Attacco hacker a Binance nel 2026: il più grande attacco hacker nel settore delle criptovalute nella storia.
Binance aveva assicurato ai suoi clienti che i loro fondi erano al sicuro. Tuttavia, i portafogli svuotati risultavano presenti nell'elenco degli asset a supporto di quei clienti, pubblicato dalla stessa piattaforma quattro settimane prima. Entrambe le affermazioni possono essere vere contemporaneamente, e la discrepanza tra di esse è l'aspetto più importante da comprendere in merito all'attacco hacker a Binance del 2026.
Innanzitutto i fatti. La sera del 29 ottobre, un hacker ha svuotato i portafogli online di Binance, il più grande exchange di criptovalute al mondo, su circa dieci blockchain. Binance stima i danni a circa 6,3 miliardi di dollari, la maggior parte dei quali spostati in circa 20 minuti. Questo lo rende il più grande attacco hacker nel settore delle criptovalute nella storia, circa quattro volte superiore al furto di Bybit del 2025. Binance ha sospeso depositi e prelievi e si è impegnata a coprire ogni perdita.
Alcuni dei valori riportati di seguito potrebbero variare. La notizia risale a due giorni fa e Binance non ha ancora pubblicato la sua analisi; pertanto, si consiglia di considerare ogni cifra come un'istantanea relativa al 30 e 31 ottobre.
Cosa è successo durante l'attacco hacker a Binance del 2026, minuto per minuto
La velocità è stata l'arma vincente in questo caso. Ma quella velocità è stata conquistata con la pazienza, ed è proprio la pazienza che fa sembrare il tutto un'operazione professionale piuttosto che un colpo di fortuna.
Venti minuti su dieci blockchain
Secondo la società di analisi blockchain TRM Labs, l'attaccante ha iniziato a finanziare i wallet tramite Tornado Cash, un servizio di mixing che nasconde la provenienza delle monete, la mattina del 28 ottobre. Ciò avviene almeno 36 ore prima che una singola moneta lasciasse Binance.
I primi deflussi si sono verificati alle 20:05 UTC del 29 ottobre, sul registro XRP. Bitcoin ha seguito alle 20:20 UTC. Nello stesso minuto, l'attaccante ha inviato 50 richieste di autorizzazione a un portafoglio hot di Binance su Ethereum. Circa tre minuti e mezzo dopo, quel portafoglio è stato svuotato completamente in un'unica transazione. Ulteriori deflussi sono continuati fino alle 23:56 UTC, con una seconda ondata su Avalanche e Polygon intorno alle 23:05 UTC.
Poco prima di mezzanotte UTC, era tutto finito.
Da dove provengono i 6,3 miliardi di dollari
Il denaro non proveniva da un'unica fonte. Proveniva da portafogli online su almeno dieci reti diverse, il che indica che l'attaccante aveva accesso in qualche modo al sistema di prelievo di Binance su diverse blockchain contemporaneamente.
| Blockchain | Beni sequestrati | Valore approssimativo |
|---|---|---|
| Ethereum | Circa 200.600 ETH, 1,875 miliardi di USDT, 823 milioni di USDC, 88,5 milioni di RLUSD | Circa 3,8 miliardi di dollari |
| Bitcoin | 18.270 BTC | Circa 1,47 miliardi di dollari |
| Tron | 612,7 milioni di USDT + 46,4 milioni di TRX | ~$628 milioni |
| Registro XRP | 233,46 milioni di XRP | ~$296 milioni |
| Solana | 970.500 SOL | ~$96 milioni |
| Arbitro, Ottimismo, Base | misto | Circa 39 milioni di dollari |
| Valanga / Poligono | misto | ~$28 milioni / ~$10 milioni |
Fonte: TRM Labs, dati aggiornati al 30 ottobre, ore 00:30 UTC.
Troverete cifre diverse nelle notizie, ed è normale. Binance parla di circa 6,3 miliardi di dollari. TRM Labs ne calcola 6,36 miliardi al momento del furto. Chainalysis parla di circa 6,4 miliardi di dollari, ed Elliptic di 6,43 miliardi di dollari su 11 blockchain. La differenza deriva dal momento in cui vengono calcolati i prezzi e dalle blockchain incluse da ciascuna azienda; nessuno contesta l'accaduto.
Come EIP-7702 ha usato un hot wallet di Binance contro se stesso
La parte dell'attacco hacker a Binance relativa a Ethereum è ingegnosa e ha attirato la maggior parte dell'attenzione. Tuttavia, da sola, non fornisce una spiegazione completa.
