L’attacco a SignalPlus è stato piccolo e circoscritto, stando al racconto della società stessa. SignalPlus, piattaforma di trading di opzioni crypto con sede a Hong Kong, ha scritto in un post su X giovedì 5 novembre che un intruso era entrato nella sua rete interna nelle prime ore di mercoledì 4 novembre e aveva sottratto meno di 82.000 dollari da un piccolo numero di conti utente. L’azienda dice che sta restituendo blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il denaro. Lo stesso giorno Binance e Deribit hanno revocato per precauzione le chiavi API dei clienti collegate a SignalPlus, tagliando fuori lo strumento dai conti su entrambi gli exchange.
Questo è tutto ciò che le tre società raccontano dell’episodio. Nessuno dei due exchange segnala una violazione dei propri sistemi: Binance ha scritto che «i sistemi di Binance non sono interessati» e che «i fondi degli utenti restano al sicuro», come riporta CryptoPotato, mentre Deribit ha detto di non avere indizi di un coinvolgimento dei propri sistemi o dei propri dati. Nessuna azienda, investigatore o società di sicurezza ha indicato un responsabile, e nessuna fonte collega l’intrusione in SignalPlus al ben più grave hack di Binance del 29 ottobre.
Una nota sulle fonti. I comunicati di SignalPlus, Binance e Deribit sono usciti su X, che non siamo riusciti ad aprire. Quanto segue si appoggia quindi sui giornali che li citano o li incorporano, in particolare crypto.news, CryptoPotato, CoinInsider e Bitcoin.com News, oltre al riepilogo di Binance.
Hack SignalPlus: meno di 82.000 dollari persi, rimborsi in corso
SignalPlus quantifica le perdite in «meno di 82.000 dollari», riferisce crypto.news. Sono stati colpiti solo i conti che non avevano impostato la whitelist degli IP sulle chiavi API dell’exchange, e la società parla di «un piccolo numero di conti» senza indicare una cifra. Dice di aver iniziato a rimborsare gli utenti colpiti caso per caso e si è impegnata a risarcirli tutti. Chi ritiene di aver perso fondi è invitato a contattare SignalPlus, che verificherà la richiesta.
L’azienda ha anche ammesso una lacuna nella propria impostazione: non aveva reso obbligatoria la whitelist degli IP per le chiavi degli exchange collegate dai suoi utenti. «Ci assumiamo la responsabilità di questa svista», ha scritto SignalPlus, citata da crypto.news. I servizi restano sospesi in modalità manutenzione durante una revisione di sicurezza, con un ritorno graduale atteso «nei prossimi giorni», secondo crypto.news. Non è stata data alcuna data.
SignalPlus ha inoltre precisato agli utenti che una chiave disattivata non significa che il conto sull’exchange o i suoi fondi siano stati compromessi, secondo CoinInsider. Le revoche sono state applicate a tutti i conti collegati, fossero stati toccati o no.
Un account Telegram rubato, un falso invito a Teams e il computer di un ingegnere
Secondo il racconto di SignalPlus, l’attacco non è partito da SignalPlus. È partito dall’account Telegram di un referente di un fornitore tecnologico esterno, di cui l’aggressore aveva preso il controllo. Il fornitore non è nominato.
Spacciandosi per quel referente, l’aggressore ha inviato a un ingegnere di SignalPlus un invito a una riunione su Microsoft Teams. L’invito era falso, e accettarlo ha compromesso il computer dell’ingegnere. L’intruso è poi rimasto in silenzio per un po’. Nelle prime ore del 4 novembre ha cominciato a usare i diritti di accesso dell’ingegnere per spostarsi nella rete interna dell’azienda. SignalPlus afferma che il suo team ha individuato l’attività, l’ha bloccata e ha chiuso i varchi utilizzati.
L’azienda elenca le correzioni previste: requisiti più severi per l’accesso alle API, maggiore sicurezza sui dispositivi di sviluppo, controlli di accesso interni più stretti e modifiche alla gestione delle chiavi. Dice inoltre che condividerà più informazioni sulle minacce con exchange, partner tecnologici e società di sicurezza.
Nei comunicati mancano diversi punti. SignalPlus non ha detto quale malware sia stato usato, quanti utenti siano stati coinvolti, né se le chiavi API dei clienti o i relativi segreti siano state copiate. Bitcoin.com News osserva che non è stato stabilito se gli aggressori abbiano avuto accesso alle credenziali dei clienti.
