Binance, furto da 6,3 miliardi: falso colloquio e malware nel presunto attacco
Secondo il dossier, Binance avrebbe subito un furto da 6,3 miliardi di dollari partito da un falso colloquio di lavoro, con prelievi sospesi, asset congelati e ipotesi di matrice nordcoreana.
Binance ha attribuito a un grave incidente di sicurezza la sottrazione di 6,3 miliardi di dollari in criptovalute. Secondo la ricostruzione disponibile, l’attacco sarebbe partito da un falso colloquio di lavoro e avrebbe poi coinvolto più dispositivi interni dell’azienda. Nel dossier l’evento è collocato a ottobre 2026 e viene descritto come una minaccia capace di incidere anche sulla gestione operativa della piattaforma: i prelievi globali sarebbero stati sospesi e poi ripristinati domenica, mentre la società dice di aver collaborato con le autorità per tracciare e congelare gli asset coinvolti.
La sequenza riportata non descrive un singolo accesso isolato, ma un attacco multistep. Un ingegnere di Binance sarebbe stato contattato su una piattaforma di recruiting legittima e coinvolto in una selezione fittizia. Nel secondo colloquio, sempre secondo il dossier, gli sarebbe stato chiesto di scaricare o caricare software malevolo: da lì sarebbe iniziato il compromesso del suo computer.
Il vettore iniziale: un colloquio finto costruito come esca
Il dettaglio più rilevante è il canale d’ingresso. Non si parla di un phishing generico, ma di una procedura che imita un normale processo di assunzione. Questo tipo di vettore sfrutta fiducia, routine aziendale e piattaforme apparentemente affidabili. Nel dossier viene indicato che il contatto iniziale sarebbe avvenuto attraverso un servizio di recruiting autentico, elemento che avrebbe reso l’interazione meno sospetta per il dipendente coinvolto.
Da lì, l’attacco non si sarebbe fermato al laptop dell’ingegnere inizialmente preso di mira. Il testo riporta che il malware, insieme a uno strumento interno di intelligenza artificiale compromesso, avrebbe consentito agli aggressori di ottenere il controllo di altri due laptop di ingegneri. In termini operativi, il punto centrale è la capacità di muoversi lateralmente dentro un ambiente tecnico più ampio.
La parte tecnica e le conseguenze operative
La ricostruzione descrive una combinazione tra ingegneria sociale, malware e abuso di strumenti interni. È questo aspetto a rendere l’episodio diverso da una semplice sottrazione di credenziali: il presunto controllo di più laptop di personale tecnico suggerisce un accesso più profondo all’infrastruttura, almeno per il tempo necessario a completare l’operazione. Tuttavia, va precisato che questa rimane la versione riportata nell’estratto disponibile e non include qui verifiche indipendenti ulteriori sulle modalità esatte dell’intrusione.
Sul fronte degli effetti, Binance avrebbe sospeso i prelievi a livello globale e poi ristabilito il servizio nella giornata di domenica. La società, sempre secondo il dossier, ha dichiarato di aver lavorato con le forze dell’ordine per rintracciare e congelare gli asset. Viene anche riportato che il 98% degli asset tokenizzati colpiti sarebbe stato ripristinato e che sarebbero stati riservati fondi per coprire oltre il 100% delle perdite necessarie. Si tratta di due dati distinti: il primo riguarda il recupero operativo degli asset, il secondo la copertura finanziaria dichiarata.
Le cifre: 6,3 miliardi, recuperi e copertura delle perdite
Il numero centrale resta quello del furto attribuito all’incidente: 6,3 miliardi di dollari in criptovalute. Nel contesto di un exchange globale, una cifra di questa dimensione ha conseguenze non solo reputazionali ma anche sistemiche, perché tocca liquidità, fiducia degli utenti e continuità dei servizi. Per questo il dossier insiste sia sulla sospensione temporanea dei prelievi sia sul successivo ripristino, elementi che indicano una risposta d’emergenza immediata.
Il dato sul 98% degli asset tokenizzati ripristinati va letto come segnale di contenimento del danno, ma non equivale automaticamente alla chiusura dell’incidente. Il dossier segnala inoltre la riserva di fondi superiore al 100% rispetto al necessario per coprire le perdite: una formula che, se confermata nella comunicazione aziendale, indica una scelta di prudenza finanziaria e di protezione rispetto a eventuali ricadute successive.
Attribuzione dell’attacco: ipotesi e smentite
Resta delicato il capitolo dell’attribuzione geopolitica. Nel materiale disponibile si legge che FBI, servizi segreti e analisti di sicurezza avrebbero visto nell’attacco segni di una matrice nordcoreana. Allo stesso tempo, Pyongyang nega il coinvolgimento. Anche in questo caso è importante distinguere: si tratta di un’ipotesi investigativa riportata dal testo, non di una prova definitiva inclusa nel dossier.
Questa distinzione conta soprattutto in un caso come questo, in cui l’interpretazione della catena di eventi può cambiare il modo in cui vengono valutati rischio, responsabilità e contromisure. Senza documenti investigativi completi o riscontri indipendenti ulteriori, l’attribuzione resta quindi un elemento contestato.
Le prossime mosse indicate da Binance
Il dossier riporta anche le misure che Binance intenderebbe adottare dopo l’attacco: aumentare gli investimenti in strumenti di intelligenza artificiale per il rilevamento delle minacce e coinvolgere esperti esterni di sicurezza informatica per un’analisi completa dell’incidente. È un’indicazione coerente con la natura del presunto attacco, che avrebbe sfruttato proprio una combinazione di social engineering, malware e strumenti interni compromessi.
In sintesi, il quadro che emerge è quello di un incidente ad alta complessità, con un vettore iniziale umano, un’estensione tecnica su più dispositivi e una gestione d’emergenza che ha coinvolto sospensione dei prelievi, recupero parziale degli asset e cooperazione con le autorità. Restano però da considerare come ricostruzioni o valutazioni, e non come verifiche autonome complete, le accuse più sensibili, dall’attribuzione alla Corea del Nord fino ai dettagli tecnici della compromissione.
Fonti
