Binance derubata di 6,3 miliardi di dollari, quasi tutti in appena 20 minuti

Binance, il più grande exchange di criptovalute al mondo, ha perso circa 6,3 miliardi di dollari a causa di hacker che hanno svuotato i suoi portafogli online su dieci blockchain, in gran parte nell’arco di circa 20 minuti. È il più grande furto di criptovalute mai registrato, circa quattro volte superiore al precedente record di 1,5 miliardi sottratti all’exchange rivale Bybit. Binance ha sospeso i prelievi mentre cerca di capire come gli aggressori siano riusciti a entrare: per ora, chiunque abbia criptovalute sulla piattaforma non può trasferirle altrove.

L’exchange afferma che i clienti non dovranno farsi carico della perdita. «Binance coprirà tutte le perdite con il fondo SAFU e con i fondi dell’azienda. I fondi degli utenti sono al sicuro», ha dichiarato in una nota, riferendosi al Secure Asset Fund for Users, una riserva di emergenza creata proprio per far fronte a situazioni di questo tipo. I depositi funzionano normalmente. Il problema riguarda l’accesso: finché i prelievi non saranno riattivati, il saldo su Binance è qualcosa che si può guardare, ma non trasferire altrove. È proprio questo il rischio che ci si assume quando si lasciano le criptovalute su un exchange invece che in un portafoglio sotto il proprio controllo.

La prima spiegazione fornita da Binance indicava una singola macchina. L’indagine iniziale suggeriva che il computer portatile compromesso di un ingegnere DevOps avesse permesso a un aggressore di accedere a un container di servizio e inviare transazioni di prelievo non autorizzate. Ore dopo, l’azienda ha ampliato il quadro, dichiarando di aver «scoperto ulteriori punti di compromissione» e definendo l’incidente un attacco complesso. Il co-amministratore delegato Richard Teng ha scritto che «l’aggressore non si è limitato a sfruttare i permessi di un singolo ingegnere e non si è trattato di un’unica azione “one-click”». Binance afferma di non aver trovato prove della fuga di una chiave privata di un portafoglio.

Gli investigatori esterni descrivono un colpo preparato in anticipo. La società di analisi blockchain TRM Labs ha tracciato circa 6,36 miliardi di dollari usciti dai portafogli Binance su Ethereum, Bitcoin, Tron, XRP Ledger, Solana e altre cinque reti, individuando anche prove dell’esecuzione del codice d’attacco su altri portafogli, diverse ore prima del furto. Poiché portafogli con tipi di chiavi e schemi di firma diversi hanno prodotto tutti firme valide per l’aggressore nell’arco di circa mezz’ora, TRM ritiene che quest’ultimo abbia probabilmente acquisito la capacità di indurre il sistema di firma di Binance ad approvare le transazioni da lui scelte.

TRM attribuisce l’attacco, con un alto grado di certezza, a TraderTraitor, un’unità di hackeraggio nordcoreana legata allo Stato che l’FBI ha ritenuto responsabile del furto ai danni di Bybit. Anche Chainalysis è giunta alla stessa conclusione. Binance non ha fatto il nome di alcun responsabile.

La corsa a congelare il denaro è iniziata nel giro di pochi minuti. Le società che emettono stablecoin possono bloccarle, e lo hanno fatto: Tether ha congelato circa 1,77 miliardi di USDT, Circle circa 825 milioni di USDC e Ripple 40,5 milioni di RLUSD. Nel frattempo, il Security Council di Arbitrum ha sottratto al portafoglio dell’aggressore sulla propria rete circa 30 milioni di dollari, secondo TRM. Binance stima che l’importo complessivo congelato ammonti a circa 3 miliardi. Bitcoin ed Ether non hanno un emittente in grado di bloccarli: per questo l’aggressore si è affrettato a convertire le stablecoin in Ether, vendendone una parte con uno sconto superiore al 10% pur di sottrarle alla portata degli altri.

È qui che le rassicurazioni iniziano a vacillare. TRM stima che l’aggressore controlli ancora oltre 420.000 ETH e 18.270 BTC, per un valore di circa 2,4 miliardi di dollari che nessuno può congelare, e prevede che le prossime mosse passeranno da bridge cross-chain, servizi di scambio e broker over-the-counter. Binance non ha detto quale quota della sua riserva di emergenza sarà assorbita dalla perdita e non ha pubblicato un’analisi della causa originaria. Per ora, la promessa che i fondi degli utenti siano al sicuro si basa sulla parola dell’azienda, e parlare di «ulteriori punti di compromissione» non equivale a dire che la violazione è stata contenuta.

Gli exchange sono bersagli allettanti perché custodiscono le monete dei clienti in portafogli hot, sempre connessi a Internet per consentire l’elaborazione rapida dei prelievi. Il mese scorso Bitget ha perso 387,5 milioni di dollari in un attacco che ha attribuito, a sua volta, alla Corea del Nord. Anche il mercato più ampio ne ha risentito: dopo la notizia, Bitcoin ed Ether sono scesi e, secondo CNN, a metà giornata a Hong Kong venivano scambiati con ribassi compresi tra il 2 e il 3%.

La sospensione apre anche una finestra per i truffatori. Binance ha invitato i clienti a «fare attenzione alle truffe» e a «non fidarsi di link, messaggi o richieste di informazioni sull’account non ufficiali». L’exchange non ha annunciato alcuna procedura di rimborso o recupero che richieda password, codici di verifica o dettagli del portafoglio: perciò, qualsiasi messaggio prometta di accelerare un prelievo è una truffa, qualunque logo riporti. Binance non ha detto se l’accesso verrà ripristinato prima in qualche Paese o su una rete specifica.

I prelievi sono sospesi dalle 22:15 UTC circa del 29 ottobre. In un aggiornamento diffuso la mattina del 30 ottobre, Binance ha dichiarato di essere ancora in linea con i tempi previsti per riattivarli entro circa 45 ore, il che indica l’inizio di domenica 1° novembre, anche se non ha precisato se tutte le reti riapriranno contemporaneamente. L’azienda ha promesso di aggiornare la Proof of Reserves una volta completate le riparazioni e di pubblicare un’analisi tecnica a posteriori al termine dell’indagine.

Fino ad allora, il più grande exchange del mondo delle criptovalute chiede ai suoi clienti proprio ciò che le criptovalute erano state concepite per rendere superfluo: fiducia.

Tag: sicurezza informatica, criptovalute, Binance, Bybit, Richard Teng, TraderTraitor