Binance colpita da un hack da 6.3 miliardi di dollari, il più grande nella storia delle criptovalute

Il più grande hackeraggio della storia delle criptovalute si è appena verificato sul più grande exchange di criptovalute. Binance ha quantificato l'incidente di sicurezza che ha scosso lo scambio giovedì 29 ottobre. In un aggiornamento Pubblicato oggi, lo scambio conferma che sono stati interessati quasi 6,3 miliardi di dollari. Si tratta di una storia in evoluzione e le cifre potrebbero cambiare mentre Binance e i suoi partner continuano a tracciare i fondi. 

Il settore si è unito per congelare circa 3 miliardi di dollari on-chain, lasciando circa 3,3 miliardi fuori portata al momento della scrittura. DeFillama afferma che la sola parte non recuperata è superiore a quanto rubato in tutto il crypto nel corso dell'anno scorso. È inoltre equivalente alla somma persa nel 2023 e nel 2024 combinati.  

Un laptop compromesso ha fornito all'attaccante un punto di ingresso 

Le indagini iniziali di Binance puntano a un laptop compromesso di un ingegnere DevOps. Lo scambio ha dichiarato che l'attaccante ha utilizzato la macchina per raggiungere un contenitore di servizio interno ed eseguire transazioni di prelievo non autorizzate da lì. Al momento, Binance afferma di non aver trovato segni che le chiavi private dei portafogli siano state divulgate e prevede di pubblicare un rapporto tecnico completo post-mortem una volta verificati i fatti. 

Ciò che è stato verificato finora è che l'attacco è iniziato intorno alle 16:30 ET, secondo i dati on-chain di Arkham. I dati di Arkham mostrano che l'attaccante ha prelevato grandi quantità di Bitcoin, Ethereum, Tron e Solana, tra gli altri asset. Il CEO di Tether Paolo Ardoino ha confermato su X che hanno congelato 1,567 miliardi di dollari in USDT e il CEO di Circle Jeremy Allaire ha inoltre confermato che hanno congelato oltre 800 milioni di dollari in USDC. Ripple, World Liberty, BitGo e Paxos hanno anch'essi congelato gli asset rubati, mentre il Consiglio di Sicurezza di Arbitrum ha bloccato circa 30,5 milioni di dollari. Il più grande protocollo di prestito DeFi, Aave, ha anche congelato i suoi mercati di prestito come misura precauzionale, dopo che l'attaccante aveva preso in prestito Ethereum contro USDT rubati.

Binance ha inoltre sospeso depositi e prelievi mentre sono in corso i controlli di sicurezza. Binance ha anche revocato l'autorizzazione per l'indirizzo interessato e sta collaborando con le forze dell'ordine e società di intelligence blockchain per recuperare i fondi. Lo scambio afferma che il fondo di emergenza SAFU e le riserve aziendali copriranno ogni dollaro di perdita degli utenti, e un aggiornato Proof of Reserves seguirà dopo la risoluzione del problema. 

Blockaid rintraccia lo svuotamento fino a un singolo hot wallet

La società di sicurezza blockchain Blockaid ha pubblicato una delle analisi on-chain più dettagliate dell'attacco finora. Il suo rapporto si concentra su Binance 14, uno dei wallet caldi più grandi e attivi di Ethereum dello scambio.

Secondo Blockaid, l'attaccante ha finanziato un indirizzo operatore tramite Tornado Cash a partire dal 28 ottobre e ha simulato l'intera sequenza sui propri wallet con test da 2 a 6 dollari. Alle 20:20 UTC del 29 ottobre, ha inviato una singola transazione contenente 50 autorizzazioni EIP-7702 firmate con la chiave Binance 14. Il wallet era ancora in fase di elaborazione dei prelievi, quindi l'attaccante non poteva sapere quale nonce sarebbe stato attivo e ne ha firmato un'intera gamma. Uno di questi corrispondeva, concedendo il controllo del wallet a un contratto di svuotamento non verificato che solo l'attaccante poteva utilizzare.

Circa tre minuti dopo, il contratto di svuotamento ha prelevato dal Binance 14 167.464 ETH, 1,615 miliardi di USDT e circa altri 60 token, per un valore totale di circa 2,5 miliardi di dollari al momento. Il wallet è rimasto con 1 ETH. Entro 12 minuti, altri 10 hot wallet Binance su Ethereum, Arbitrum, Avalanche e Optimism hanno inviato fondi allo stesso indirizzo di raccolta. La delega era ancora attiva, quindi l'attaccante è tornato alle 21:44 UTC e ha prelevato altri 200 milioni di USDT dai nuovi depositi senza una nuova firma.

Il CEO di Blockaid, Ido Ben-Natan, ha dichiarato che le evidenze indicano un’infrastruttura di firma compromessa e non ritiene che una chiave sia stata trafugata. Ciò è coerente con la versione fornita da Binance riguardo a un laptop infetto e a un contenitore di servizio violato. Ben-Natan ha inoltre evidenziato parallelismi con l’attacco da 1,5 miliardi di dollari subito da Bybit nel febbraio 2025, un evento che questa vicenda supera ormai di diverse volte.

L'investigatore on-chain ZachXBT sospetta il gruppo Lazarus della Corea del Nord, sebbene né Binance né alcuna autorità abbiano confermato l'attribuzione. Binance ha chiesto agli utenti di fare affidamento esclusivamente sui suoi canali ufficiali per gli aggiornamenti.