Binance: rubati 6,3 miliardi di dollari dai suoi hot wallet, un portatile DevOps come prima pista e l’FBI indica la Corea del Nord

Binance conferma che i suoi hot wallet sono stati compromessi il 29 ottobre, con perdite per circa 6,3 miliardi di dollari. L’azienda ha prima indicato il portatile di un ingegnere DevOps, poi ha trovato altri punti di violazione. Secondo BleepingComputer, l’FBI attribuisce il furto al gruppo nordcoreano TraderTraitor.

Cosa è successo

Binance afferma che i suoi hot wallet sono stati compromessi intorno alle 20:05 UTC del 29 ottobre 2026, consentendo prelievi non autorizzati per circa 6,3 miliardi di dollari. TRM Labs, che parla di 6,36 miliardi, riferisce che i fondi sono usciti su dieci blockchain, in gran parte in circa 20 minuti, e lo definisce il più grande furto di criptovalute mai registrato. Secondo BleepingComputer, il 31 ottobre l’FBI ha pubblicato un’allerta che attribuisce il furto a TraderTraitor, gruppo sostenuto dallo Stato nordcoreano; insieme al Secret Service e all’IRS Criminal Investigation ha chiesto alle piattaforme di bloccare 628 indirizzi legati al riciclaggio.

Come sono entrati gli attaccanti

Il primo comunicato di Binance indicava il portatile compromesso di un ingegnere DevOps, usato per raggiungere un container di servizio e inviare transazioni di prelievo. Quello successivo aggiunge che ulteriori accertamenti hanno rivelato altri punti di violazione. L’azienda dice di non avere prove di una fuga delle chiavi private e promette un rapporto dettagliato. Secondo BleepingComputer, uno dei co-CEO ha dichiarato che l’attaccante non si è limitato a usare i permessi di un solo ingegnere e che nessuna persona è stata ritenuta responsabile. Per TRM Labs la spiegazione più probabile è il controllo dell’infrastruttura di firma degli hot wallet; Binance non ha pubblicato una causa definitiva.

Binance segnala circa 3 miliardi di dollari congelati sulle blockchain e assicura che si farà carico della perdita. Il 1° novembre ha indicato che circa il 95 % dell’importo era coperto, che i depositi non erano coinvolti e che una prima fase di prelievi era prevista quel giorno dalle 06:00 alle 09:00 UTC.

Cosa fare ora

1. Dedicate postazioni all’amministrazione: niente posta né navigazione generica su una macchina con accesso alla produzione.
2. Togliete i segreti di lunga durata dai portatili: controllate ~/.ssh, ~/.kube/config e i file di credenziali cloud, poi passate ad accessi di breve durata tramite SSO con MFA a chiave hardware.
3. Misurate cosa può fare un portatile: eseguite kubectl auth can-i --list con le credenziali di un amministratore, togliete il superfluo e bloccate l’accesso diretto dalle reti d’ufficio ai container di produzione.
4. Richiedete una seconda approvazione per le azioni irreversibili: esportazioni massive, cancellazione dei backup, pagamenti.
5. Impostate allarmi di volume con arresto automatico: in 20 minuti non c’è tempo per una decisione umana.

Il nostro parere

Poche aziende custodiscono miliardi, ma quasi tutte hanno un portatile di amministratore in grado di raggiungere la produzione. Qualunque cosa stabilisca il rapporto finale, l’obiettivo non cambia: una sola macchina compromessa non deve mai bastare a innescare un’azione irreversibile. Anche la revoca rapida degli accessi va provata prima che serva.

Fonti

• Binance — Security Incident Update
• Binance — Security Incident Update #2
• Binance — Security Incident: Recovery Update #4
• TRM Labs — North Korea steals USD 6.36 billion from Binance
• BleepingComputer — FBI links $6.3 billion Binance crypto heist to North Korean hackers
• BleepingComputer — Binance links $6.3 billion crypto theft to compromised DevOps laptop

Come scegliamo, verifichiamo e scriviamo le nostre analisi →