Hack di Binance: l’FBI indica TraderTraitor e la Corea del Nord, 3,24 miliardi ancora in wallet collegati, primo mixing di bitcoin, deflussi DefiLlama oltre 6 miliardi

Aggiornamento del 2 novembre 2026, 12:12 UTC: Elliptic segnala blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il primo mixing dei fondi rubati, circa 28 BTC passati da 18 coinjoin alle 06:02 UTC di lunedì, dice che gli XRP, i NEAR e circa metà dei SOL si sono mossi e conta circa 3,24 miliardi di dollari ancora su indirizzi collegati. I dati sui wallet di DefiLlama mostrano oltre 6 miliardi usciti da Binance in 24 ore, secondo CoinDesk, e oltre 7 miliardi secondo Cointelegraph, una misura diversa dai 3,64 miliardi netti contati da Binance nelle prime 9,5 ore. Gate dice su X di aver bloccato due conti collegati all’attaccante, e TokenPost riporta il ritorno dei prelievi in dollari statunitensi, come un titolo di The Defiant, senza indicare canali o limiti. La data di Binance per la proof of reserves completa resta martedì 3 novembre, quella indicata sabato, e la nostra verifica delle 12:07 UTC mostra 14 token aperti su 991, con USDT su Tron ora spento.

L’hack di Binance di giovedì 29 ottobre è il più grande furto di criptovalute mai registrato, secondo il conteggio di TRM Labs. Binance stima l’impatto complessivo in circa 6,3 miliardi di dollari, mentre la società di analisi blockchain TRM Labs calcola 6,36 miliardi di dollari sottratti agli hot wallet di Binance su dieci blockchain, in gran parte in circa 20 minuti a partire dalle 20:05 UTC. Binance dice che circa 3 miliardi di dollari sono stati congelati on-chain insieme ai partner e di aver accantonato più di 6,34 miliardi di dollari di fondi della società per coprire le perdite. Domenica ha detto di aver coperto circa il 95% dell’importo rubato, un dato non verificato in modo indipendente, e ha riaperto i prelievi a fasi domenica mattina: prima i BTC, alle 06:02 UTC secondo i suoi dati di stato, poi le 15 reti della prima fase entro le 12:36 UTC, stando a quanto dice. Conta 4,649 miliardi di dollari prelevati contro 1,01 miliardi depositati fino alle 15:30 UTC, circa 3,64 miliardi di deflussi netti. I conteggi basati sui dati dei wallet di DefiLlama superano i 6 miliardi in 24 ore, una misura diversa. L’FBI ha poi indicato il gruppo nordcoreano TraderTraitor come autore dell’attacco.

Sono le cifre fornite da Binance e da TRM. Quello che manca ancora è la spiegazione. Binance ha indicato prima il portatile compromesso di un ingegnere, poi venerdì ha parlato di altri punti di violazione, e ora Teng descrive un attaccante che ha cancellato le proprie tracce. Binance ha ripetuto nell’aggiornamento di venerdì sera di non aver trovato prove di una fuga di chiavi private, mentre la gestione delle chiavi private è tra i punti sotto esame. La lettura della catena fatta da TRM va oltre: wallet su reti diverse, con tipi di chiave e schemi di firma diversi, hanno prodotto firme valide tutti nel giro di circa mezz’ora. Il corpo di questo resoconto usa i dati pubblicati fino alle 17:45 UTC circa del 30 ottobre, integrati all’ora dell’ultimo aggiornamento; la vicenda è ancora in movimento.

Prelievi Binance: le 15 reti della prima fase riaperte entro le 12:36 UTC, seconda fase senza data

Binance si diceva pronta a far ripartire la prima fase dei prelievi tra le 06:00 e le 09:00 UTC di domenica 1 novembre, nel Recovery Update #4, che la sua pagina degli annunci data alle 04:08 UTC. Reuters indica la stessa finestra e Cryptoticker lo stesso elenco di 15 reti. Le parole contano: gli asset diventano disponibili «progressively» (progressivamente), ogni rete dopo i propri controlli di sicurezza e operatività. Le 09:00 UTC non erano quindi la promessa che tutte e 15 sarebbero state aperte a quell’ora. Binance dice di averle ordinate in base alla domanda degli utenti nell’ultima settimana. I depositi restano aperti, precisa.

Gli altri token restano chiusi fino alle fasi successive, per le quali Binance non dà una data. I prelievi in dollari statunitensi sono l’unica aggiunta riportata: TokenPost ha scritto lunedì che sono tornati, e lo stesso dice un titolo di The Defiant, anche se a noi si sono caricati solo quel titolo e il sommario. TokenPost non indica ora, canali o limiti, non nomina altre valute e non cita annunci di Binance, e non abbiamo potuto leggere le parole di Binance. Per le reti crypto, Binance avverte che nelle prime ore i tempi possono allungarsi e che un prelievo non riuscito su una rete dell’elenco si può ritentare poco dopo. La disponibilità di ogni token compare nella pagina di prelievo e in quella sullo stato delle reti.

La nostra prima verifica si è fermata alle 06:03 UTC. Abbiamo interrogato i dati pubblici dietro la pagina sullo stato delle reti di Binance già prima dell’apertura della finestra. Tutte le reti dei 990 token elencati avevano i prelievi disattivati finché non si sono attivati i BTC sulla rete Bitcoin, visti per la prima volta alle 06:02 UTC. Alle 06:03 UTC erano ancora gli unici: ether, USDT, USDC, BNB, SOL e XRP restavano disattivati, e Cryptoticker aveva trovato Bitcoin ed Ethereum disattivati alle 04:45 UTC. È un indicatore di stato, non la prova che i fondi si stiano muovendo. A quell’ora non avevamo trovato testate che riportassero un prelievo andato a buon fine, né messaggi di Binance sull’avvio della prima fase.

Entro le 12:36 UTC le 15 reti della prima fase erano riaperte, ha detto Binance in un aggiornamento sui prelievi ripreso da Bitcoin.com News e The Block. Lo leggiamo attraverso queste due testate: è uscito su X, che non abbiamo aperto, e alle 17:40 UTC l’ultimo avviso sulla pagina di Binance restava il Recovery Update #4. I conteggi del mattino erano tappe intermedie. TokenPost contava sette reti alle 10:28 UTC, CoinDesk nominava i principali asset in una nota delle 10:54 UTC, e nessuno dà un orario di apertura per ognuna delle 15. Il sommario di CoinDesk parlava di bitcoin e di asset su altre 15 blockchain, un conto che l’elenco di Binance non conferma.

Abbiamo ripetuto la verifica alle 17:40 UTC, sugli stessi dati pubblici. Ognuna delle 15 reti aveva almeno un token aperto, in linea con la dichiarazione delle 12:36 UTC sulle reti. Solo 15 dei 990 token elencati avevano i prelievi attivi, tutti presenti nella tabella qui sopra, e due righe della tabella erano ancora spente: USDT su Polygon e su Avalanche C-Chain. Il dato si concilia male con la formula di Binance, «all 15 networks and assets» (tutte le 15 reti e gli asset), e non sappiamo se quelle due righe abbiano riaperto e richiuso o non abbiano mai aperto. The Block, leggendo la pagina di stato alle 16:22 UTC, aveva i prelievi sospesi per 531 token su 552, una base diversa dai nostri 990 che non sappiamo spiegare. Un indicatore di stato continua a non provare che un dato prelievo sia andato a buon fine. La nostra lettura delle 12:07 UTC di lunedì dà 14 dei 991 token elencati, su 29 righe token-rete, contro le 30 delle 11:48 UTC, con almeno un token aperto su ognuna delle 15 reti. Il token che manca rispetto ai 15 di domenica è POL, ora spento su Polygon e su Ethereum. USDT resta spento su Polygon e su Avalanche C-Chain, e anche USDT su Tron, una riga di quella tabella, risulta ora spento. Non abbiamo trovato spiegazioni per nessuno di questi casi.

Cardano, Chainlink, Hyperliquid, Litecoin e NEAR erano ancora in fase di test domenica, riportava The Block; alle 17:40 UTC ADA, LINK, HYPE, LTC e NEAR avevano i prelievi spenti su tutte le loro reti, come ancora alle 12:07 UTC di lunedì. I prelievi passano ora da wallet appena creati e aggiunti all’elenco della proof of reserves, dice lo stesso articolo. La seconda fase non ha un calendario. Yi He ha detto che i wallet degli altri token sono ancora sottoposti a ripetuti audit di sicurezza e che i prossimi saranno ordinati per capitalizzazione, fondi detenuti e uso da parte dei clienti, riporta crypto.news. La stessa testata riferisce che il co-CEO Richard Teng ha ripetuto domenica il dato del 95% e che Binance attende la prova completa entro martedì 3 novembre; restano affermazioni di Binance.

Deflussi netti da Binance: 4,65 miliardi prelevati, 3,64 miliardi netti in nove ore e mezza

Binance ha ora dato il proprio conteggio, in un post su X ripreso da Bitcoin.com News e The Block. Tra le 06:00 e le 15:30 UTC di domenica sono usciti 4,649 miliardi di dollari e ne sono entrati 1,01, circa 3,64 miliardi di deflussi netti. Binance rapporta la cifra a 171 miliardi di dollari di asset in gestione, presi dalla sua proof of reserves del 28 ottobre, e ottiene il 2,1%; quella base è precedente all’hack. I prelievi hanno toccato il massimo di 733 milioni di dollari nell’intervallo dalle 08:00 UTC e i depositi quello di 187 milioni alle 08:30 UTC, e i prelievi hanno superato i depositi in ogni intervallo di 30 minuti, scrive Bitcoin.com News. Binance descrive volumi di prelievo «stabilising as expected» (in stabilizzazione come previsto). Sono cifre della società, che nessun soggetto esterno ha verificato.

I conteggi esterni misurano altro. DefiLlama mostrava circa 4,05 miliardi di dollari di deflussi netti in 24 ore alle 16:37 UTC, su 131,1 miliardi di asset monitorati, riporta The Block. Quella finestra si apre prima della ripartenza e la base di asset è più bassa dei 171 miliardi di Binance, quindi i due dati non vanno fusi. Gli stessi dati mostravano allora circa 316,8 milioni di dollari entrati su OKX. Le letture di lunedì sono nella prossima sezione.

Le cifre del mattino, 1,02 miliardi di dollari sul grafico di CoinMarketCap secondo ChainCatcher e circa 1,26 miliardi in 24 ore secondo TokenPost, erano dati di seconda mano senza una finestra comune, e il conteggio di domenica le sostituisce come misura della riapertura. Il deflusso netto è ciò che è uscito meno ciò che è entrato, non il totale dei prelievi, e nessuno di questi articoli dice di chi fossero i fondi. Non abbiamo ancora confermato il prelievo di un cliente identificato.

Deflussi da Binance per fornitore: tre misure che non fanno un solo numero

Un dato unico non esiste, perché ogni fornitore misura una cosa diversa. Binance conta i propri prelievi e depositi, su nove ore e mezza. DefiLlama legge i wallet pubblici collegati all’exchange, e quei dati possono includere trasferimenti tra wallet controllati da Binance, avverte CoinDesk: non sono quindi un conteggio dei prelievi dei clienti. Whale Factor, citato da Bitcoin.com News, offre un terzo conteggio, di cui l’articolo non indica il metodo.

