In breve
Binance ha perso circa 6,3 miliardi di dollari perché gli aggressori hanno preso il controllo di ciò che il suo hot wallet avrebbe firmato, non perché sia stato forzato un caveau. I primi riscontri indicano il laptop compromesso di un ingegnere, un token di accesso completo senza scadenza e un sistema di firma che ha approvato deleghe verso un contratto dell’aggressore. Qualsiasi team che sviluppa software fintech che muove denaro in modo automatico ha lo stesso punto debole.
Che cosa è successo a Binance?
Tra il 29 e il 30 ottobre 2026, a seconda del fuso orario, i fondi hanno iniziato a uscire dagli hot wallet di Binance su XRP Ledger, Ethereum, Bitcoin e altre catene. L’Associated Press riferisce che circa 6,36 miliardi di dollari sono stati spostati su dieci blockchain in circa 20 minuti. Binance ha sospeso depositi e prelievi, ha confermato che sono stati colpiti solo gli hot wallet, mentre la maggior parte degli asset si trova in cold storage, e ha accantonato fondi aziendali per coprire la perdita.
Le società di blockchain intelligence TRM Labs e Chainalysis hanno collegato il furto a TraderTraitor nel giro di un giorno, e l’FBI lo ha attribuito pubblicamente allo stesso gruppo nordcoreano, precisando che gli asset venivano convertiti soprattutto in Ether e che è probabile un ulteriore riciclaggio. Tether e Circle hanno congelato circa 3 miliardi di dollari in USDT e USDC, che secondo CNBC corrispondono a circa metà del bottino. Binance afferma che le perdite residue non saranno trasferite agli utenti.
Come sono entrati gli aggressori?
Il post-mortem completo non è pubblico, quindi i dettagli vanno considerati come ricostruzioni di stampa. Secondo l’AP, il primo riscontro di Binance è stato un laptop compromesso; le verifiche successive hanno individuato ulteriori punti di violazione, e gli aggressori disponevano di «un token di accesso completo e senza scadenza» a un hot wallet.
L’analisi on-chain di TRM Labs aggiunge i meccanismi su Ethereum. L’aggressore ha inviato una sola transazione contenente 50 autorizzazioni EIP-7702, ciascuna firmata in anticipo dall’hot wallet di Binance per nonce consecutivi. Quelle deleghe collegavano il wallet a un contratto «sweeper» controllato dall’aggressore, così il saldo e i depositi successivi sono defluiti. La conclusione di TRM è che molto probabilmente l’aggressore poteva far firmare al sistema di firma di Binance transazioni a sua scelta: una compromissione del percorso di autorizzazione, non il furto di una singola chiave privata.
Perché conta anche fuori dal mondo crypto?
Sostituite «hot wallet» con «servizio di pagamento in uscita» e lo schema si adatta alla maggior parte degli stack fintech moderni. Emissione di carte, ACH, pagamenti in tempo reale e strumenti di tesoreria hanno tutti un componente che trasforma una chiamata API in un movimento di denaro, di solito protetto da un token di servizio e da un motore di regole. Se il motore di regole controlla solo importi e destinatari, un aggressore in grado di inviare richieste non ha affatto bisogno delle chiavi.
Il dettaglio di EIP-7702 è un avvertimento soprattutto sui nuovi tipi di transazione. Una policy di firma scritta prima di una modifica del protocollo può approvare un messaggio di cui non comprende l’effetto. Lo stesso rischio si presenta ogni volta che un circuito di pagamento, un’API bancaria o un circuito di carte aggiunge un nuovo tipo di istruzione e il servizio di autorizzazione non viene aggiornato di pari passo.
Cosa significa per i team software in Italia e nell’UE
Per le fintech statunitensi, i gruppi sostenuti da Stati come TraderTraitor prendono di mira direttamente gli sviluppatori, spesso con false offerte di lavoro o strumenti contaminati, perché la sessione di un solo ingegnere può aprire l’intero sistema. Considerate i laptop degli sviluppatori che raggiungono i servizi di firma o di pagamento in produzione come parte del perimetro dei dati dei titolari di carta e della custodia, e mettete alla prova quel confine con un penetration test e audit di sicurezza che includa la pipeline CI/CD e la gestione dei segreti, non solo l’applicazione pubblica.
Per i team europei, l’incidente arriva mentre le regole di DORA su rischio ICT e segnalazione degli incidenti si applicano alle entità finanziarie e MiCA disciplina i prestatori di servizi per le cripto-attività. Entrambi i quadri richiedono controllo degli accessi documentato, ripristino testato e classificazione rapida degli incidenti. Un token senza scadenza verso un sistema che muove i fondi dei clienti è esattamente il tipo di rilievo su cui un auditor o un’autorità di vigilanza chiederà spiegazioni.
