
revocato le autorizzazioni degli indirizzi coinvolti nell’incidente;
avviato la collaborazione con le autorità giudiziarie e le società di analisi blockchain;
promesso di coprire tutte le perdite attraverso il fondo SAFU e le proprie risorse;
annunciato la pubblicazione di un Proof of Reserves aggiornato al termine delle operazioni correttive.
In un successivo comunicato, Binance ha precisato che i depositi restavano disponibili, mentre i prelievi erano ancora sospesi durante la revisione e la ricostruzione dei sistemi di prelievo. L’exchange prevedeva di ripristinare i prelievi entro circa 48 ore.
Proof of Reserves di Binance sotto osservazione. Le riserve coprono ancora il 100% dei saldi dei clienti?
Uno dei temi più importanti emersi dopo l’incidente riguarda il Proof of Reserves, ovvero la rendicontazione delle riserve di un exchange e delle sue passività nei confronti dei clienti.
CoinDesk ha sottolineato che i wallet dai quali sono stati trasferiti gli asset comparivano nel prospetto delle riserve di Binance relativo a ottobre. Ciò significa che una parte degli asset coinvolti nell’incidente era stata indicata come copertura dei saldi degli utenti.
Secondo l’analisi di CoinDesk, prima dell’incidente Binance dichiarava una copertura del 100% delle proprie passività in ETH. Il trasferimento di circa 204.500 ETH potrebbe aver ridotto questo rapporto a circa il 94%, nel caso in cui gli asset mancanti non fossero ancora stati reintegrati. Carenze analoghe potrebbero aver riguardato anche USDC e alcuni altcoin.
Si tratta di un’informazione importante, ma non rappresenta una prova di insolvenza di Binance. L’exchange si è impegnato a coprire tutte le perdite, il che significa che le passività nei confronti dei clienti dovrebbero rimanere interamente coperte. La questione fondamentale sarà però verificare se Binance reintegrerà effettivamente gli asset mancanti e lo dimostrerà nel prossimo prospetto delle riserve.
Il Proof of Reserves aggiornato annunciato da Binance sarà quindi particolarmente importante. Permetterà di verificare se l’exchange ha ripristinato il livello di copertura delle proprie passività nelle singole criptovalute.
Come ha reagito il mercato delle criptovalute? Bitcoin è sceso sotto i 77.000 dollari
La notizia dell’incidente su Binance ha provocato una forte reazione del mercato. Bitcoin è sceso a circa 76.400-76.500 dollari, raggiungendo il livello più basso delle ultime sei settimane. Ethereum è temporaneamente sceso verso 2.170-2.200 dollari, mentre BNB ha perso oltre l’8% nell’arco di 24 ore.
Secondo i dati di mercato citati da CoinDesk, il valore complessivo delle liquidazioni sul mercato dei futures è salito a circa 1,57 miliardi di dollari. Gli investitori con posizioni long sono stati particolarmente colpiti. Le liquidazioni sulle posizioni BTC hanno rappresentato circa 522 milioni di dollari, mentre quelle sulle posizioni ETH hanno raggiunto circa 361 milioni di dollari.
L’intero calo non può essere attribuito esclusivamente all’incidente di Binance. Sul mercato hanno influito anche altri fattori, tra cui la debolezza dei titoli tecnologici statunitensi. Non ci sono tuttavia dubbi sul fatto che la notizia del trasferimento di asset per un valore di 6,3 miliardi di dollari abbia peggiorato sensibilmente il sentiment e aumentato la pressione di vendita.
Anche BNB merita particolare attenzione. Il token dell’ecosistema Binance ha registrato una delle flessioni più marcate tra le principali criptovalute. Il mercato ha valutato non soltanto i rischi direttamente legati all’incidente, ma anche le sue possibili conseguenze sulla fiducia nei confronti del più grande exchange di criptovalute al mondo.
Il più grande hack nella storia delle criptovalute? Binance supera Bybit e Ronin
Con un impatto finanziario stimato in 6,3 miliardi di dollari, l’incidente di Binance modifica radicalmente la classifica storica dei maggiori furti nel settore delle criptovalute.