Le letture di DefiLlama sono una sola misura vista in momenti diversi, non quattro conteggi separati, e non si allineano in modo ordinato: la cifra più alta di Cryptoast è arrivata per prima. I 16 miliardi di un titolo di Bitcoin.com News non stanno in nessuna di queste righe. Sono un calo degli asset monitorati, non un deflusso: il totale di Binance su DefiLlama è sceso da circa 144,9 miliardi di dollari del 29 ottobre a circa 128,31 miliardi nelle prime ore del 2 novembre, un calo che comprende i circa 6,3 miliardi rubati e la discesa dei prezzi, e i numeri dello stesso articolo vanno da 15,7 a circa 16,5 miliardi. Lunedì DefiLlama monitorava circa 129 miliardi (CoinDesk) o circa 127,9 miliardi (Cointelegraph), contro i 171 miliardi dichiarati da Binance. Lo scarto spiega anche le percentuali: il 3,6% di CoinDesk rapporta il deflusso di DefiLlama ai 171 miliardi di Binance, il 5% circa di Cryptoast usa i 129 miliardi di DefiLlama.

I concorrenti hanno ricevuto molto meno di quanto è uscito. Sui dati di DefiLlama OKX ha guadagnato circa 445 milioni di dollari (Cointelegraph), circa 450 milioni (CoinDesk) o più di 495 milioni (Cryptoast), Bybit 112 milioni (Cointelegraph) o circa 134 milioni (CoinDesk). CoinDesk ricorda che questi aggregati non dicono quanto arrivi dai clienti di Binance. Whale Factor vede i dieci exchange successivi guadagnare circa 368 milioni. Changpeng Zhao ha scritto su X che il 98% ha scelto di restare, riporta Bitcoin.com News, un dato che non abbiamo potuto verificare.

Binance dice di aver coperto il 95% degli asset rubati: che cosa afferma, che cosa si può controllare

Binance ha detto domenica di aver coperto circa il 95% dell’importo colpito, contro circa il 90% di sabato e circa l’80% di venerdì. Il dato è nel Recovery Update #4, e lo riporta anche Reuters. Ora abbiamo letto i tre aggiornamenti di Binance sulle sue pagine di annunci, cosa che le versioni precedenti di questo articolo non avevano potuto fare; il 90% veniva dal Recovery Update #3, pubblicato sabato alle 14:24 UTC. Ciò che manca, dice Binance, sono token fuori dai primi dieci, meno liquidi e più lenti da acquistare nelle quantità richieste, che continua a comprare sul mercato e over the counter. Non dà un valore in dollari del 95%; per il nostro calcolo sarebbero circa 6 miliardi su 6,3 miliardi di dollari. Non ne abbiamo trovato alcuna verifica indipendente.

A pagare sono tre fonti, secondo Binance: la tesoreria aziendale, parte del SAFU (il fondo di protezione degli utenti) e parte del fondo assicurativo dei futures, ha detto un portavoce a Cointelegraph, senza importi per nessuna delle tre. «Binance will absorb the financial impact of the stolen funds, not users», ha aggiunto: il costo resta a Binance, non agli utenti. CoinDesk descrive l’uso del SAFU come un impiego parziale atteso nelle 24 ore successive e riferisce che Binance si è impegnata a riportare il fondo a circa 1 miliardo di dollari. Il fondo assicurativo resta sopra il livello richiesto, dice Binance, secondo Cointelegraph, Cryptonomist e TokenPost; Cointelegraph nota che il minimo non è stato reso noto.

Una cosa si può leggere senza passare da Binance. Una transazione del blocco 973.984, alle 14:51:41 UTC di sabato, ha inviato 7.499 BTC da un indirizzo a un solo altro indirizzo; 1 BTC aveva fatto la stessa strada sei minuti prima. Lo abbiamo letto su mempool.space e su Blockstream. L’indirizzo di partenza è quello che alcune riproduzioni del post di Binance di febbraio indicano per il SAFU, e Cryptonomist lo chiama indirizzo SAFU dichiarato da Binance; quel post non lo abbiamo aperto. Whale Alert ha valutato i 7.499 BTC circa 581 milioni di dollari, ha riportato ChainCatcher, e Binance ha poi annunciato il trasferimento come concluso («SAFU fund transfer is complete»), secondo Cryptonomist; TokenPost e TechFlow riportano lo stesso. Cryptonomist e TokenPost presentano il trasferimento come parte dello sforzo per sostituire gli asset rubati; le parole di Binance citate da Cryptonomist dicono solo che è concluso. Al nostro controllo, intorno alle 17:50 UTC, l’indirizzo destinatario deteneva 7.500 BTC e non aveva inviato nulla, e l’indirizzo di partenza circa 7.500 BTC, la metà dei 15.000 BTC che custodiva prima. Il registro mostra il movimento, non lo scopo. Il Recovery Update #3 di Binance dice che parte del SAFU serve ad acquistare gli asset mancanti, ma l’exchange non ha detto chi controlli l’indirizzo destinatario, né quanta parte dei 7.499 BTC sia andata a quello scopo.

Il nuovo snapshot è datato mezzanotte UTC del 31 ottobre, riferisce CoinDesk, e mostra una copertura di almeno il 100% per BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC. È un documento di Binance e non la prova completa, che permetterebbe agli utenti di controllare che il proprio saldo sia incluso. Quella prova a conoscenza zero richiede da 40 a 50 ore di calcolo («approximately 40 to 50 hours to generate»), ha detto Binance, citata da Cointelegraph. Per la nostra lettura, uno snapshot della mezzanotte non può dimostrare da solo un dato fornito più tardi, sabato. CertiK ha detto venerdì a Cointelegraph di aver bisogno di più informazioni per verificare i 5 miliardi di dollari in token sostitutivi, e da allora non abbiamo trovato verifiche esterne. Binance afferma ora che i dieci saldi sono «fully backed 100%» (coperti al 100%), e resta una sua dichiarazione.

La prova completa è fissata a martedì 3 novembre, la data indicata da Binance sabato, e nulla di ciò che abbiamo letto lunedì annuncia un nuovo rinvio. L’Update #2 di Binance prometteva risultati entro lunedì 2 novembre, e Teng una prova completa entro lunedì, nel live blog di Cointelegraph alle 14:34 UTC. Lo snapshot è poi arrivato in anticipo, ma il Recovery Update #3 di sabato stima che la prova con cui gli utenti possono controllare il proprio saldo sarà pronta entro martedì 3 novembre (UTC). La prova completa è quindi slittata di un giorno rispetto alla data di Teng, e il cambiamento risale a sabato, non a domenica. Cryptoticker e un articolo precedente di Bitcoin.com News indicano martedì; Cryptonomist scriveva ancora lunedì il 1 novembre, citando Teng. Il Recovery Update #4, per come l’abbiamo letto domenica mattina, non dà una nuova data. Domenica Bitcoin.com News collegava a quel quarto aggiornamento un rapporto atteso per il 2 novembre, The Block prevedeva il rapporto per lunedì e Blockonomi attendeva la prova a conoscenza zero il 3 novembre. Lunedì Bitcoin.com News indica martedì 3 novembre (UTC), citando il Recovery Update #3, e ricorda la spiegazione di Binance: il calcolo della prova richiede circa 40-50 ore. Cointelegraph scriveva ancora lunedì che un rapporto aggiornato sulla proof of reserves era atteso in giornata. Alle 12:10 UTC circa non avevamo visto notizie di una pubblicazione del genere, e non abbiamo potuto leggere le pagine degli annunci di Binance. Teniamo martedì per la prova completa. In ogni caso lo snapshot del 31 ottobre precede i prelievi di domenica.

Quanto ai prelievi, l’aggiornamento di sabato diceva solo che Binance restava in linea per domenica. Quello di domenica ha dato la finestra descritta sopra, che comincia mezz’ora dopo le 05:30 UTC calcolate da CryptoNews sull’aggiornamento di venerdì. Teng aveva detto che i prelievi sarebbero rimasti sospesi finché non avessero superato test rigorosi, riferisce Cryptonomist.

Hack Binance, cosa succede: ciò che Binance ha confermato

Binance ha scelto X come canale. I suoi post, citati da Bitcoin.com News a tarda sera del 29 ottobre (23:08 a New York, le 03:08 UTC del 30 ottobre) e da Cointelegraph, indicano un impatto totale stimato intorno a 6,3 miliardi di dollari, con circa 3 miliardi congelati on-chain finora. Una cifra precedente di Binance, citata nella cronologia di TRM, era di 2,54 miliardi di dollari di fondi congelati verificati alle 23:35 UTC del 29 ottobre. I due numeri non si contraddicono: il conteggio dei congelamenti è salito durante la notte.

Sulla causa, le parole di Binance sono prudenti. La sua indagine iniziale «suggerisce che l’incidente di sicurezza possa coinvolgere il portatile compromesso di un ingegnere DevOps», che avrebbe permesso a un aggressore di raggiungere un container di servizio e di inviare transazioni di prelievo non autorizzate. L’exchange aggiunge: «Non abbiamo trovato prove di alcuna fuga di chiavi private dei wallet». Definisce l’indagine ancora in corso.

Quella prima versione è cambiata. In un aggiornamento successivo del 30 ottobre, Binance ha scritto che l’indagine ha scoperto ulteriori punti di violazione («additional points of breach»), ha riportato Decrypt; in quel momento non aveva detto quali, notava CryptoSlate, e Teng ha dato più dettagli nel corso della giornata. Il co-CEO Richard Teng ha scritto che l’accesso dell’attaccante è partito da un portatile ma che non si è trattato di una singola azione da «un clic» («one-click»), secondo FinanceFeeds, e Cointelegraph gli attribuisce la descrizione di un processo d’attacco «più complesso». «Finora non abbiamo trovato prove di alcuna fuga di chiavi private dei wallet», scriveva in quel momento.

La società dice di aver revocato l’autorizzazione degli indirizzi interessati e di aver contattato le forze dell’ordine e i partner di intelligence blockchain. Ha anche promesso una proof of reserves aggiornata dopo gli interventi di rimedio, seguita da un post-mortem tecnico dettagliato quando i fatti saranno verificati. Uno snapshot è uscito e Binance stima la prova completa entro martedì 3 novembre; il post-mortem è ancora senza data, e domenica Binance ha detto solo che seguirà la fine dell’indagine. Le forze dell’ordine si sono poi espresse. Reuters ha riportato prima, citando una persona informata, che Binance sta lavorando con l’FBI e con il Secret Service statunitense, secondo ChainCatcher e PANews. Il live blog di Cointelegraph ha registrato alle 13:11 UTC un’affermazione dello stesso tipo, da una sola fonte non nominata vicina al dossier, sul recupero di parte dei fondi rubati. La consideriamo un’unica affermazione da fonte anonima, non due conferme. In seguito Reuters ha citato le due agenzie, in un articolo ripreso da The Business Standard. L’FBI si dice al corrente dell’incidente («aware of the incident») e in contatto con partner pubblici e privati. Il Secret Service dice che i suoi investigatori lavorano senza sosta con partner privati, tra cui Circle, per identificare, congelare, tracciare e recuperare i fondi rubati. Nessuna delle due dichiarazioni, così come riportate, indicava un sospettato; l’FBI lo ha fatto sabato sera, come spiega la sezione sulla Corea del Nord. Le dichiarazioni di Binance citate finora parlano solo di forze dell’ordine senza nominare agenzie, e non abbiamo trovato dichiarazioni del Dipartimento di Giustizia statunitense. Binance non ha nominato gli autori dell’attacco.

Changpeng Zhao, il fondatore, che non guida più la società ma ne resta l’azionista di maggioranza secondo Fox Business, ha scritto su X: «I fondi degli utenti sono al sicuro! Sembra davvero un hack ai danni di Binance». Ha ringraziato Tether e Circle per aver congelato rapidamente i fondi, ha riferito Fox, e secondo Coinpaper si aspettava che gli utenti colpiti venissero risarciti per intero. «Fa male, ma sopravvivremo», ha aggiunto, come citato da Bitcoin.com News. Reuters ha riportato che Binance.US ha dichiarato di non essere stata colpita.