Binance e Deribit tagliano le chiavi, CZ invita a revocarle anche altrove
SignalPlus funziona tramite le API degli exchange. I clienti tengono i propri asset sull’exchange e danno allo strumento una chiave che gli permette di leggere i saldi e di piazzare ordini al loro posto. SignalPlus, nata nel 2021, offre dashboard per il trading di opzioni su Deribit, Binance, Bybit, OKX e Coincall, secondo CryptoPotato, mentre Bitcoin.com News la descrive come una fintech che propone strumenti di trading assistiti dall’intelligenza artificiale, analisi sulle opzioni ed esecuzione degli ordini.
Appena SignalPlus ha segnalato il problema, Binance ha rimosso tutte le chiavi API collegate alla piattaforma come misura precauzionale immediata, afferma il riepilogo di Binance. Ha chiesto agli utenti di SignalPlus di accedere direttamente a Binance per controllare posizioni e ordini aperti, di attendere che SignalPlus confermi la risoluzione completa prima di collegare di nuovo una chiave e di attivare la whitelist degli IP. Ha chiesto anche a ogni piattaforma di terzi integrata con Binance di rivedere i propri controlli di sicurezza, di sorvegliare le attività anomale e di contattare l’exchange per qualsiasi dubbio. La cofondatrice di Binance Yi He ha rilanciato la stessa richiesta, secondo crypto.news.
Deribit, tra le principali piazze per opzioni e futures crypto, ha fatto lo stesso il 5 novembre. Ha revocato le chiavi API dei clienti collegate a SignalPlus e ha avvertito che il trading, il monitoraggio e le automazioni gestiti tramite lo strumento su Deribit si erano fermati. Il suo consiglio agli utenti coincide con quello di Binance: controllare ordini e posizioni, attivare l’allowlist degli IP, aspettare SignalPlus.
Il cofondatore di Binance Changpeng Zhao è andato oltre su X. «Se usi SignalPlus su un’altra piattaforma di exchange, è il momento di revocare tutte le tue chiavi API», ha scritto, come riporta CryptoPotato. Ha aggiunto che in generale si raccomanda di non conservare chiavi API presso piattaforme di terzi, riferisce Bitcoin.com News. Nessuna fonte dice che Bybit, OKX o Coincall abbiano revocato da parte loro le chiavi di SignalPlus, quindi su quelle piattaforme il compito spetta all’utente.
Nessun legame con l’hack di Binance del 29 ottobre
La tempistica invita a cercare un collegamento, e le fonti non ne offrono. Bitcoin.com News scrive che Binance non descrive alcun legame accertato tra il caso SignalPlus e il furto di ottobre, e che nessuna prova unisce i due episodi. La violazione di ottobre ha colpito l’infrastruttura di wallet di Binance; questa riguarda chiavi custodite da uno strumento indipendente. L’analisi post-mortem di Binance del 3 novembre parlava di finti colloqui di assunzione, software di sviluppo malevolo e uno strumento interno di intelligenza artificiale compromesso, ricorda crypto.news. L’FBI ha attribuito il furto di ottobre al gruppo nordcoreano TraderTraitor. Nessuno ha attribuito l’intrusione in SignalPlus a quel gruppo né a un altro.
| Data (2026) | Evento | Fonte |
|---|---|---|
| 29 ottobre | Furto dall’hot wallet di Binance, circa 6,3 miliardi di dollari; nessun legame con SignalPlus accertato | Bitcoin.com News |
| 4 novembre, prime ore | L’intruso usa l’accesso di un ingegnere di SignalPlus per raggiungere la rete interna; viene bloccato | SignalPlus tramite crypto.news |
| 5 novembre | Binance e Deribit revocano tutte le chiavi API collegate a SignalPlus; SignalPlus dichiara perdite inferiori a 82.000 dollari | Binance, Deribit, SignalPlus tramite CryptoPotato e crypto.news |
| 6 novembre | I servizi di SignalPlus restano sospesi, ritorno graduale atteso, nessuna data | CoinInsider |
Chiavi API: cosa controllare ora, tra revoca, rotazione e whitelist
Una chiave API è un lasciapassare. Chi la possiede può fare sul tuo conto exchange tutto ciò che la chiave consente, senza effettuare l’accesso e senza secondo fattore. È il compromesso che sta dietro a ogni bot di trading, portafoglio di monitoraggio e dashboard per le opzioni, ed è il motivo per cui la nostra guida su come funzionano gli exchange centralizzati considera l’accesso al conto parte della custodia.