Portafogli caldi e archiviazione fredda, in parole semplici
Una piattaforma di scambio conserva le criptovalute nello stesso modo in cui un negozio conserva il contante. La maggior parte si trova in un caveau, che nel mondo delle criptovalute corrisponde al " cold storage ": le chiavi vengono mantenute offline e il loro trasferimento è volutamente lento. Una quantità minore si trova nella cassa, in modo che i clienti possano prelevare rapidamente. Questa cassa è il portafoglio online (hot wallet), connesso ai sistemi della piattaforma di scambio e in grado di firmare transazioni su richiesta.
I portafogli online (hot wallet) sono progettati per contenere una frazione del patrimonio totale. Tuttavia, su una piattaforma di scambio delle dimensioni di Binance, anche una frazione può equivalere a miliardi di dollari.
Cinquanta firme e una falla nella teoria
EIP-7702 è un aggiornamento di Ethereum entrato in vigore con l'aggiornamento Pectra nel maggio 2025. Consente a un normale portafoglio di delegare il controllo delle proprie azioni a una porzione di codice di uno smart contract, a condizione che il portafoglio firmi un'autorizzazione. Si può pensare a questo come a una procura per un conto bancario.
L'attaccante ha utilizzato proprio questo stratagemma. Secondo TRM Labs, l'attaccante ha preparato 50 autorizzazioni firmate, ciascuna collegata a un diverso contatore di transazioni, in modo che una di esse corrispondesse allo stato attuale del portafoglio. E così è stato. Il portafoglio "hot" ha quindi eseguito il codice "sweeper" dell'attaccante e ha inviato i suoi token in un'unica operazione. Il co-CEO di Binance, Richard Teng, ha affermato che la delega ha aggirato i normali controlli di approvazione dell'exchange.
Ecco la parte che non mi convince. EIP-7702 esiste solo su Ethereum e sulle blockchain compatibili. Non può spiegare come 18.270 BTC siano usciti da un portafoglio Bitcoin, o come siano stati spostati fondi in Tron e XRP. Queste operazioni richiedevano normali trasferimenti firmati, il che suggerisce che l'attaccante abbia raggiunto direttamente l'infrastruttura di firma di Binance.
La versione ufficiale di Binance è già cambiata. Il primo aggiornamento, pubblicato poche ore dopo il furto, attribuiva la colpa a un singolo laptop compromesso appartenente a un ingegnere DevOps, che avrebbe consentito l'accesso a un container di servizio, e affermava che non vi erano "prove di una fuga di chiavi private". Il giorno successivo, l'exchange ha dichiarato di aver trovato "ulteriori punti di violazione". Nessuna delle due versioni è necessariamente errata. Ma una storia che cambia in 24 ore è un motivo per attendere l'analisi post-mortem prima di trarre conclusioni definitive.
Binance afferma che i tuoi fondi sono al sicuro. Leggi le clausole in piccolo.
Per gli utenti comuni, l'attacco hacker a Binance del 2026 si riduce a una frase ripetuta in ogni aggiornamento dall'exchange stesso. Il messaggio di Binance è sempre stato lo stesso: i fondi dei clienti sono al sicuro e l'exchange coprirà tutte le perdite attingendo al proprio fondo di emergenza e ai fondi aziendali. Non ho motivo di pensare che l'exchange non manterrà la promessa. La domanda è: che tipo di promessa è questa?
Cosa SAFU può e non può coprire
Binance afferma di aver accantonato 6,34 miliardi di dollari per far fronte all'attacco hacker, di cui circa 5 miliardi sono già detenuti nei token interessati. La restante parte viene acquistata sul mercato e tramite operazioni over-the-counter. Gli asset congelati non sono inclusi in questa cifra.
Il Secure Asset Fund for Users, o SAFU, viene spesso menzionato. È più piccolo di quanto molti credano. Binance lo stima intorno a 1 miliardo di dollari e il suo portafoglio Bitcoin on-chain contiene circa 15.000 BTC, per un valore di circa 1,17 miliardi di dollari ai prezzi di venerdì. Sean Farrell di Fundstrat stima che il SAFU potrebbe coprire circa un terzo delle perdite non congelate. Il resto proviene dal bilancio di Binance.
Si tratta di un ottimo risultato se il bilancio è solido. Tuttavia, le stesse regole della SAFU conferiscono a Binance "piena discrezione" sui pagamenti, e gli avvocati citati dalla BBC hanno avvertito che la promessa potrebbe non essere legalmente vincolante. Una promessa supportata da miliardi resta pur sempre una promessa, non un contratto.