Il video di Teng: tracce cancellate, controlli aggirati, sequenza ancora ignota

Richard Teng ha dato venerdì un resoconto più completo, in un video su X, ha riportato CoinDesk; il live blog di Cointelegraph l’ha registrato alle 14:34 UTC. «È stato un attacco complesso» («This was a complex attack»), ha detto. L’attaccante ha usato un meccanismo di autodistruzione per distruggere strumenti e tracce, e ha preso il controllo di un hot wallet con una delega EIP-7702 che, nelle parole riportate da Cointelegraph, «did not pass through our normal approval controls», cioè non è passata dai normali controlli di approvazione. Gli investigatori hanno trovato punti di violazione oltre al portatile sospettato, ma non hanno stabilito la sequenza completa dei fatti, scrive CoinDesk. Non siamo riusciti ad aprire il video: le sue parole vengono da queste testate.

Binance sta ora esaminando i sistemi cloud, i dispositivi dei dipendenti, la gestione delle chiavi private e le procedure di firma delle transazioni. Nei resoconti che abbiamo letto Teng non dice come sia stata firmata la delega, né come siano state raggiunte le altre nove blockchain. Quei resoconti non lo citano sulle chiavi private; l’aggiornamento scritto di Binance, venerdì sera, ripete invece quella frase.

L’Update #2 di Binance: 34 ore per i prelievi, snapshot entro 12 ore, ancora nessuna prova di chiavi trapelate

Il secondo aggiornamento formale di Binance è uscito su X intorno alle 19:33 UTC di venerdì, firmato da Yi He e Richard Teng. Quando abbiamo scritto queste righe non siamo riusciti ad aprire il post su X: quanto segue viene da Reuters, ripresa da The Business Standard, da Bitcoin.com News e da un articolo di BlockchainReporter ripubblicato da CryptoNews, e in seguito abbiamo letto lo stesso aggiornamento sul sito di Binance, datato 19:33 UTC. Binance colloca ora la compromissione dell’hot wallet intorno alle 20:05 UTC del 29 ottobre, in linea con i primi trasferimenti del registro di TRM.

Per i prelievi l’obiettivo è una ripresa entro circa 34 ore («within approximately 34 hours»), a tappe, una volta conclusi i controlli di sicurezza, gli interventi di rimedio e la convalida dei sistemi colpiti. CryptoNews la colloca intorno alle 05:30 UTC di domenica 1 novembre. TokenPost scrive che la ripresa avverrà token per token. Depositi e servizi non interessati restano aperti, riporta Bitcoin.com News.

L’aggiornamento scompone anche la riserva. Venerdì i 5 miliardi di dollari già in mano a Binance erano negli asset colpiti, che Bitcoin.com News elenca (USDC, USDT, BTC, ETH e BNB), e circa 1,3 miliardi restavano da comprare sul mercato e OTC, precisa CryptoNews. L’«80%» di molti titoli viene formulato in modi diversi: Bitcoin.com News scrive circa l’80% delle perdite su quegli asset, TechFlow circa l’80% dell’importo colpito, e CryptoNews arriva al 79,4% dividendo 5 miliardi per 6,3 miliardi. Binance stessa scrive «approximately 80%» (circa l’80%) nell’aggiornamento di sabato. Sabato Binance ha indicato le fonti (tesoreria aziendale, parte del SAFU, parte del fondo assicurativo dei futures), ma non l’importo di ciascuna.

Prima doveva venire lo snapshot. Reuters riferiva di un primo snapshot di proof of reserves entro 12 ore dall’aggiornamento, con i risultati attesi entro lunedì 2 novembre. CryptoNews lo colloca intorno alle 07:30 UTC di sabato, e una nota di ChainCatcher dice prima delle 15:33 di sabato, che per noi è lo stesso momento in UTC+8. Lo snapshot pubblicato sabato da Binance è datato mezzanotte UTC del 31 ottobre, riferisce CoinDesk. Binance lo descrive come una vista aggiornata degli asset della piattaforma e della copertura dei saldi degli utenti («an updated view of platform asset holdings and the corresponding backing of user balances»), cita CryptoNews, che sottolinea: non è un audit di sicurezza.

Sulla causa, l’aggiornamento ripete che l’indagine ha scoperto ulteriori punti di violazione, senza elencarli nei resoconti che abbiamo letto, e che Binance non ha trovato prove di una fuga di chiavi private. Altri risultati tecnici sono attesi entro circa 48 ore dall’aggiornamento, cioè intorno alle 19:33 UTC di domenica per il nostro calcolo, compatibilmente con le esigenze dell’indagine. Seguirà un post-mortem dettagliato, senza data. Hypernative, citata da Bitcoin.com News, va nella stessa direzione di TRM e Blockaid: accesso di firma compromesso, firme valide da chiavi controllate da Binance ed EIP-7702 usato per eseguire codice dell’attaccante attraverso un wallet Binance.

6,34 miliardi di dollari accantonati: cosa ha detto Binance venerdì

Binance ha detto venerdì, in un post su X secondo Crypto Briefing, di aver riservato più di 6,34 miliardi di dollari di fondi della società («more than $6.34 billion in company funds») per le perdite. Reuters, in un lancio ripreso da Devdiscourse, ha riportato la cifra, e il live blog di Cointelegraph l’ha registrata alle 10:55 UTC. Non siamo riusciti ad aprire il post di Binance: la formulazione viene da questi resoconti.

Circa 5 miliardi di dollari della riserva erano già detenuti venerdì nei token colpiti, circa l’80% della perdita; Binance ha portato la quota a circa il 90% sabato e a circa il 95% domenica. Il resto, token meno liquidi secondo l’exchange, viene acquistato sul mercato e over the counter, e Binance avvertiva venerdì che per i token poco liquidi può volerci di più, anche perché il regolamento delle operazioni OTC richiede tempo, secondo TechFlow. Le notizie di sabato indicano ENA e RSR (vedi la sezione seguente); non abbiamo trovato dichiarazioni di Binance che nominino l’uno o l’altro. I circa 3 miliardi congelati non rientrano nella riserva: quegli asset sono ancora in fase di recupero e verifica.

La co-CEO Yi He ha spiegato gli acquisti. Binance vuole pareggiare le altcoin rubate con acquisti OTC e sugli exchange per completare la proof of reserves, secondo Cointelegraph e ChainCatcher, che aggiunge che secondo lei il SAFU e le altre disponibilità di Binance comprendono grandi quantità di BTC ed ETH. Ha promesso un altro aggiornamento a fine acquisti. Un portavoce di Binance ha detto a Cointelegraph, in una voce registrata alle 12:41 UTC, che i 5 miliardi di dollari in token corrispondenti sono custoditi dall’exchange («held in the exchange’s custody»), ma ha rifiutato di fornire gli indirizzi dei wallet per ragioni di sicurezza e non ha detto quando gli asset siano stati acquisiti. Non abbiamo trovato verifiche esterne della riserva: CertiK ha detto venerdì a Cointelegraph di aver bisogno di più informazioni per verificare i 5 miliardi di dollari.

ENA e RSR: cosa riportano Lookonchain e Reserve, cosa non abbiamo potuto confermare

Lookonchain ha contato 128,63 milioni di ENA, circa 24 milioni di dollari, passati da wallet etichettati Ethena a Binance in otto ore, sabato, ha riportato Bitcoin.com News alle 09:30 UTC. Lo stesso articolo cita dati di Arkham: lotti da circa 25,25 milioni di ENA hanno lasciato un indirizzo etichettato «Ethena: Coinbase Prime Custody» e sono finiti a un indirizzo di deposito Binance. Intorno alle 12:00 UTC Etherscan mostrava quell’indirizzo, segnalato come deposito Binance, con circa 128,63 milioni di ENA. Il saldo quindi è confermato. Non dice di chi fossero i token, né perché si siano mossi.

L’analista EmberCN, citato da Bitcoin.com News, stima in 217,5 milioni gli ENA sottratti il 29 ottobre: il trasferimento ne vale quindi circa il 59%. Il confronto riguarda le quantità, non le stesse monete, perché l’attaccante aveva già venduto i suoi ENA per circa 33,93 milioni di dollari, dice lo stesso articolo. Non abbiamo trovato commenti né di Binance né di Ethena, e non sappiamo se si tratti di una vendita, di un prestito o d’altro.

Il team di Reserve porta un secondo caso. Afferma che Binance ha confermato che riacquisterà 3,38 miliardi di RSR, la quantità sottratta nell’attacco, circa 4,6 milioni di dollari al prezzo di 0,00137 $ indicato da Bitcoin.com News alle 09:30 UTC. «In the case of RSR we believe Binance will acquire on the open market through a professional market maker» (si aspetta un acquisto sul mercato tramite un market maker professionale), scrive il team, citato dalla testata, e ne deduceva che l’operazione sarebbe stata conclusa entro il rapporto sulle riserve di lunedì. È la versione di Reserve; non abbiamo trovato dichiarazioni di Binance in merito.

CoinDesk ha scritto sabato soltanto che Binance stava acquistando gli asset rimanenti sui mercati e con trattative private («buying the remaining assets through markets and privately negotiated trades»), senza nominare nessuno dei due token. Quella che segue è la lettura di Coindaro, non di CoinDesk né di altre fonti citate qui: acquisti come questi, se il trasferimento di ENA lo è davvero, ricostituiscono ciò che Binance detiene a fronte dei saldi dei clienti. Non recuperano le monete rubate. Anche la dichiarazione di sabato, così come la riportano CoinDesk e Cointelegraph, parla di reintegro («replenished»).

La domanda di sabato mattina ha una risposta: uno snapshot esiste, come spiega la sezione sulla dichiarazione di Binance. I resoconti di quella dichiarazione che abbiamo letto parlano solo di token meno liquidi e non nominano né ENA né RSR. Bitcoin.com News non segnalava alcuno snapshot alle 08:30 UTC.

Prelievi Binance sospesi: dalle 48 ore di Yi He alle 34 di Binance

La maggior parte degli orari notturni arriva da una sola testata, FinanceFeeds, che ha raccolto i post di Binance su X. Secondo la sua ricostruzione, Binance ha dichiarato alle 00:13 UTC e di nuovo alle 02:25 UTC del 30 ottobre che depositi e prelievi erano sospesi. Alle 04:17 UTC la cofondatrice e co-CEO Yi He ha pubblicato un aggiornamento sul servizio: «Prevediamo di iniziare a riprendere i servizi di prelievo nelle prossime 48 ore». I depositi, ha scritto, non erano interessati e funzionavano normalmente. Contate dal suo post, le 48 ore arrivano alle 04:17 UTC circa di domenica 1 novembre.

L’account principale di Binance ha ripetuto la finestra di 48 ore alle 04:36 UTC, ha riferito FinanceFeeds, spiegando che i prelievi restavano in pausa mentre il team completava una revisione della sicurezza del servizio di prelievo e degli indirizzi collegati, e che i depositi funzionavano regolarmente. Nessuno in Binance ha spiegato perché lo stato dei depositi sia cambiato tra le 02:25 e le 04:17 UTC.

Il momento in cui i prelievi si sono fermati la prima volta è meno chiaro. FinanceFeeds colloca lo stop alle 22:15 UTC del 29 ottobre, circa due ore dopo i primi trasferimenti; non abbiamo trovato quell’orario altrove. Un live log di The Defiant, ripubblicato da CryptoNews, riporta che alle 18:33 di New York (22:33 UTC) Binance diceva che i prelievi sarebbero ripresi quando il problema di sicurezza fosse stato risolto del tutto, e che alle 23:06 UTC ha sospeso il trading su Binance Alpha.