Cosa devono fare ora i team fintech?
- Eliminate i token a lunga durata. Censite ogni credenziale che può richiedere una firma o un pagamento; rendetele di breve durata, con ambito limitato e legate a un dispositivo o a un’identità di workload.
- Fate capire al firmatario che cosa firma. Decodificate e mettete in allowlist i tipi di transazione o di istruzione; rifiutate deleghe, approvazioni e chiamate a contratti che la policy non copre esplicitamente.
- Limitate la velocità. Limiti rigidi al minuto e all’ora su hot wallet e conti di pagamento avrebbero trasformato uno svuotamento in 20 minuti in un incidente contenuto.
- Richiedete due persone per le modifiche alle policy. Le modifiche a regole di firma, allowlist e limiti devono avere un’approvazione separata e generare allarmi.
- Mettete in sicurezza i dispositivi degli ingegneri. Dispositivi gestiti, MFA resistente al phishing e nessun segreto di produzione sui laptop.
- Provate il blocco. Sappiate chi chiamare presso emittenti di stablecoin, banche e processori di pagamento, e quanto velocemente potete fermare i deflussi.
Nulla di quanto scritto costituisce consulenza legale. La direzione però è chiara: il bersaglio più prezioso in un sistema che muove denaro è ormai l’automazione che approva i trasferimenti, e merita la stessa attenzione delle chiavi stesse. Per un confronto sul vostro caso, contattateci oppure approfondite sul blog.
Domande frequenti
Che cosa è successo nell’attacco a Binance?
Tra il 29 e il 30 ottobre 2026 gli aggressori hanno trasferito circa 6,3 miliardi di dollari in cripto-attività dagli hot wallet di Binance su dieci blockchain, secondo l’Associated Press. L’FBI ha attribuito il furto a TraderTraitor, un gruppo nordcoreano. Binance ha dichiarato che coprirà le perdite con fondi propri e il 1° novembre ha ripreso i prelievi in modo graduale.
Come sono entrati gli aggressori nell’hot wallet di Binance?
L’indagine preliminare di Binance ha indicato il laptop compromesso di un ingegnere del software e, secondo l’AP, gli aggressori hanno ottenuto un token di accesso completo e senza scadenza a un hot wallet. La società di analisi blockchain TRM Labs ritiene che la spiegazione più probabile sia che l’aggressore potesse far firmare al sistema di firma degli hot wallet di Binance transazioni a sua scelta, comprese 50 deleghe Ethereum EIP-7702 pre-firmate.
Che cos’è EIP-7702 e perché è stato determinante?
EIP-7702 è una funzionalità di Ethereum, attiva da maggio 2025, che consente a un account ordinario di delegare il proprio comportamento al codice di uno smart contract. Secondo TRM Labs l’aggressore ha usato deleghe firmate per collegare l’hot wallet di Binance a un contratto «sweeper» sotto il suo controllo, così da svuotare anche i fondi arrivati in seguito. Le policy di firma che verificano solo importi e destinatari dei trasferimenti possono non intercettare questo tipo di autorizzazione.
I clienti di Binance hanno perso denaro?
Secondo Binance no. L’exchange ha dichiarato che sosterrà l’impatto finanziario e che le perdite non saranno trasferite agli utenti. TechCrunch riferisce che Binance ha coperto circa il 95% degli asset sottratti, mentre Tether e Circle hanno congelato circa 3 miliardi di dollari in stablecoin legate al furto.
Cosa devono trarne i team fintech che non operano nel crypto?
Trattate il servizio di firma o di autorizzazione dei pagamenti come il bene più prezioso, non solo le chiavi. Eliminate i token di accesso completo a lunga durata, fate in modo che il firmatario verifichi ciò che firma, limitate la velocità di uscita da hot wallet e pagamenti e mettete in sicurezza i dispositivi degli ingegneri che raggiungono la produzione. Gli stessi controlli valgono per carte, ACH, bonifici istantanei e addebiti diretti SEPA.
Fonti
Associated Press via PBS NewsHour — What to know about the $6.3B hack on Binance, likely the biggest-ever crypto theft (31 ottobre 2026)
CNBC — Binance hack: Investigators in a ‘cat and mouse game’ to recover $6.3 billion in stolen funds (30 ottobre 2026)
TechCrunch — Binance resumes withdrawals following $6.3 billion breach (1° novembre 2026)
TRM Labs — North Korea steals USD 6.36 billion from Binance in the largest hack in history (analisi on-chain, 30 ottobre 2026)