Il problema della prova delle riserve
La prova delle riserve è un elenco pubblico di portafogli che un exchange utilizza per dimostrare di possedere almeno la stessa quantità di criptovaluta depositata dai propri clienti. CoinDesk ha controllato il report di Binance del 1° ottobre e ha scoperto che il portafoglio Ethereum svuotato, denominato Binance 14, era presente nell'elenco.
I circa 204.500 ETH sottratti con l'attacco hacker a Binance rappresentavano circa il 5,6% degli ether che Binance aveva indicato come riserve dei clienti. Fino al reintegro di tali ether, le riserve di ETH si attestavano intorno al 94% dei saldi dei clienti, anziché superare il 100%. Binance potrebbe reintegrare rapidamente queste riserve, e le sue riserve in USDC si attestavano al 108%. Tuttavia, l'affermazione "i fondi dei clienti non sono stati intaccati" andrebbe interpretata come "i clienti non subiranno la perdita", che è un'affermazione ben diversa.
A dire il vero, Farrell non ravvisa rischi significativi per la solvibilità. Il suo criterio è semplice: la rapidità con cui riprendono i prelievi e se i deflussi rimangono ordinati.
Blocco di Binance a seguito dell'attacco hacker: perché le stablecoin sono tornate e Bitcoin no.
Il congelamento è l'unica parte di questa storia che ha funzionato, e ha funzionato per una ragione che i puristi delle criptovalute spesso non gradiscono.
Le stablecoin come USDT e USDC sono emesse da società che controllano il contratto del token. Queste società possono congelare, bruciare e riemettere i token. TRM Labs ha registrato la reazione: Tether ha congelato i fondi alle 21:01 UTC, Circle alle 21:04, Ripple alle 22:01, World Liberty Financial alle 22:10 e il Consiglio di sicurezza di Arbitrum poco dopo la mezzanotte.
Secondo i calcoli di Elliptic, sono stati congelati 2,84 miliardi di dollari, circa il 44% del totale rubato, e quasi interamente in stablecoin. La stima di Binance si aggira invece sui 3 miliardi di dollari.
Bitcoin ed Ether non hanno un emittente. Nessuno può disattivarli. TRM stima che circa 2,4 miliardi di dollari in BTC ed ETH siano ancora sotto il controllo dell'attaccante. Gli investigatori possono tracciare queste monete sulle blockchain pubbliche e tentare di intercettarle sugli exchange, ma ci vuole tempo.
Nemmeno il denaro congelato viene restituito dall'oggi al domani. In un'intervista a CNBC, Ari Redbord di TRM Labs ha affermato che il congelamento "impedisce al denaro di essere trasferito", mentre il recupero richiede un'ordinanza del tribunale. Eric Jardine, responsabile della ricerca di Chainalysis, ha dichiarato che la restituzione dei fondi "può richiedere mesi o anni".
Perché l'attacco hacker a Binance si colloca tra i più grandi della storia
I titoli dei giornali si sono concentrati sull'entità del record. Ciò che preoccupa maggiormente gli analisti di TRM Labs ed Elliptic è l'andamento che lo caratterizza, dato che lo hanno monitorato diverse volte quest'anno.
| Incidente | Data | Importo rubato | Attribuzione |
|---|---|---|---|
| portafogli online di Binance | 29 ottobre 2026 | Da circa 6,3 miliardi di dollari a 6,43 miliardi di dollari | TraderTraitor (TRM, Chainalysis) |
| Bybit | 21 febbraio 2025 | Circa 1,46 miliardi di dollari | Corea del Nord (FBI) |
| Ponte Ronin | 23 marzo 2022 | ~$625 milioni | Lazarus Group (Dipartimento del Tesoro degli Stati Uniti) |
| Rete poligonale | 10 agosto 2021 | ~$611 milioni | L'hacker ha restituito i fondi |
| Ponte a catena BNB | 6 ottobre 2022 | Circa 570 milioni di dollari coniati | Senza attribuzione |
| Bitget | 24 settembre 2026 | Circa 387,5 milioni di dollari | Corea del Nord (analisi a catena) |
| KelpDAO | 18 aprile 2026 | ~$292 milioni | TraderTraitor (TRM) |
| Deriva | 1 aprile 2026 | ~$285 milioni | collegato alla Corea del Nord (TRM) |
| Binance | 7 maggio 2019 | 7.000 BTC (circa 40 milioni di dollari) | Senza attribuzione |
Sia TRM Labs che Chainalysis attribuiscono con elevata certezza l'attacco a TraderTraitor, un gruppo di hacker sostenuto dallo stato nordcoreano. Parte delle prove si trovano sulla blockchain: i proventi di Binance sono stati mescolati con fondi rubati a Bitget un mese prima. Elliptic è più cauta e nessun governo ha ancora formalizzato l'attribuzione. Binance stessa non ha indicato alcun colpevole.