L’aggiornamento successivo di Binance, citato da Decrypt, CryptoSlate e FinanceFeeds, diceva che i prelievi erano sulla strada per riprendere entro 45 ore. L’ora esatta di quel post non è chiara: FinanceFeeds lo aveva alle 08:59 UTC, e le voci vicine nel registro di Cointelegraph portano le 07:37 e le 08:37 UTC. L’obiettivo cadeva quindi nelle prime ore di domenica 1 novembre, tra le 04:40 e le 05:40 UTC circa. Il limite basso coincide quasi con la finestra di 48 ore ripetuta alle 04:36 UTC: potrebbe trattarsi della stessa scadenza con il conto alla rovescia, non di una nuova promessa; Binance non lo ha chiarito.

La dichiarazione di Teng ha aggiunto un terzo conteggio. Cointelegraph ha registrato alle 14:34 UTC un obiettivo entro 40 ore, TokenPost indica domenica 1 novembre e CoinDesk precisava che i prelievi sarebbero rimasti sospesi mentre Binance ricostruiva e testava l’infrastruttura. PANews riportava che il servizio non avrebbe riaperto prima di aver superato test rigorosi. Domenica era quindi un obiettivo con una condizione, non una promessa.

Secondo il nostro calcolo, e supponendo che la dichiarazione sia arrivata vicino all’ora registrata, 40 ore dalle 14:34 UTC portano alle 06:34 UTC circa di domenica, poco più di due ore dopo la fine della finestra di Yi He. Se l’ipotesi regge, le 48, 45 e 40 ore sembrano un’unica scadenza con il conto alla rovescia, con un piccolo slittamento, non tre promesse. I resoconti che abbiamo letto non danno l’ora del video. L’Update #2 di Binance ha poi dato un quarto conteggio, circa 34 ore da circa le 19:33 UTC, cioè intorno alle 05:30 UTC di domenica secondo CryptoNews. È un’ora prima delle nostre 06:34 e dentro la forchetta del post delle 45 ore: i conteggi indicano ancora un’unica scadenza nelle prime ore di domenica. Domenica, nel Recovery Update #4, Binance ha sostituito quei conteggi con una finestra: dalle 06:00 alle 09:00 UTC per l’avvio della prima fase. Venerdì i prelievi erano ancora sospesi quando CoinDesk ha pubblicato, alle 16:31 UTC, e l’aggiornamento, così come riportato, dice che depositi e servizi non interessati restano aperti.

Cronologia dell’hack di Binance, ora per ora (UTC)

TRM Labs ha pubblicato la ricostruzione più completa alle 02:10 UTC del 30 ottobre, con dati on-chain fino alle 00:30 UTC. La tabella che segue la segue da vicino, completata da CoinDesk, Decrypt, FinanceFeeds e, per venerdì, Cointelegraph dove indicato.

TRM ha registrato anche altri svuotamenti dal wallet Ethereum ripulito alle 20:41, 20:59, 21:04, 21:44, 22:39 e 23:56 UTC. L’ultimo è arrivato tre ore e mezza dopo il primo: l’attaccante ha quindi tenuto il controllo di quell’indirizzo fino a notte inoltrata.

Come sono usciti 6,3 miliardi di dollari in circa 20 minuti

È su Ethereum che il metodo si vede. L’attaccante ha usato EIP-7702, una funzione introdotta con l’aggiornamento Pectra che permette a un account ordinario di delegare il proprio comportamento a uno smart contract. Secondo Blockaid, citata da Cointelegraph, e secondo TRM, l’attaccante aveva preparato 50 autorizzazioni firmate, una per ciascuno dei 50 nonce consecutivi dell’hot wallet Binance 14, e le ha riunite in una sola transazione alle 20:20 UTC. Ne bastava una che corrispondesse al nonce attuale del wallet. Una corrispondeva.

Il wallet è stato poi delegato a un contratto «sweeper» non verificato, che solo l’indirizzo operativo dell’attaccante poteva attivare, ha detto Blockaid. In pochi minuti ha svuotato il wallet degli ETH e di decine di token. Quel contratto era stato distribuito alcune ore prima da un indirizzo finanziato tramite Tornado Cash, secondo l’analisi di Blockaid riportata da Cryptoast.

Le altre nove blockchain non hanno richiesto nulla del genere. Su bitcoin, Tron, Solana, XRP Ledger e le altre, i fondi sono usciti con trasferimenti ordinari, firmati in modo valido, dice TRM. CoinDesk ha rilevato che ciascuna delle 11 transazioni bitcoin sembrava un normale prelievo di Binance, firmato da indirizzi controllati da Binance; in una di esse il resto è persino tornato a Binance. Un hot wallet è costruito per firmare prelievi rapidamente, ed è ciò che questi wallet hanno fatto.

Qui i due racconti divergono. Una delega EIP-7702 deve essere firmata dalla chiave dello stesso hot wallet, e lo stesso vale per un trasferimento bitcoin o Tron. Se nessuna chiave privata è trapelata, come Binance ha detto venerdì mattina e ripetuto la sera, qualcuno o qualcosa ha comunque prodotto quelle firme su dieci reti. La risposta di TRM è che l’attaccante abbia con ogni probabilità ottenuto la capacità di far firmare al sistema di firma degli hot wallet di Binance transazioni su più blockchain. Il lotto di 50 autorizzazioni pre-firmate suggerisce, nelle parole di TRM, che l’accesso potesse essere limitato nel tempo, oppure che le firme dovessero essere richieste tramite un sistema.

Ido Ben-Natan, cofondatore e amministratore delegato di Blockaid, l’ha descritto a Cointelegraph come un uso improprio della chiave più che un furto, «una compromissione dell’infrastruttura di firma». «Non pensiamo che una chiave sia trapelata», ha detto, aggiungendo che potrebbe essere stato compromesso più di un dispositivo. Questa lettura è coerente con la prima dichiarazione di Binance ma la supera. Binance non ha ancora detto chi o che cosa firmi i suoi prelievi, né come un portatile abbia raggiunto quel sistema.

Importi per blockchain e per asset, secondo TRM

TRM valuta ogni trasferimento al prezzo del momento in cui è avvenuto. Su questa base il totale è di circa 6,36 miliardi di dollari; ai prezzi della mattina del 30 ottobre è di circa 6,23 miliardi, perché le criptovalute sono scese durante la notte.

CoinDesk valuta gli stessi 18.270 BTC circa 1,4 miliardi di dollari ai prezzi di inizio venerdì, contro 1,47 miliardi di TRM: la differenza è il movimento di prezzo tra il furto e la mattina. CoinDesk stima inoltre che da Binance siano stati sottratti circa 204.500 ETH, il 5,6% circa delle sue riserve di ETH.

Chi dà quale cifra

In una storia di queste dimensioni i numeri cambiano di ora in ora, e diverse testate hanno contato in momenti diversi. Nessuna delle differenze qui sotto è una disputa sui fatti; per lo più dipendono dal momento in cui è stato fatto il conteggio, o da ciò che è stato incluso.

Ripple è l’unica differenza che conta. Yi He ha ringraziato Ripple, secondo Decrypt, per aver «congelato rapidamente circa 200 milioni», e Reuters ha riportato che Ripple ha congelato circa 200 milioni di dollari. TRM, che scrive che Yi He ha attribuito a Ripple il merito di aver impedito il movimento di circa 200 milioni, conferma on-chain solo 40,5 milioni di RLUSD congelati: nel suo conteggio l’attaccante ha preso 88,5 milioni di RLUSD in tutto e ne ha venduti circa 48 milioni tramite exchange prima del congelamento delle 22:01. Né Ripple né Binance hanno pubblicato un dettaglio che riconcili le due cifre.

Congelato non vuol dire recuperato: Tether, Circle e i bitcoin che nessuno può bloccare

Gli emittenti di stablecoin sono stati rapidi. Tether ha congelato 971,1 milioni di USDT alle 21:01 UTC, Circle 823 milioni di USDC alle 21:04, entrambi a meno di un’ora dai primi trasferimenti. Il congelamento di Tether è poi cresciuto su Ethereum, Tron, Avalanche e Polygon. Ripple e World Liberty Financial sono intervenuti più tardi in serata, e l’Arbitrum Security Council ha usato i suoi poteri d’emergenza poco dopo mezzanotte. Decrypt ha riportato che Aave ha congelato i suoi mercati V3 su Ethereum mainnet e che Kamino ha messo in pausa i prestiti in SOL e BTC; Decrypt non ha trovato difetti in Uniswap o Aave, che l’attaccante ha usato come vie d’uscita. Cointelegraph ha registrato alle 13:57 UTC che Aave ha annunciato la ripresa di nuovi depositi e prestiti su tutti i mercati V3 e V4, poco dopo lo sblocco a tappe presentato da LlamaRisk sul forum di Aave alle 13:49 UTC. Nella nostra verifica on-chain delle 17:56 UTC, le otto principali riserve V3 lette su Ethereum non erano più congelate, con USDC e USDT ancora a LTV zero; non abbiamo controllato V4 né le altre reti. First Digital dice che anche gli FDUSD rubati sono stati congelati, riporta Bitcoin Magazine, senza indicare un importo.

Il giorno prima Tether aveva già mostrato la sua blacklist, quando ha congelato 32 indirizzi Tron con circa 27 milioni di dollari per ragioni che non ha spiegato, come abbiamo raccontato nel nostro pezzo sul congelamento di Tether su Tron. Token congelati, però, non sono token restituiti. Bitcoin.com News l’ha detto chiaramente: i fondi sono limitati, non recuperati. Riportarli a Binance richiede una decisione di ciascun emittente, e nessuno ne ha annunciata una.

L’attaccante ha anche spostato parte dei dollari fuori portata prima che il congelamento arrivasse. TRM dice che circa 325 milioni di USDT sono stati venduti a market maker e solver per circa 122.300 ETH, con uno sconto superiore al 10%, e che un secondo wallet ha fornito 60 milioni di USDT ad Aave e preso in prestito circa 19.760 ETH a fronte del deposito. Decrypt riporta 36 milioni di RLUSD scambiati con 15.439 ETH.

Poi c’è il bitcoin, che non ha emittente e non ha un pulsante di congelamento. Secondo CoinDesk, i 18.270 BTC sono usciti in 11 transazioni, tutte nel blocco 973.732, verso un unico indirizzo, e nel giro di pochi minuti sono stati divisi in 19 wallet: 17 da esattamente 1.000 BTC, uno da 832,5 BTC e uno da 437,7 BTC. Alle 04:23 UTC di venerdì nessuno si era mosso; ricevevano solo depositi minimi da un dollaro o due. CoinDesk ricorda che dopo il furto da 1,5 miliardi di dollari a Bybit del febbraio 2025 gli attaccanti impiegarono circa dieci giorni per convertire gli ether rubati in bitcoin. L’attribuzione di quel furto a TraderTraitor da parte dell’FBI arrivò cinque giorni dopo; per Binance ne sono bastati circa due.

Decrypt ha contato circa 253.000 ETH, per circa 570 milioni di dollari, fermi in due wallet alle 22:07 UTC del 29 ottobre. La cifra di TRM per tutto ciò che resta nelle mani dell’attaccante, su dati fermi alle 00:30 UTC di venerdì, è di circa 2,4 miliardi di dollari, che da sola supera l’intero furto di Bybit del febbraio 2025; la stima successiva di Elliptic è più alta.

Dove sono finiti i soldi venerdì: Chainalysis, le vendite di altcoin e i pochi interruttori

Il post di Chainalysis, pubblicato il 30 ottobre, stima i trasferimenti in circa 6,4 miliardi di dollari. Colloca le prime uscite intorno alle 16:20, ora della costa orientale USA, del 29 ottobre (20:20 UTC) e i primi congelamenti alle 17:14 (21:14 UTC). Entrambi gli orari sono più tardi rispetto al registro di TRM, che ha i primi trasferimenti XRP alle 20:05 UTC e il congelamento di Tether alle 21:01 UTC, e nessuna delle due società spiega la differenza. L’attaccante ha prima spostato 500 milioni di dollari in stablecoin, ne ha scambiati 325 milioni in 285 milioni di dollari di ETH in quasi 20 minuti, poi ha mandato i restanti 175 milioni su wallet di transito. Molti indirizzi di riciclaggio ricevono prima esattamente 1 TRX, poi altri fondi, che inoltrano: per Chainalysis è un processo programmato.

