Gli aggressori hanno sottratto 6,3 miliardi di dollari a Binance, spostandosi da un laptop di un dipendente compromesso verso sistemi in grado di autorizzare i prelievi di criptovalute, come riportato da Dark Reading il 2 novembre. La società afferma di aver reintegrato con fondi propri circa il 95% degli asset coinvolti. Il percorso dell'attacco solleva però interrogativi per le organizzazioni i cui sistemi interni di fiducia possono approvare transazioni di alto valore.
Secondo il report, il furto era avvenuto la settimana precedente. Basandosi sulle comunicazioni di Binance, Dark Reading ha descritto un attacco che ha raggiunto un hot wallet, cioè un portafoglio collegato a sistemi online, e ha svuotato miliardi di dollari in circa venti minuti. Il report riferiva inoltre che l'FBI aveva attribuito l'attacco al gruppo nordcoreano TraderTraitor.
Per i custodi di criptovalute la questione immediata è se un dispositivo di un dipendente compromesso possa diventare una via d'accesso ai fondi. Lo stesso interrogativo riguarda le aziende i cui servizi interni possono autorizzare pagamenti, accedere a database di clienti o approvare il rilascio di software, hanno spiegato a Dark Reading alcuni specialisti di sicurezza.
Dal laptop di uno sviluppatore all'autorità di prelievo
Le prime conclusioni di Binance hanno individuato nel laptop di un dipendente il punto di partenza. Le successive indagini hanno invece rilevato altri punti di compromissione, estendendo l'incidente oltre quel singolo dispositivo.
Gli aggressori hanno usato il laptop compromesso dello sviluppatore per accedere a un container di servizio interno, cioè un ambiente che esegue software autorizzato a inviare richieste di prelievo. Da lì hanno sfruttato altri punti di compromissione e un meccanismo di delega degli account Ethereum, che consente di assegnare l'autorità su un account, per ottenere il potere di approvare transazioni su un hot wallet.
Gli aggressori sembrano aver aggirato i normali controlli di approvazione di Binance. La società ha dichiarato di non aver trovato alcuna prova che le chiavi private dei portafogli trapelate siano state usate nel furto. Quelle chiavi autorizzano i trasferimenti di criptovalute, ma proteggerle da sole non basta a mettere in sicurezza ogni sistema autorizzato a richiederne l'uso.
Waseem Ahmed, responsabile dell'ingegneria presso Secure.com, ha detto a Dark Reading che le informazioni disponibili suggeriscono che gli aggressori abbiano usato il sistema di firma dello stesso Binance per firmare i trasferimenti. Questo spiegherebbe come un trasferimento non autorizzato possa avere una firma crittografica valida: il processo di firma può funzionare correttamente, mentre la decisione di approvare la transazione è sbagliata.
La sequenza precisa delle approvazioni non autorizzate e le salvaguardie in essere restano poco chiare, mentre l'indagine di Binance prosegue. Dopo l'attacco, la società ha avviato il congelamento di circa 3 miliardi di dollari. L'affermazione separata di aver reintegrato circa il 95% degli asset coinvolti descrive una sostituzione con fondi aziendali, non il recupero delle criptovalute rubate.
Controlli indipendenti sugli asset di valore
Tim Rawlins, consulente senior e direttore della sicurezza di NCC Group, ha affermato che le piattaforme che custodiscono asset digitali hanno bisogno di livelli di sicurezza indipendenti, in modo che la compromissione di un solo componente non possa autorizzare un trasferimento. Ha raccomandato di separare i fondi tra hot wallet e cold wallet, cioè portafogli che tengono le chiavi offline, per limitare quanto una singola compromissione può esporre.
Rawlins ha inoltre raccomandato workstation dedicate con privilegi di accesso per gli sviluppatori e gli amministratori che svolgono operazioni critiche, separate dai dispositivi usati per la posta elettronica e la navigazione web. Il monitoraggio continuo dovrebbe aiutare a individuare endpoint compromessi e attività anomale prima che gli aggressori sfruttino gli accessi privilegiati.
La revisione deve coprire componenti e ruoli privilegiati la cui compromissione potrebbe dare a qualcuno il controllo dei fondi, ha affermato, inclusi i sistemi che richiedono e approvano l'uso delle chiavi. Il threat modelling, cioè la mappatura dei modi plausibili in cui un aggressore potrebbe raggiungere un asset di valore, e il test dell'intero processo di transazione fanno parte di questo lavoro.
John Bruggeman, virtual CISO presso la società di servizi IT CBTS, ha sostenuto che i grandi exchange devono esaminare cosa possono fare le identità e i sistemi di fiducia, oltre alle difese perimetrali e all'autenticazione. Tra le sue raccomandazioni figurano la gestione delle chiavi private, l'autenticazione a più fattori per l'uso delle chiavi, limiti di importo per i trasferimenti, avvisi per i trasferimenti di grande entità, il rilevamento degli endpoint su ogni dispositivo dei dipendenti e l'analisi del comportamento degli utenti.
Ha inoltre chiesto limiti di frequenza per i prelievi, controlli a protezione dei portafogli e della custodia delle criptovalute, e segregazione dei compiti: un solo utente non dovrebbe poter sia avviare sia finalizzare un trasferimento.
Ahmed ha raccomandato un'approvazione umana prima delle azioni che spostano denaro o dati, con limiti applicati in modo collettivo tra i sistemi. I team di sicurezza dovrebbero testare l'intero percorso, dal laptop di un dipendente fino al pagamento, ha affermato. Ad esempio, sostituire il servizio di prelievo con un sistema di pagamento aziendale solleva una domanda simile: un dispositivo compromesso può raggiungere un servizio di cui ci si fida per rilasciare denaro?
Un quadro più ampio di furti di criptovalute
Dark Reading ha descritto il furto ai danni di Binance come la più grande violazione di un exchange di criptovalute per valore. Gli exchange affrontano molte minacce già note alle banche, ma secondo il report non sono stati sottoposti allo stesso livello di supervisione sul rischio operativo e sulla sicurezza.
Gli episodi precedenti illustrano diverse vie d'accesso ai fondi: nel febbraio 2025 Bybit ha perso circa 1,5 miliardi di dollari dopo che gli aggressori avevano manipolato il processo di approvazione di un cold wallet Ethereum; nel maggio 2019 Binance ha perso 7.000 bitcoin, dopo che gli aggressori avevano ottenuto chiavi API degli utenti e codici di autenticazione a due fattori; e nell'ottobre 2026 aggressori hanno compromesso uno script di terze parti sul sito web di Polymarket per spostare fondi da alcuni portafogli degli utenti.
Dark Reading ha riportato che gli attori nordcoreani sono responsabili del 76% del denaro che i trader avevano segnalato come rubato finora nel 2026, e di almeno un terzo dei furti di criptovalute segnalati in sei degli ultimi nove anni.
Robert Coles, senior manager della sicurezza di threat intelligence presso Black Duck, ha affermato che le organizzazioni dovrebbero valutare quanto danno può causare un aggressore dopo aver ottenuto l'accesso iniziale. Per i team di sicurezza che analizzano l'attacco a Binance, il compito pratico è individuare i sistemi critici e gli account privilegiati, e poi verificare quali controlli indipendenti impedirebbero a un dispositivo compromesso di raggiungerli ed eseguire un'azione ad alto impatto.