Per chi ha collegato SignalPlus o uno strumento simile, i passaggi che discendono dai consigli degli exchange sono semplici:
- Apri la pagina di gestione delle API di ogni exchange usato con lo strumento ed elimina le chiavi che non ti servono più, comprese quelle su piattaforme che non hanno agito, come Bybit, OKX o Coincall.
- Se in futuro ricolleghi uno strumento, crea una chiave nuova invece di riutilizzare una vecchia, e falla solo dopo che il fornitore ha confermato la soluzione del problema, come chiedono Binance e Deribit.
- Limita ogni chiave a un breve elenco di indirizzi IP (whitelist, o allowlist su Deribit). SignalPlus dice che sono stati colpiti solo i conti che non l’avevano.
- Lascia disattivato il permesso di prelievo. Una dashboard o uno strumento di esecuzione deve leggere e fare trading, non spostare fondi all’esterno.
- Controlla ordini aperti e posizioni direttamente sull’exchange, perché gli ordini automatici piazzati dallo strumento potrebbero essere ancora attivi.
Altre volte gli exchange hanno tagliato fuori uno strumento di questo tipo. Alla fine del 2022 gli utenti del fornitore di bot di trading 3Commas hanno segnalato operazioni non autorizzate sui loro conti FTX e Binance. L’11 dicembre il suo CEO, Yuriy Sorokin, aveva contestato gli screenshot che incolpavano l’azienda. Il 28 dicembre, giorno in cui Zhao si è detto «ragionevolmente sicuro» che le chiavi di 3Commas fossero trapelate, Sorokin ha confermato l’autenticità dei file diffusi da un hacker e ha chiesto a Binance, KuCoin e ad altri exchange di revocare tutte le chiavi collegate a 3Commas, ha riferito Cointelegraph. A ottobre l’attacco informatico a GMO Internet in Giappone ha coinvolto accessi salvati su server di trading in affitto. Il rischio sta in chi conserva le chiavi, e la restrizione degli IP è ciò che limita il danno quando trapelano.
Come funziona il malware delle false riunioni, secondo Mandiant
Nessuna fonte collega l’intruso di SignalPlus a un gruppo noto, e il comunicato non nomina alcun malware. La tecnica descritta, però, è ben documentata. In un rapporto pubblicato il 9 febbraio 2026, Mandiant, la divisione di Google, ha descritto un attacco a una fintech crypto da parte di UNC1069, un attore con motivazioni finanziarie che «si sospetta con alta confidenza abbia un legame con la Corea del Nord».
In quel caso la vittima era stata avvicinata dall’account Telegram dirottato di un dirigente del settore crypto. Dopo qualche scambio cordiale è arrivato un link Calendly per una chiamata di 30 minuti su una pagina Zoom contraffatta. Durante la chiamata, un finto problema audio ha spinto la vittima a incollare nel computer dei comandi di «risoluzione dei problemi», un trucco noto come ClickFix. Quei comandi hanno installato un malware. Mandiant ha contato sette famiglie di malware su un solo computer macOS, che rubavano credenziali del portachiavi (Keychain), cookie del browser e accessi salvati, oltre ai dati di Telegram.
Il rapporto di Mandiant riguarda Zoom, non Teams, e una vittima diversa. Ciò che conta per i lettori è lo schema: l’account di un contatto fidato, un link a una riunione, poi la richiesta di eseguire o installare qualcosa. Verificare un invito inatteso su un secondo canale, e rifiutare qualsiasi «soluzione» che chieda di incollare un comando, interrompe la catena fin dall’inizio.
Cosa SignalPlus non ha ancora detto
SignalPlus non ha nominato il fornitore il cui referente è stato impersonato, né il malware. Non ha detto quanti conti siano stati colpiti, quanto abbia già rimborsato, né se dei segreti API siano usciti dai suoi sistemi. Non ha dato una data per la ripresa dei servizi, e nessun altro exchange ha detto se abbia agito. Binance e Deribit hanno chiesto agli utenti di attendere che SignalPlus confermi la risoluzione completa prima di ricollegarsi. Fino ad allora, ogni chiave ricollegata allo strumento è una chiave che gli exchange hanno chiesto di non creare.