Il suo totale congelato è di circa 2,8 miliardi di dollari, contro circa 3 miliardi di Binance e più di 2,83 miliardi di ZachXBT, secondo Journal du Coin. Nessuno ha riconciliato le tre cifre. «L’indagine è ancora in corso e ci aspettiamo che i fondi rubati continuino a muoversi nei prossimi giorni», scrive Chainalysis.

Bitcoin ed ether sono ciò che l’attaccante si tiene. Bitquery, citata da Cointelegraph, ha tracciato 18.270 BTC su 19 indirizzi, 199 BTC in più dei 18.071 BTC dichiarati da Coinbase per conto proprio al 30 settembre, esclusi i fondi dei clienti. È un confronto tra tesorerie, niente di più. CoinDesk ne ha proposto un altro sabato: il bottino supera gli 11.509 BTC di Tesla, vale circa 2,3 volte i circa 7.820 BTC di El Salvador e resta 442 BTC sotto i 18.712 BTC di SpaceX, con i dati di Tesla e SpaceX fermi al 30 settembre. Bitquery ha tracciato anche 508.621 ETH, contro i 200.630 ETH presi all’inizio, perché stablecoin e token rubati sono stati convertiti in ether. Il conteggio precedente di TRM superava i 420.000 ETH; sono stati fatti in ore diverse e non possiamo riconciliarli. Cointelegraph scrive nove blockchain dove TRM ne conta dieci ed Elliptic 11, tra cui NEAR; manteniamo l’elenco dettagliato di TRM.

Le altcoin invece se ne vanno. Lookonchain, citata da Bitcoin.com News alle 10:30 UTC, ha contato circa 158 milioni di dollari di altcoin scambiate in 70.480 ETH, soprattutto UNI (39,63 milioni di dollari), ENA (33,93 milioni), PEPE (31,66 milioni), LINK (26,05 milioni) e AAVE (14,27 milioni). Secondo un analista, 7.018.792 UNI sono usciti in 51 minuti, con l’ultimo swap a un prezzo peggiore del 21% rispetto al primo. Gli ENA, UNI, PEPE e AAVE rubati equivarrebbero al 7-15% delle disponibilità dichiarate da Binance in ciascun token: è questo tipo di buco che i suoi acquisti devono colmare. Sabato Lookonchain ha contato 128,63 milioni di ENA in direzione opposta, verso un indirizzo di deposito Binance; la sezione su ENA e RSR dà i dettagli e i limiti.

FUN mostra quanto poco renda un mercato sottile. Secondo CoinDesk, il wallet dell’attaccante ha venduto 134,1 milioni di FUN per 111,5 ETH, circa 250.000 dollari, tra le 23:31 UTC circa di giovedì e le 04:17 UTC di venerdì, in un pool Uniswap da circa 16.000 dollari. CoinDesk indica un calo di oltre il 90% in quel pool, un titolo di The Defiant parla del 95% e CoinGecko mostrava il 68% su tutti i mercati nelle 24 ore: sono misure diverse. Il wallet detiene ancora 580,8 milioni di FUN, e FUNToken ha chiesto agli exchange centralizzati di disattivare per ora i depositi.

Parte del denaro è passata da THORChain. ZachXBT ha riferito che fondi degli hack di Binance e Bitget vi sono transitati prima di essere riuniti su uno stesso indirizzo Ethereum, scrive Cointelegraph. Il dato è coerente con la commistione descritta da Chainalysis, anche se il suo post non nomina THORChain, e venerdì non avevamo trovato né dichiarazioni di THORChain né cifre sui volumi; Elliptic ha poi contato circa 31 milioni di dollari e SomaXBT, un altro tracciatore con un’altra data di chiusura, circa 44 milioni, come spiegato più avanti. Dopo l’hack di Bitget il protocollo aveva detto di non poter bloccare singoli swap. RUNE è salito di oltre il 13% venerdì a 0,67 dollari, secondo la lettura di TradingView fatta da Cointelegraph; l’istantanea di Coindaro delle 11:40 UTC mostrava +8,04% nelle 24 ore, una finestra diversa.

Due congelamenti sono arrivati dalla governance, non da un emittente di stablecoin. Nel proprio post l’Arbitrum Security Council indica 8.425 ETH e 74.559.805,2 ARB, un ETH in meno rispetto al conteggio di TRM. Alle 00:08 UTC ha aggiornato per poco tempo il contratto Inbox su Ethereum aggiungendo una funzione capace di impersonare l’indirizzo dell’exploit, ha inviato due transazioni cross-chain che hanno spostato i fondi su un indirizzo di blocco, poi ha ripristinato il contratto originale. Nessun altro utente o applicazione è stato toccato, precisa. Ora solo un voto dell’ArbitrumDAO può muovere quel denaro, e non ne abbiamo trovato uno in calendario. Journal du Coin nota che per un’azione simile servono nove dei dodici membri del Council.

Synthetix ha detto su X, secondo PANews, che il suo protocolDAO ha recuperato circa 8,4 milioni di SNX, per circa 1,5 milioni di dollari, li tiene in un multisig Safe e li restituirà quando Binance lo chiederà. Non siamo riusciti ad aprire il post, e come i token siano stati recuperati non risulta da ciò che abbiamo letto. Non abbiamo trovato cifre nuove di Ripple o World Liberty Financial alle 17:45 UTC circa.

Il conteggio di Elliptic: circa 3,24 miliardi di dollari ancora su indirizzi collegati lunedì

La ricostruzione di Elliptic, aggiornata alle 23:55 UTC del 31 ottobre, è il tracciamento pubblico più completo che abbiamo letto dopo quello di TRM. A quella data la società stimava che l’attaccante controllasse circa 3,21 miliardi di dollari di asset che nessun emittente può congelare, distribuiti su decine di indirizzi, tra cui 519.104 ETH (circa 1,16 miliardi di dollari), 18.270 BTC (circa 1,41 miliardi), 233 milioni di XRP e circa 475 milioni di TRX. Il conteggio di venerdì era di circa 3,23 miliardi, con circa 575 milioni di TRX. XRP, SOL e NEAR, che valgono circa 437 milioni di dollari, a quella data non si erano mossi; da allora lo hanno fatto. La sua pagina di lunedì, aggiornata alle 07:30 UTC, indica in circa 3,24 miliardi di dollari ciò che resta su indirizzi collegati al furto, soprattutto ETH e BTC, e non vi abbiamo trovato nuovi totali di ETH o TRX. Entrambe le cifre superano i 2,4 miliardi di TRM, basati su dati fermi alle 00:30 UTC. Cointelegraph Magazine citava in precedenza circa 3,33 miliardi da Elliptic: il numero si muove con i prezzi e con i conteggi.

Elliptic ha verificato 2,85 miliardi di dollari congelati o sequestrati, il 44% del furto, per il 94% stablecoin, quasi interamente su Ethereum e Tron. Un grafico della pagina data i suoi dati sui congelamenti alle 04:30 UTC circa del 31 ottobre. La cifra di Binance resta di circa 3 miliardi. La blocklist di Elliptic supera ormai i 1.000 indirizzi.

Le stablecoin sono state il punto debole dell’attaccante. Valevano 3,46 miliardi di dollari del bottino, e solo circa 786 milioni sono diventati ETH e TRX prima dei congelamenti. Su Ethereum, 434 milioni di USDT sono stati trasformati in 160.451 ETH tramite Uniswap, 1inch e i sistemi di richiesta di quotazione dei market maker, a un prezzo peggiore del mercato tra il 12% e il 26%: secondo Elliptic la velocità ha contato più del valore. È un conteggio più ampio di quello di TRM (325 milioni di USDT per circa 122.300 ETH). Su Tron, 234 milioni di USDT sono stati scambiati con 638 milioni di TRX su SunSwap.

Erano questi TRX a muoversi venerdì. La mattina del 30 ottobre sono stati divisi su cinque nuovi indirizzi. Quattro non si erano mossi. Il quinto inviava piccole somme attraverso swap e bridge, soprattutto verso ETH, e il ritmo è più che raddoppiato quella sera; secondo il conteggio di quella pagina di Elliptic, tra 38 e 67 milioni di dollari avevano lasciato gli indirizzi che segue. Il conteggio di Elliptic di lunedì, descritto più avanti, è molto più alto. Decrypt, citando Arkham, ha visto un wallet Tron inviare circa 5,19 milioni di TRX, circa 1,73 milioni di dollari, a 12 indirizzi venerdì.

Le vendite di altcoin sono arrivate a ondate. Circa 150 altri token sono stati venduti per ETH su exchange decentralizzati fino alle 06:36 UTC circa del 30 ottobre, dice Elliptic. Tra le 11:38 e le 12:29 UTC dello stesso giorno tutti gli AVAX rubati sono stati venduti per USDC, portati su Ethereum con il CCTP di Circle e scambiati con 7.242,8 ETH. I 18.270 BTC non avevano raggiunto alcun servizio alla data della pagina, e la pagina di Elliptic di lunedì dice che non si muovono dal 29 ottobre.

Una posizione era ancora aperta all’aggiornamento di Elliptic. Il prestito Aave del secondo wallet, 19.762 ETH a fronte di 59,9 milioni di USDT, è descritto così da Elliptic: «The loan is still open and close to the point of liquidation» (il prestito è ancora aperto e vicino alla liquidazione). Cointelegraph Magazine riporta i dati di LlamaRisk, circa 59,9 milioni di dollari di collaterale contro circa 43,8 milioni di debito, e scrive che per Aave la posizione resta sovracollateralizzata e non mette a rischio chi fornisce liquidità. Marc Zeller, dell’Aave Chan Initiative, l’ha definita «criminal but overcollateralized in the eyes of the protocol».

Per il seguito Elliptic si aspetta lo schema di Bybit: passaggi attraverso molti wallet, bridge, mixer e servizi di swap, poi tentativi di incasso tramite broker OTC ed exchange. Jonathan Levin di Chainalysis ha detto venerdì a CNBC di non vedere ancora tracce di mixer. Più i fondi si allontanano, meno occasioni di sequestro restano, ha aggiunto. Era venerdì: da allora Elliptic ha registrato i primi coinjoin, come spiega la prossima sezione. CNBC nota che gli hacker ricorrono sempre più a reti cinesi di riciclaggio, che comprano OTC le cripto rubate con una forte commissione, e Ari Redbord di TRM Labs parla di un «continued cat and mouse game».

Primo mixing di bitcoin: coinjoin, XRP e SOL in movimento, 242 milioni via Tron e il blocco annunciato da Gate

La nuova pagina di Elliptic, datata lunedì 2 novembre, aggiornata alle 07:30 UTC e con dati on-chain fino alle 08:45 UTC, segnala il primo mixing dei fondi rubati. Bitcoin derivati dal denaro passato da Tron sono entrati in coinjoin dalle 05:55 UTC di domenica, con WabiSabi, il protocollo di Wasabi Wallet e di wallet simili. Alle 06:02 UTC di lunedì circa 28 BTC, circa 2,2 milioni di dollari, erano passati da 18 coinjoin con 101-491 input ciascuno. È poco rispetto ai 18.270 BTC dei 19 wallet, che secondo Elliptic non si muovono dal 29 ottobre: queste monete vengono dal denaro di Tron, non da quei wallet. Per ora Elliptic è l’unica fonte primaria sul punto.