Il metodo è noto: lunga preparazione, transazioni firmate in anticipo, poi un'ondata massiccia prima che chiunque possa reagire. Lo stesso schema si è ripresentato su Bybit, KelpDAO e Bitget. Secondo i calcoli di TRM, la Corea del Nord ha rubato 12,8 miliardi di dollari in criptovalute dal 2017, di cui 7,4 miliardi solo nel 2026, circa l'85% del valore totale sottratto con gli attacchi hacker quest'anno. Il settore conosce questo schema da almeno 20 mesi. Eppure ha funzionato sul più grande exchange del mondo.
Notizie di mercato e politiche dopo l'attacco hacker a Binance.
I mercati hanno assorbito il colpo con relativa calma, per gli standard del settore delle criptovalute. Venerdì, la CNBC ha riportato un calo del Bitcoin del 4,1% a circa 77.446 dollari, con Ether in calo del 4,4% e BNB in calo del 6% a circa 701 dollari. Secondo i dati di CoinGlass, oltre 1,6 miliardi di dollari in posizioni con leva finanziaria sono stati liquidati nelle ultime 24 ore.
La reazione politica è stata immediata. L'FBI ha dichiarato di essere a conoscenza dell'incidente e i servizi segreti statunitensi hanno affermato di collaborare con Circle. Il presidente della CFTC, Michael Selig, ha dichiarato che l'attacco informatico "conferma pienamente la nostra tesi" a sostegno della proposta dell'agenzia del 5 ottobre, che prevede l'obbligo di registrazione per le piattaforme di scambio offshore che offrono servizi ai clienti americani. Binance.US, una società separata, ha affermato di non essere stata colpita.
Cosa devono fare gli utenti di Binance durante la sospensione dei prelievi
Dopo l'attacco hacker a Binance, la minaccia più concreta che la maggior parte degli utenti dovrà affrontare questa settimana proviene dai truffatori. Dopo ogni grave attacco hacker al settore delle criptovalute, questi ultimi diffondono falsi messaggi del tipo "i prelievi sono di nuovo disponibili" e moduli di "rimborso" che richiedono le credenziali di accesso o la frase di recupero.
Binance ha dichiarato di voler riavviare i prelievi domenica 1° novembre e di pubblicare una prova completa delle riserve entro lunedì 2 novembre. Nel frattempo, ecco alcuni accorgimenti da adottare:
- Utilizza esclusivamente l'app ufficiale di Binance o il sito web che inserisci manualmente. Ignora i link presenti nei messaggi diretti, nelle email e negli annunci di ricerca.
- Verifica le chiavi API del tuo account, i dispositivi con cui hai effettuato l'accesso e la lista bianca per i prelievi, e rimuovi tutto ciò che non riconosci.
- Non condividere mai la frase di recupero o il codice di autenticazione a due fattori. Nessun vero addetto all'assistenza clienti te lo chiederà.
- Quando i prelievi riapriranno, verificate due volte la rete e l'indirizzo. I trasferimenti affrettati possono causare perdite.
C'è anche una lezione a lungo termine. Le criptovalute che si intende conservare per anni non hanno bisogno di rimanere su un exchange. Un portafoglio hardware di cui si ha il controllo elimina completamente questa categoria di rischio digitale, anche se ne introduce uno nuovo: si diventa responsabili delle proprie chiavi private.
Il verdetto sull'attacco hacker a Binance del 2026: una promessa, non una garanzia.
Binance probabilmente rimborserà completamente ogni cliente. Ha i fondi necessari e tutte le ragioni commerciali per farlo. Questa è la parte rassicurante.
L'aspetto più inquietante è che gli utenti si affidano alla buona volontà di Binance, non a un obbligo legale, e che la versione dell'exchange su come sia avvenuta la violazione è già cambiata una volta. L'analisi post-mortem chiarirà se si è trattato di un singolo computer difettoso o di un problema più profondo legato al modo in cui il più grande exchange al mondo firma le transazioni.
Dopo l'attacco hacker a Binance, ecco la domanda che vale la pena porre a qualsiasi piattaforma che detenga le vostre criptovalute: se domani perdesse miliardi, cosa vi spetterebbe esattamente e da chi? Se non sapete rispondere, questa settimana è il momento giusto per scoprirlo.
