Gli attaccanti hanno trasferito circa 6,34 miliardi di dollari in criptovalute da almeno 11 portafogli Binance il 29 ottobre, sfruttando autorizzazioni che hanno continuato a funzionare dopo che l'exchange aveva sospeso i prelievi e disattivato i servizi di hot wallet. Dark Reading ha riportato che Binance ha rilevato attività sospette nel giro di pochi minuti, ma per bloccare i trasferimenti è stato necessario revocare permessi registrati sulla blockchain.
L'episodio ha conseguenze pratiche per gli exchange e per le altre aziende che elaborano in tempo reale transazioni in criptovalute: sospendere i prelievi potrebbe lasciare intatta l'autorità già concessa a un attaccante. Il post-mortem di Binance del 3 novembre, citato da Dark Reading, indica che quei permessi consentivano agli attaccanti di spostare asset indipendentemente dalla normale infrastruttura dei prelievi.
L'attacco è durato dalle 20:05 UTC fino all'ultima transazione registrata, alle 23:56 UTC, quasi quattro ore dopo. Secondo Dark Reading, Binance ha successivamente congelato e recuperato circa 2,85 miliardi di dollari di asset oggetto di un tentativo di furto.
Come l'autorizzazione è sopravvissuta alla sospensione
Gli attaccanti hanno sfruttato il meccanismo EIP-7702 di Ethereum, introdotto nel 2025, che consente a un account di delegare l'esecuzione a codice di smart contract, ovvero a software che gira sulla blockchain. Hanno usato quell'autorità per installare uno «sweeper», un codice che sposta automaticamente i fondi verso un indirizzo controllato dall'attaccante.
L'analisi di BlockAid, azienda di sicurezza blockchain, ha rilevato che un portafoglio principale di tesoreria di Binance conteneva oltre sessanta criptovalute, per un valore di circa 2,5 miliardi di dollari. Lo sweeper ha trasferito questi asset a un indirizzo creato pochi minuti prima, lasciando nel portafoglio una sola moneta ETH.
Ido Ben-Natan, co-fondatore e CEO di BlockAid, ha spiegato che un'autorizzazione EIP-7702 crea una delega permanente. Una volta registrata sulla blockchain, il codice dell'attaccante può spostare sia i fondi esistenti sia i depositi successivi, finché il portafoglio non revoca tale autorità. L'autorizzazione stessa non specifica né un importo né una destinazione, quindi resta al di fuori dei dettagli della transazione che i controlli sui prelievi normalmente esaminano.
Trasferimenti di importo elevato da altri portafogli verso lo stesso indirizzo hanno fatto scattare gli allarmi interni di Binance. L'exchange ha adottato contromisure, ma secondo il post-mortem sono state necessarie ulteriori transazioni sulla blockchain per revocare le autorizzazioni; bloccare i propri servizi di prelievo non le ha invalidate.
Sviluppatori compromessi hanno aperto la strada alla firma
Il post-mortem di Binance descrive due vie d'accesso ai sistemi degli sviluppatori. Uno sviluppatore ha scaricato una versione compromessa di Homebrew, un gestore di pacchetti open source per Mac. Un altro ha completato una prova di codice assegnata durante un falso colloquio di lavoro, compromettendo così la propria macchina.
Gli attaccanti hanno usato l'accesso a questi due sistemi e a quello di un terzo sviluppatore per ottenere privilegi di firma, ovvero l'autorità necessaria ad approvare operazioni sulla blockchain. Hanno preparato 50 autorizzazioni firmate destinate al portafoglio che gli analisti di blockchain chiamano «Binance 14».
Gli attaccanti hanno inviato tutte e 50 insieme per adattarsi al nonce del portafoglio, un contatore sequenziale usato per convalidare le transazioni. Preparando una finestra di possibili valori del contatore, bastava che una sola autorizzazione corrispondesse.