Le monete ferme la settimana scorsa si stanno muovendo. I NEAR sono passati su nuovi account dalle 07:00 UTC di domenica e da allora sono fermi. Circa metà dei SOL è andata su un nuovo indirizzo dalle 09:38 UTC di domenica, e lunedì una parte è stata scambiata in USDC e ritorno ed è passata da un vault di lending. Tutti i 233 milioni di XRP sono andati su sei nuovi indirizzi tra le 02:12 e le 04:00 UTC di lunedì, dice Elliptic. Bitcoin.com News descrive cinque wallet da circa 40 milioni di XRP e uno da 33,46 milioni, circa 293 milioni di dollari a circa 1,26 dollari nel suo articolo delle 07:30 UTC, e nessuno aveva inviato fondi altrove alle 04:37 UTC.

Elliptic conta circa 12.000 wallet su 11 blockchain e oltre 40.000 transazioni in meno di quattro giorni, con circa 16 milioni di dollari inviati a indirizzi che custodiscono anche i proventi dell’exploit di Bitget di settembre. Il riciclaggio è chiaramente automatizzato, scrive la società, ma nulla di ciò che ha visto mostra un agente di IA che prende decisioni.

Su Tron ci sono ora due conteggi, da leggere fianco a fianco. Secondo Elliptic un wallet ha inviato 684,6 milioni di TRX a centinaia di nuovi indirizzi, circa 7.700 alla fine, tra le 02:19 UTC del 30 ottobre e le 05:33 UTC del 1 novembre, e almeno 147 milioni di dollari sono usciti da Tron con i bridge, quasi tutti pagati in ETH. The Block ha riportato domenica una cifra più alta di SomaXBT, analista on-chain: circa 242 milioni riciclati in due giorni, di cui circa 194 milioni usciti da Tron con bridge e servizi di swap, circa 26 milioni rimasti su Tron e circa 22 milioni persi in commissioni, slippage e variazioni di prezzo. Definizioni e date di chiusura sono diverse, e il dato di Elliptic è un minimo. I 242 milioni sono una stima di SomaXBT, non di The Block: la testata ha solo ritrovato su Etherscan i numeri di SomaXBT per un indirizzo legato a Relay. Bitcoin.com News attribuisce la stessa somma ad analisti non nominati e rimanda a un post di WuBlockchain.

Le vie indicate da SomaXBT sono Relay (48 milioni), THORChain (44 milioni), Chainflip (32,1 milioni) e Symbiosis (16 milioni), circa 140 milioni in tutto, più 41,7 milioni passati da Bitget Wallet con destinazione ignota: il dettaglio quindi non arriva a 194 milioni. Nulla di questo è un incasso: secondo Elliptic finora è stato probabilmente convertito in contanti solo un importo trascurabile. Symbiosis ha ammesso lacune nei propri controlli, che dice di chiudere man mano, riporta The Block. Relay dice di controllare gli indirizzi con dati di rischio di terzi e una blocklist interna. Chad Barraford di THORChain ha detto che gli operatori dei nodi non hanno informazioni non pubbliche, senza chiarire se bloccheranno gli indirizzi della lista dell’FBI, che ne conta 608 Ethereum, 19 Bitcoin, uno Solana e nessuno su Tron.

Gate dice di essersi mossa. Lookonchain ha segnalato che l’hacker ha depositato 250.000 dollari su Gate in 12 ore, scriveva Bitcoin.com News alle 07:30 UTC, aggiungendo che Gate non aveva commentato. In realtà Gate aveva già pubblicato su X nelle prime ore di lunedì, intorno alle 03:33 UTC secondo la nostra lettura dell’identificativo del post. Ha detto di aver individuato e bloccato due conti collegati all’attaccante, che le informazioni sono entrate in una procedura di verifica e che collaborerà con le forze dell’ordine e con le indagini successive, secondo ChainCatcher e PANews. Gate non ha detto chi detiene i conti né quanto sia stato bloccato, e non ha collegato il blocco a quei 250.000 dollari; la pagina di Elliptic non cita Gate.

Riciclaggio con il pilota automatico: Elliptic cronometra il wallet Tron, e una vendita di PROM frutta 71 dollari

Una seconda pagina di Elliptic, datata 31 ottobre e intitolata «The Binance hack is laundering on autopilot» (il riciclaggio va con il pilota automatico), guarda a come si muove il denaro su Tron. Alle 08:11 UTC di quel giorno il principale wallet di distribuzione inviava fondi ogni ora da 31 ore, con una pausa massima di 46 minuti e nessuno stop notturno. «The timing looks programmed» (i tempi sembrano programmati), scrive Elliptic: i trasferimenti non sono quasi mai a meno di circa 30 secondi l’uno dall’altro, e i circa 200 wallet destinatari ripassano di solito i fondi in circa due minuti. Uno stesso importo di swap verso THORChain compare 19 volte. Quando un bridge ha rifiutato i depositi, i fondi sono ripartiti da nuovi wallet.

Nell’aggiornamento in diretta delle 22:41 UTC del 31 ottobre, Elliptic contava circa 196 milioni di dollari inviati da quel wallet a circa altri 200, ricaricato a blocchi di circa 40 milioni, a un ritmo notturno di 7-11 milioni l’ora. Traccia 31 milioni verso THORChain, 5,3 milioni verso SunSwap, 1,8 milioni verso Bitget Swap e 0,4 milioni verso USDT0. La somma di THORChain è la stessa delle 08:11 UTC, quando la pagina descriveva circa 100 swap ogni due ore, ed Elliptic non spiega perché. Elliptic non collega queste cifre ai 38-67 milioni della sua pagina principale.

La storia dei PROM poggia su una sola fonte. Lookonchain collega all’hacker un wallet che ha venduto 908.793 PROM, dal valore nominale di circa 5 milioni di dollari, in un pool Uniswap V2 quasi vuoto per 0,0316 ETH, circa 71 dollari, ha riferito Cryptonomist domenica. L’articolo non dà indirizzi né hash della transazione, non abbiamo trovato il post originale di Lookonchain e non abbiamo potuto verificare la vendita on-chain: il legame con l’hacker è una lettura della sola Lookonchain. Così come descritti, quei 5 milioni erano una valutazione a listino che il pool non avrebbe mai potuto pagare.

Quanto sono costati gli scambi affrettati: la stima di 119 milioni di dollari di Bitquery, e una rotta verso Solana

CryptoSlate ha riportato domenica, citando un’indagine di Bitquery datata 30 ottobre, che gli attaccanti hanno perso circa 119 milioni di dollari scambiando le crypto rubate a prezzi sfavorevoli tra le 20:30 UTC del 29 ottobre e le 01:00 UTC del 30 ottobre. È una stima di impatto sui prezzi rispetto al mercato, non denaro sottratto al totale rubato, e non l’abbiamo verificata. Non abbiamo trovato il rapporto originale di Bitquery.

Secondo il dettaglio di CryptoSlate, circa 71,5 milioni di dollari sono stati pagati in più per ETH su Ethereum, circa 22,4 milioni in più per cambiare USDT in TRX su Tron, e circa 24,8 milioni sono andati persi vendendo UNI, PEPE ed ENA sotto il prezzo di mercato. Gli acquisti hanno spinto il principale pool WETH/USDT di Uniswap fino al 38% sopra il mercato, scrive la testata. Società di trading e bot hanno trattenuto circa 60 milioni di dollari al netto dei costi, e circa 29,5 milioni sono andati ai block builder e ai validatori di Ethereum. La voce su Tron somiglia allo scambio che Elliptic registra, 234 milioni di USDT per 638 milioni di TRX; il collegamento è una nostra lettura.

Il secondo filone è più esile. The Defiant titola che i riciclatori «Reach Solana After Draining $500 Million on Tron» (arrivano su Solana dopo aver svuotato 500 milioni di dollari su Tron), citando Chainalysis. A noi si sono caricati solo titolo e sottotitolo; il sottotitolo dice che l’operazione su Tron «spanned more than 1,000 addresses and over 3,000 deposits» (oltre 1.000 indirizzi e oltre 3.000 depositi) prima che i fondi si disperdessero su più blockchain. Non abbiamo quindi importi, orari o indirizzi per Solana, e il post di Chainalysis, per come l’abbiamo letto, non cita nulla di tutto questo.

Quei 500 milioni non sono i 500 milioni di dollari di stablecoin che il post di Chainalysis descrive su Ethereum. Superano anche di molto i circa 196 milioni che Elliptic ha tracciato dal wallet Tron principale alle 22:41 UTC di sabato, e nessuno ha riconciliato le due cifre. Il testo visibile di The Defiant non dice se siano coinvolti i 970.500 SOL rubati; Elliptic scriveva sabato che non si erano mossi, e lunedì che circa metà lo aveva fatto, dalle 09:38 UTC di domenica.

La spiegazione di Binance e la lettura di TRM a confronto

Entrambe le versioni sono attribuite e nessuna delle due è provata. Binance ha detto prima che l’incidente «può coinvolgere» un portatile compromesso, un container di servizio e prelievi non autorizzati, senza prove di una fuga di chiavi. Era una conclusione preliminare, formulata come possibilità, e ora Teng dice che gli investigatori hanno trovato punti di violazione oltre al portatile, che l’attaccante ha cancellato le tracce e che la delega EIP-7702 ha aggirato i normali controlli di approvazione. Non ha dato la sequenza completa.

TRM dice che Binance «non ha ancora pubblicato una causa radice». Osserva che i primi segnali indicavano autorizzazioni carpite con phishing su Ethereum, ma che questo non spiega le altre blockchain. La sua valutazione è che l’attaccante potesse comandare il sistema di firma degli hot wallet di Binance su più reti. Le due versioni sono compatibili se il container raggiunto dal portatile poteva richiedere firme. Binance non ha detto se potesse, e la frase di Teng sui controlli di approvazione non lo chiarisce: una delega che li aggira richiede comunque una firma valida. Anche i ricercatori esterni non sono d’accordo: Bitcoin.com News riporta che alcuni ipotizzano la compromissione di una chiave di firma «Binance 16», mentre il ricercatore 0xQuit ritiene probabile che l’attaccante non avesse le chiavi private.

Conta anche la tempistica. Il registro di TRM degli svuotamenti fino alle 23:56 UTC mostra che l’indirizzo Ethereum ripulito è rimasto sotto il controllo dell’attaccante per ore dopo i primi trasferimenti, e una seconda ondata ha colpito i wallet su Avalanche e Polygon alle 23:05 UTC, tre ore dopo la prima.

Attacco hacker a Binance, Corea del Nord: l’FBI indica TraderTraitor, dopo TRM e Chainalysis; Binance non nomina nessuno

L’FBI ha dichiarato su X alle 22:36 UTC di sabato 31 ottobre, riporta securities.io, che la Corea del Nord è responsabile del furto di oltre 6 miliardi di dollari a Binance, e chiama questa attività TraderTraitor. Insieme al Secret Service statunitense e all’IRS Criminal Investigation esorta i privati, tra cui gli operatori di nodi THORNode e RPC, a bloccare le transazioni legate agli indirizzi usati per riciclare i fondi («block transactions with or derived from addresses TraderTraitor actors are using to launder these stolen assets»), secondo CoinDesk, che conta nell’elenco oltre 600 indirizzi Ethereum, poco meno di 20 indirizzi Bitcoin e un indirizzo Solana. L’FBI si attende ulteriore riciclaggio («further laundering»), riporta Reuters. La pagina dell’FBI ha rifiutato la nostra connessione: tutto questo viene da quelle testate.