Uno dei casi più importanti conosciuti finora era quello di LuBian. Nel dicembre 2020 sarebbero stati trasferiti circa 127.426 BTC dal pool cinese di mining Bitcoin. Il caso è stato reso pubblico da Arkham soltanto nell’agosto 2025, con una stima del valore dei fondi rubati pari a circa 3,5 miliardi di dollari al momento dei trasferimenti. Non si è trattato, tuttavia, di un classico attacco a un exchange chiaramente ricostruito e LuBian non ha confermato pubblicamente l’incidente.
Un altro caso importante è stato l’attacco a Bybit del 2025, con perdite stimate in circa 1,5 miliardi di dollari. Tra gli altri grandi furti storici nel settore figurano Ronin Network nel 2022, Poly Network nel 2021, Binance Bridge nel 2022, Coincheck nel 2018 e Mt. Gox nel 2014.
I valori storici non sono pienamente comparabili, poiché alcuni incidenti sono stati valutati al momento del furto, mentre altri soltanto dopo essere stati scoperti. Binance detiene comunque ora il record sulla base dell’impatto finanziario dichiarato. Questo non significa però che tutti i 6,3 miliardi di dollari siano andati definitivamente perduti.
Gli exchange europei autorizzati secondo MiCA sono una scelta più sicura?
L’incidente di Binance ricorda che anche le più grandi piattaforme di criptovalute non sono immuni dai rischi operativi e dagli attacchi informatici. Le dimensioni di un’azienda, la notorietà del marchio o l’entità delle sue riserve non garantiscono la sicurezza assoluta dei fondi.
Vale quindi la pena considerare il quadro normativo europeo. Gli exchange che operano sulla base di un’autorizzazione MiCA sono soggetti a specifici requisiti organizzativi, di vigilanza e di tutela dei clienti. Queste norme non eliminano il rischio di un attacco hacker, ma introducono obblighi aggiuntivi per i fornitori di servizi per le cripto-attività.
La scelta di una piattaforma in possesso delle autorizzazioni richieste e operante nell’ambito del quadro normativo europeo può quindi offrire un ulteriore livello di tutela formale e una maggiore trasparenza sulle responsabilità del fornitore del servizio. Tuttavia, un’autorizzazione MiCA non deve essere considerata una garanzia di sicurezza né equiparata alla protezione dei depositi bancari.
Che cosa significa l’incidente di Binance per la sicurezza dell’intero mercato delle criptovalute?
La lezione più importante di questo evento riguarda la differenza tra la sicurezza di una blockchain e quella dell’infrastruttura che si basa su di essa.
Reti come Bitcoin ed Ethereum possono funzionare correttamente e, nonostante ciò, gli asset degli utenti possono essere trasferiti fuori da un exchange se un attaccante assume il controllo dei sistemi che autorizzano le transazioni. In questo caso non è stato necessario violare la crittografia né prendere il controllo di un’intera blockchain. È stato sufficiente ottenere accesso all’infrastruttura che consentiva di effettuare i prelievi.
L’incidente evidenzia anche i limiti del Proof of Reserves. La pubblicazione di un prospetto dei wallet e dei saldi non elimina i rischi operativi. Le riserve possono risultare sufficienti in una determinata data, ma la loro sicurezza dipende anche dai controlli degli accessi, dalle procedure di autorizzazione e dalla resilienza dei sistemi interni dell’exchange.
Infine, l’evento mostra due aspetti differenti del mercato delle criptovalute. Da un lato, gli emittenti di stablecoin possono congelare i fondi, contribuendo a limitare le conseguenze degli attacchi. Dall’altro, Bitcoin rimane un asset che non può essere bloccato per decisione di un emittente centrale. Il recupero dei BTC richiede, nella pratica, la collaborazione di soggetti in grado di controllare i successivi trasferimenti di questi fondi.
Binance si trova al centro del più grande incidente noto di questo tipo, ma la valutazione definitiva della sua portata dipenderà dalla quantità di asset che sarà possibile recuperare, dalla capacità dell’exchange di ricostituire le proprie riserve e dalle conclusioni del rapporto tecnico completo.
Se stai cercando un exchange di criptovalute che operi nel quadro normativo europeo, consulta la classifica delle piattaforme autorizzate secondo MiCA su micaintelligence.com. Troverai una selezione di exchange in possesso delle autorizzazioni richieste e dotati di piattaforme di trading operative e accessibili agli utenti europei.