Secondo Dark Reading, l'FBI ha attribuito l'attacco a operatori nordcoreani associati a TraderTraitor. L'agenzia ha pubblicato più di 600 indirizzi Ethereum, 19 indirizzi Bitcoin e un indirizzo SOL collegati al gruppo.
Avi Sambira, vicepresidente per il Nord America di Sygnia, ha paragonato l'attacco agli sviluppatori al furto ai danni di ByBit del 21 febbraio 2025. In quel caso Sygnia ha riscontrato che gli attaccanti avevano compromesso il Mac di uno sviluppatore di Safe{Wallet} quasi tre settimane prima del furto, per poi usare un token AWS per operare nel suo ambiente cloud per circa due settimane, prima di alterare l'interfaccia di firma.
Sambira ha dichiarato che la comunicazione di Binance appare coerente con una progressione simile, dai dispositivi endpoint e dagli strumenti interni compromessi fino alle credenziali, ai token o all'accesso ai container a supporto della firma dei portafogli. Il suo avvertimento più ampio è che le identità degli sviluppatori, i repository di codice, le pipeline di build e deployment del software, i sistemi di amministrazione cloud e le integrazioni di terze parti possono trovarsi a soli uno o due confini di fiducia dall'autorità sui prelievi.
Una tecnica nota, con conseguenze più gravi
Gli attacchi con sweeper basati su EIP-7702 avevano già causato perdite documentate. Una ricerca presentata a USENIX Security nell'agosto 2026 da ricercatori della Hong Kong University of Science and Technology e di altre due università cinesi ha individuato almeno 924 smart contract malevoli resi possibili dal meccanismo, che hanno causato perdite per almeno 2,3 milioni di dollari.
BlockAid ha riferito separatamente perdite per almeno 1,1 milioni di dollari in quattro episodi e aveva previsto un attacco da un miliardo di dollari entro la fine del 2026.
Esperti citati da Dark Reading hanno messo in dubbio che Binance disponesse di controlli sufficienti per individuare le autorizzazioni malevole e disattivarle rapidamente. Nel resoconto dell'episodio l'exchange ha insistito sul monitoraggio e sul rilevamento delle anomalie; non ha risposto alle richieste di commento di Dark Reading.
Cosa dovrebbero preparare le aziende di criptovalute
Ben-Natan raccomanda alle aziende che elaborano transazioni in criptovalute di usare simulazioni per individuare regole malevole, applicare limiti agli importi e alle destinazioni delle transazioni e generare allarmi in caso di picchi di trasferimenti di grande entità. Raccomanda inoltre un interruttore di emergenza predisposto e testato, che sospende le firme e blocca le ricariche dei portafogli, limitando quanto uno sweeper può sottrarre mentre chi risponde all'incidente ne revoca l'autorità.
Sambira raccomanda visibilità su identità e relativi permessi, integrità dell'infrastruttura, custodia e approvazione delle transazioni, e rilevamento sia sulla blockchain sia al di fuori di essa. Monitorare le sole transazioni sulla blockchain, ha detto, intercetta l'attacco troppo tardi nella sua progressione.
Le aziende dovrebbero tenere traccia di ogni identità e sistema in grado di avviare, approvare, modificare o eseguire transazioni, e prepararsi a sospendere tali privilegi. Le capacità di risposta dovrebbero includere la revoca di identità e token, la sospensione dei trasferimenti, l'isolamento dei portafogli e la ricostruzione in pochi minuti dell'infrastruttura compromessa, con l'autorità di agire già stabilita in anticipo.
Ari Redbord, responsabile globale delle policy di TRM Labs, ha affermato che un monitoraggio rapido e i rapporti con i soggetti interessati possono aiutare chi risponde a limitare le perdite. I trasferimenti di criptovalute consentono ai ladri di spostare fondi in tempo reale, rendendo la rapidità di risposta particolarmente decisiva. Le aziende dovrebbero testare i propri controlli di contenimento prima di un incidente e provarli regolarmente, così che chi risponde possa usarli nei primi minuti di un attacco.