TRM attribuisce l’attacco «con alta confidenza» a TraderTraitor, che definisce la principale unità di hacker della Corea del Nord, citando intelligence on-chain e off-chain. Indica lo schema già visto negli hack di Bybit e KelpDAO (aprile 2026): un wallet operativo finanziato tramite Tornado Cash, predisposto con largo anticipo, firme raccolte in anticipo ed eseguite in un’unica raffica. TRM nota che l’FBI ha indicato lo stesso gruppo per l’hack di Bybit nel febbraio 2025, e che il riciclaggio questa volta si appoggia più su grandi scambi e prestiti che sui bridge.

Binance non ha nominato l’attaccante, e Richard Teng ha scritto che l’indagine non ha attribuito la responsabilità ad alcuna persona. Era venerdì, e nemmeno i due aggiornamenti successivi di Binance nominano qualcuno. Prima della dichiarazione di sabato l’FBI aveva detto a Reuters soltanto di essere al corrente dell’incidente. Il presidente Donald Trump, interpellato venerdì su un possibile ruolo di hacker nordcoreani, ha risposto di non saperlo; sabato ha detto «we’re learning about it» (ci stiamo informando) e che la sua amministrazione ne parlerà con la Corea del Nord, riporta CoinDesk. L’amministratore delegato di Blockaid ha detto che l’operazione somiglia ad altre collegate alla Corea del Nord ma che l’attribuzione non è confermata. Chainalysis è poi arrivata alla stessa conclusione: i suoi investigatori vi vedono il lavoro del gruppo nordcoreano TraderTraitor, citando il comportamento on-chain e la commistione dei fondi rubati con quelli dell’exploit di Bitget del mese scorso. Il cofondatore di Chainalysis Jonathan Levin ritiene il gruppo probabilmente responsabile, riporta Cointelegraph. ZachXBT ha collegato l’attacco allo stesso exploit di Bitget: «Questo indica che dietro entrambi gli incidenti c’è probabilmente lo stesso attore». Fino a sabato erano valutazioni di società private e di un investigatore indipendente; la dichiarazione dell’FBI è la prima attribuzione governativa che abbiamo letto. Reuters aggiunge che la Corea del Nord nega di usare unità informatiche statali per rubare fondi, e che la sua missione a Ginevra e la sua ambasciata in Cina non hanno risposto alle richieste di commento. Il Tesoro statunitense ha sanzionato due giorni prima una rete di lavoratori IT nordcoreani, di cui abbiamo scritto nel nostro resoconto sull’azione dell’OFAC; finora nulla collega quella rete a questo furto.

Elliptic era più cauta di TRM e Chainalysis prima che parlasse l’FBI. La sua pagina, aggiornata sabato alle 23:55 UTC, registra l’attribuzione e precisa che riteneva TraderTraitor l’autore probabile. Cita il coordinamento di un attacco su 11 blockchain in circa tre ore, servizi in comune con chi ha riciclato tre precedenti furti di TraderTraitor e metodi simili a quelli del furto a Bybit. Chainalysis si aspetta che il riciclaggio si allarghi: già migliaia di indirizzi («thousands of addresses») e decine di migliaia («tens of thousands») nelle prossime settimane, ha detto a CoinDesk, ben oltre l’elenco pubblicato dall’FBI.

I miei fondi su Binance sono al sicuro? Cosa mostrano le riserve

Ora Binance ha dato un numero. La riserva di oltre 6,34 miliardi di dollari è grosso modo pari alla sua stima del danno, 6,3 miliardi, e non conta i circa 3 miliardi congelati. Questo sostituisce l’aritmetica del mattino, in cui FinanceFeeds toglieva i fondi congelati dal totale e lasciava circa 3,3 miliardi da coprire. Venerdì, secondo CoinDesk, il SAFU custodiva circa 1 miliardo di dollari in bitcoin; la metà dei 15.000 BTC dell’indirizzo indicato per il fondo lo ha lasciato sabato. Binance ha poi indicato come fonti SAFU, tesoreria e fondo assicurativo dei futures, senza l’importo di ciascuna, e non ha detto che fine faranno i token congelati se torneranno indietro.

La lettura di CoinDesk dei dati sulle riserve di Binance aggiunge una seconda domanda. Il wallet Binance 14 compare nella proof of reserves del 1° ottobre. A quella data Binance deteneva esattamente gli ETH necessari a coprire i saldi dei clienti (100%) e il 108,26% degli USDC. Se gli ETH rubati non venissero recuperati, CoinDesk stima che la copertura in ETH scenda verso il 94%, e che USDC e alcune altcoin possano scendere sotto il 100%. È un calcolo di CoinDesk, non di Binance; Binance non ha risposto subito a CoinDesk. Secondo Binance gli acquisti di token servono a chiudere quel divario. Il suo snapshot del 31 ottobre mostra almeno il 100% per ETH, USDC e altri otto asset, riferisce CoinDesk; sono dati di Binance, e non abbiamo trovato un confronto di CoinDesk con la sua stima di venerdì.

La dichiarazione di Teng nel video tocca lo stesso punto. Ha detto che l’attacco ha colpito l’hot wallet di Binance stessa e non i fondi dei clienti, secondo CoinDesk, e TokenPost gli attribuisce la spiegazione che la gran parte dei fondi dei clienti sta in cold wallet e passa agli hot wallet solo su richiesta di prelievo. CoinDesk, da parte sua, ha trovato Binance 14 nella proof of reserves del 1° ottobre, tra gli asset a copertura dei saldi dei clienti. Non abbiamo trovato una replica di Binance a quella lettura e non prendiamo posizione tra le due; la prova completa, che Binance stima entro martedì 3 novembre, dovrà dire di più.

Un’altra versione su come coprire il conto è arrivata dai vertici di Binance su X, in uno scambio con Elon Musk che abbiamo trovato solo su Decrypt. Musk ha risposto con un’emoji a denti stretti a un post che stimava la perdita di Binance in circa 1 miliardo di dollari, dati i fondi congelati; Decrypt l’ha letta come un richiamo a FTX, ma Musk non ha scritto una parola. Changpeng Zhao ha replicato: «Elon, ho molto rispetto per te, ma è il momento sbagliato per fare il troll. Per favore, smettila». Ha aggiunto che le azioni SPCX di Binance, nate dall’investimento da 500 milioni di dollari nell’acquisizione di Twitter, valgono più di un miliardo («worth more than a billion»). È una sua valutazione, non verificata: Decrypt non indica una fonte di prezzo e noi non abbiamo potuto controllarla. Yi He ha detto che i ricavi dell’anno coprono le perdite, quindi per ora non serve vendere le azioni, e Zhao ha poi precisato di non aver mai proposto di venderle, riporta Decrypt. Nulla di questo è una verifica esterna della riserva da 6,34 miliardi di dollari.

I prezzi sono scesi durante la notte. Intorno alle 05:55 UTC del 30 ottobre BTC trattava vicino a 78.600 dollari, ETH vicino a 2.246 dollari e BNB vicino a 717 dollari, in calo del 5,1% nelle 24 ore, secondo l’istantanea di mercato di Coindaro. CoinDesk ha riportato, citando persone informate sui fatti, che investitori istituzionali stanno ritirando fondi dagli exchange centralizzati per ribilanciare; il totale non è noto. Intorno alle 17:45 UTC l’istantanea di Coindaro dava BTC intorno a 77.190 dollari (in calo del 4,37% nelle 24 ore), ETH intorno a 2.242 dollari (in calo del 3,95%), BNB intorno a 702 dollari (in calo del 5,76%) e SOL intorno a 94,39 dollari (in calo del 6,44%). Bitcoin Magazine conta circa 1,5 miliardi di dollari di liquidazioni, soprattutto posizioni long, di cui 468 milioni in BTC e 358 milioni in ETH; un titolo di CoinDesk indica 1,57 miliardi, e non possiamo dire quale contatore sia più vicino. Geoffrey Kendrick di Standard Chartered ha detto, secondo Bitcoin Magazine, che il calo potrebbe non essere finito («may have some way to go») e si aspetta una nuova base una volta sbloccati gli asset. È una sua opinione.

Più grande di Bybit: gli hack record delle criptovalute a confronto

TRM colloca il furto di Binance a circa quattro volte quello di Bybit. Per Binance stessa, la precedente grande perdita risale al 2019, quando usò per la prima volta la frase «funds are SAFU».

Due differenze spiccano. Bybit ha tenuto aperti i prelievi dopo il suo hack; Binance li ha chiusi. Nel 2019 i prelievi di Binance restarono chiusi per circa una settimana. I 18.270 BTC sottratti stavolta sono più di 2,5 volte i 7.000 BTC del 2019, nota CoinDesk. Il nostro approfondimento su dove avvengono davvero gli hack delle criptovalute spiega perché: le blockchain si rompono di rado, le aziende e le chiavi che le circondano no.

Italia e Francia: Binance aveva già fermato i servizi crypto il 1° luglio

Per i lettori europei il contesto è diverso. Senza un’autorizzazione MiCA, l’entità francese di Binance ha smesso di offrire servizi su cripto-attività in Francia dal 1° luglio 2026 e non ha preso nuovi clienti, ha riportato Euronews il 25 giugno, aggiungendo che avvisi simili sono stati inviati agli utenti di altri mercati dell’UE. MoneyVox ha elencato le opzioni rimaste agli utenti francesi: trasferire le monete su una piattaforma autorizzata, tenerle in self-custody o venderle in euro. Per l’Italia, Teleborsa ha riportato lo stesso giorno che nuovi ordini e depositi si sarebbero fermati il 1° luglio, mentre i prelievi sarebbero rimasti possibili. Binance ha ritirato la sua richiesta MiCA in Grecia prima della scadenza del 30 giugno e ha detto che avrebbe presentato domanda in un altro Stato dell’UE.

Un utente italiano o francese con un saldo ancora su Binance lo aveva quindi su una piattaforma priva di autorizzazione MiCA nell’UE, e l’hack colpisce la piattaforma globale di Binance. Non abbiamo trovato, alle 17:45 UTC circa del 30 ottobre, dichiarazioni sull’incidente dell’AMF francese, della Consob italiana, dell’OAM o della Banca d’Italia. Le normali regole fiscali sulle cessioni di cripto-attività valgono in entrambi i Paesi; non è stata annunciata alcuna regola specifica per questo hack. L’articolo di TokenPost sul ritorno dei prelievi in dollari statunitensi non cita l’euro.

Cosa devono fare ora gli utenti di Binance

Secondo Binance i fondi degli utenti sono al sicuro e coprirà tutte le perdite, con oltre 6,34 miliardi di dollari accantonati. È un impegno di Binance, non una garanzia esterna, ed è l’unico sul tavolo. Dai fatti discendono alcuni passi pratici, senza alcuna opinione sul trading.

• Controllare i canali ufficiali di Binance sui depositi prima di inviare nuovi fondi: l’aggiornamento di domenica li dà aperti, ma i suoi messaggi in materia erano cambiati tra le 02:25 e le 04:17 UTC del 30 ottobre.
• Aspettarsi falsi messaggi di «risarcimento» e di «sblocco dei prelievi»: una piattaforma con più di 335 milioni di utenti registrati, come riporta Reuters, è un bersaglio enorme. Usare solo binance.com e gli account verificati di Binance, e non dare mai una seed phrase né pagare una «commissione di verifica».
• Diffidare delle offerte di recupero non richieste: Chainalysis avverte che alcuni truffatori si spacciano per lei, anche con false proposte di recupero fondi, riporta Bitcoin Magazine.
• Controllare la pagina di prelievo o quella sullo stato delle reti per il proprio token e la propria rete prima di fidarsi di un annuncio di riapertura: alla nostra verifica delle 12:07 UTC di lunedì solo 14 token su 991 erano aperti, USDT su Tron risultava spento e un primo tentativo può fallire. Le notizie sul ritorno dei prelievi in dollari statunitensi non indicano canali o limiti: conviene guardare che cosa mostra il proprio account. La prossima scadenza è la proof of reserves completa, che Binance stima entro martedì 3 novembre.
• Ricordare che le monete lasciate su un exchange sono un credito verso quella società. Custodire le chiavi in proprio, o ripartire i fondi tra più operatori, sono le precauzioni abituali.

La nostra recensione di Binance sarà aggiornata quando uscirà il post-mortem.

Che cosa non si sa ancora e le date da seguire

La causa radice non è stabilita. Il portatile ormai è solo una parte del quadro: Teng dice che gli investigatori hanno trovato punti di violazione oltre a quello, e ora Binance indica il meccanismo su Ethereum, una delega EIP-7702 che ha aggirato i normali controlli di approvazione. Resta da spiegare come sia stata prodotta quell’autorizzazione, e come siano comparse firme valide su dieci blockchain. Gli investigatori non hanno stabilito la sequenza completa e, secondo Teng, l’attaccante ha distrutto strumenti e tracce. Binance prometteva altri risultati tecnici entro circa 48 ore dall’aggiornamento di venerdì sera, cioè intorno alle 19:33 UTC di domenica per il nostro calcolo; nessuno dei resoconti letti lunedì li cita, e non abbiamo potuto leggere le pagine degli annunci di Binance. Il post-mortem che seguirà è ancora senza data.

Anche la perdita finale è ignota. Dipende dal fatto che gli emittenti restituiscano i token congelati, e da ciò che accadrà ai 18.270 BTC e agli ether ancora in mano all’attaccante (più di 420.000 ETH per TRM, 508.621 ETH per Bitquery, 519.104 ETH per Elliptic sabato). Che gli asset dei clienti siano coperti per intero resta la parola di Binance: il suo snapshot lo afferma per dieci asset, e la prova completa dovrà dare dati da affiancare all’affermazione di Teng secondo cui i fondi dei clienti non sono stati toccati e alla lettura di CoinDesk dell’elenco del 1° ottobre. Se Binance Wallet o Binance Pay siano stati toccati non è stato dichiarato in nessuna fonte che abbiamo letto. L’autorità finanziaria di Abu Dhabi (FSRA), che ha rilasciato la principale licenza operativa di Binance, ha detto a Reuters di seguire l’incidente a stretto contatto con Binance («engaging closely with Binance and monitoring the incident»). Alle 17:45 UTC circa di venerdì non abbiamo trovato commenti di regolatori europei. Un confronto pubblicato lunedì da CoinDesk spiega perché un furto del genere è difficile da contenere: le banche possono richiamare alcuni bonifici, mentre una transazione confermata su blockchain in genere non si può annullare. Le cripto non vengono violate più delle banche, sintetizza Abdul Rafay Gadit, cofondatore di ZIG Finance, ma non possono nasconderlo né tornare indietro.

I prossimi appuntamenti sono le reti e i token ancora in test e una data per la seconda fase; i nuovi risultati tecnici, attesi intorno alle 19:33 UTC di domenica per il nostro calcolo e assenti dai resoconti letti; la prova completa a conoscenza zero, che Binance stima entro martedì 3 novembre; l’acquisto di RSR, che Reserve si aspettava concluso entro lunedì; l’ultimo 5% dei token e l’aggiornamento promesso da Yi He a fine acquisti; il ritorno del SAFU a circa 1 miliardo di dollari, e la sorte dei 7.500 BTC dell’indirizzo destinatario; qualsiasi verifica esterna dei dati di Binance; una parola di Binance o di Ethena sul trasferimento di ENA; il prestito Aave; le prime monete a raggiungere un servizio dai 19 wallet bitcoin, fermi alla chiusura dei dati di Elliptic delle 08:45 UTC di lunedì; la destinazione degli XRP dei sei nuovi indirizzi; eventuali altri blocchi sugli exchange dopo quello annunciato da Gate; e il seguito che i destinatari della richiesta dell’FBI le daranno.

Aggiornamenti precedenti di questo articolo

Lasciati come pubblicati: ognuno riflette ciò che sapevamo a quell’ora.

Aggiornamento del 1 novembre 2026, 17:52 UTC: le 15 reti della prima fase erano riaperte alle 12:36 UTC, dice Binance, che tra le 06:00 e le 15:30 UTC di domenica conta 4,649 miliardi di dollari di prelievi contro 1,01 miliardi di depositi, circa 3,64 miliardi di deflussi netti, secondo Bitcoin.com News e The Block. La nostra lettura dei dati di stato di Binance, alle 17:40 UTC, mostra quelle 15 reti attive, per 15 dei 990 token elencati. CryptoSlate, citando Bitquery, indica in circa 119 milioni di dollari il costo degli scambi affrettati degli hacker, una stima di impatto sui prezzi che non abbiamo verificato, e The Defiant, citando Chainalysis, riferisce che i riciclatori sono arrivati su Solana. Bitcoin.com News e The Block indicano anche lunedì 2 novembre per un rapporto aggiornato sulle riserve, contro il martedì 3 novembre per la prova completa nell’aggiornamento di sabato di Binance.

Aggiornamento del 1 novembre 2026, 11:57 UTC: Binance ha riaperto parte dei prelievi. TokenPost contava alle 10:28 UTC sette delle 15 reti della prima fase, ognuna con una parte degli asset (Bitcoin, Ethereum, BNB Smart Chain, XRP Ledger, Base, Dogecoin e Optimism), e CoinDesk cita bitcoin, ether, USDT, USDC, BNB e XRP. Il denaro sta uscendo, secondo dati di seconda mano che non coincidono: ChainCatcher cita 1,02 miliardi di dollari di deflussi netti sul grafico di CoinMarketCap, senza indicare il periodo, mentre TokenPost, senza nominare un fornitore, parla di circa 1,26 miliardi in 24 ore, una finestra aperta prima della prima rete; non abbiamo confermato il prelievo di un cliente identificato. Secondo Elliptic il riciclaggio dei fondi rubati su Tron procede come un timer, e la sola Lookonchain collega a un wallet una vendita di PROM dal valore nominale di circa 5 milioni di dollari, ceduti per circa 71 dollari.

Aggiornamento del 1 novembre 2026, 06:03 UTC: l’FBI ha dichiarato sabato sera che la Corea del Nord è responsabile del furto, indicando TraderTraitor, secondo CoinDesk e Reuters. Nel Recovery Update #4, pubblicato domenica alle 04:08 UTC, Binance ha detto che la prima fase dei prelievi sarebbe partita tra le 06:00 e le 09:00 UTC su 15 reti e di aver coperto circa il 95% dell’importo rubato. I dati pubblici sullo stato delle reti di Binance hanno mostrato per la prima volta i prelievi di BTC attivi, sulla rete Bitcoin, alle 06:02 UTC; alle 06:03 UTC erano l’unico token e l’unica rete attivi, e non abbiamo confermato alcun prelievo di un cliente andato a buon fine. La data indicata da Binance per la proof of reserves completa è martedì 3 novembre, fissata nell’aggiornamento di sabato; quello di domenica non ne dà una nuova.

Aggiornamento del 31 ottobre 2026, 17:58 UTC: Binance dice di aver reintegrato circa il 90% degli asset rubati, contro circa l’80% di venerdì, attingendo alla tesoreria, a parte del fondo SAFU e a parte del fondo assicurativo dei futures, riferiscono CoinDesk e Cointelegraph dalla sua ultima dichiarazione su X, che non abbiamo potuto aprire. Ha anche pubblicato uno snapshot delle riserve della mezzanotte UTC del 31 ottobre e dice che i prelievi restano in linea per domenica 1 novembre. Il registro pubblico mostra 7.499 BTC in uscita dall’indirizzo indicato per il suo fondo SAFU alle 14:51 UTC, senza dire perché. Tutto il resto è la versione di Binance, non verificata in modo indipendente.

Aggiornamento del 31 ottobre 2026, 12:06 UTC: Lookonchain ha contato 128,63 milioni di ENA, circa 24 milioni di dollari, passati in otto ore, sabato, da wallet etichettati Ethena a un indirizzo di deposito Binance, riporta Bitcoin.com News; non abbiamo trovato commenti né di Binance né di Ethena. Reserve dice che Binance ha confermato che riacquisterà 3,38 miliardi di RSR, la quantità sottratta nell’attacco; è la versione di Reserve, non una dichiarazione di Binance. Lettura di Coindaro, che non viene da alcuna fonte: acquisti come questi, se il trasferimento di ENA lo è davvero, ricostituiscono ciò che Binance detiene a fronte dei saldi dei clienti e non recuperano le monete rubate. Intorno alle 12:00 UTC di sabato non avevamo trovato alcun risultato pubblicato dello snapshot previsto intorno alle 07:30 UTC, né un Update #3; non possiamo dire che lo snapshot sia avvenuto, né che sia fallito.

Aggiornamento del 31 ottobre 2026, 06:03 UTC: nel suo Security Incident Update #2, pubblicato su X intorno alle 19:33 UTC di venerdì e riportato da Reuters e Bitcoin.com News, Binance punta a riaprire i prelievi a tappe entro circa 34 ore, cioè intorno alle 05:30 UTC di domenica 1 novembre secondo il calcolo di CryptoNews, a controlli di sicurezza conclusi. Prevede un primo snapshot di proof of reserves entro 12 ore, intorno alle 07:30 UTC di sabato, con i risultati entro lunedì 2 novembre; all’ora di questo aggiornamento non avevamo visto né lo snapshot né un Update #3. Binance ripete di non aver trovato prove di una fuga di chiavi private («no evidence that wallet private keys were leaked»). Elliptic, in una pagina aggiornata alle 19:30 UTC di venerdì, stima che l’attaccante controlli circa 3,23 miliardi di dollari che nessun emittente può congelare, e ritiene probabile il sospetto legame con la Corea del Nord, «although the attribution is not yet certain» (l’attribuzione non è ancora certa).

Aggiornamento del 30 ottobre 2026, 18:00 UTC: il co-CEO Richard Teng ha detto in un video su X, registrato da Cointelegraph alle 14:34 UTC, che l’attaccante ha usato un meccanismo di autodistruzione («self-destruct mechanism») per distruggere strumenti e tracce, e che la delega EIP-7702 su un hot wallet non è passata dai normali controlli di approvazione di Binance. Punta a riaprire i prelievi entro 40 ore, cioè domenica 1 novembre se il servizio ricostruito supera i test, e promette una proof of reserves completa entro lunedì 2 novembre. Secondo Teng l’attacco ha colpito l’hot wallet di Binance e non i fondi dei clienti, mentre CoinDesk, leggendo la proof of reserves del 1° ottobre, trova quel wallet tra gli asset a copertura dei saldi dei clienti. Un portavoce di Binance ha detto a Cointelegraph che i 5 miliardi di dollari in token corrispondenti sono custoditi dall’exchange, senza fornire indirizzi di wallet: una verifica esterna ancora non c’è.

Aggiornamento del 30 ottobre 2026, 12:00 UTC: Binance ha detto venerdì di aver accantonato più di 6,34 miliardi di dollari di fondi della società per coprire le perdite, secondo Reuters e Cointelegraph, di cui circa 5 miliardi già detenuti nei token colpiti, il tutto senza contare i circa 3 miliardi congelati. Segnalava anche «ulteriori punti di violazione» oltre al portatile dell’ingegnere, e il co-CEO Richard Teng diceva che l’attacco non era stato un’azione da «un clic». Chainalysis attribuisce l’hack a TraderTraitor in un proprio post e conta circa 2,8 miliardi congelati, mentre Lookonchain rileva circa 158 milioni di dollari di altcoin scambiate in ETH. Alle 12:00 UTC circa i prelievi erano ancora in pausa, e il conteggio di Binance era fermo a 45 ore.