I risultati delle prime indagini sul grande furto di criptovalute a Binance

Binance, la più grande piattaforma al mondo per lo scambio di criptovalute, ha diffuso i risultati delle prime indagini interne condotte sul grave attacco informatico subìto nella notte fra giovedì e venerdì, che ha portato al furto di criptovalute del valore di 5,6 miliardi di euro. Circa metà di questi è stata congelata e sarà recuperata, ma il resto è stato sottratto e sarà rimborsato a proprie spese dalla piattaforma.

Binance ha detto che l’attacco informatico è stato messo in atto in più fasi e sfruttando vari metodi: un download sul computer di un dipendente, la violazione di un software interno, metodi avanzati per aggirare le autorizzazioni per fare movimenti economici e tecniche di “ingegneria sociale”, con cui i criminali informatici hanno ingannato un dipendente facendogli credere che fossero delle persone benintenzionate.

L’operazione era iniziata a giugno del 2026, quando un impiegato, chiamato dall’azienda «ingegnere A», aveva scaricato sul proprio computer di lavoro un file manomesso che conteneva un malware (un programma malevolo). Il team di sicurezza di Binance aveva rilevato l’anomalia, sostituito il computer e cambiato le credenziali di accesso, ma nel frattempo i criminali avevano avuto accesso alle informazioni sul ruolo di ingegnere A e dei suoi colleghi.

A settembre un altro dipendente, chiamato «ingegnere B», era stato contattato su una piattaforma di annunci di lavoro da una persona che si presentava come un responsabile di progetto per un’altra azienda, che in realtà non esiste. Il profilo di ingegnere B sulla piattaforma includeva il fatto che lavorasse per Binance. Il finto responsabile aveva organizzato per lui un primo colloquio con un finto addetto alle risorse umane, e poi un secondo con un finto amministratore delegato.

Durante i colloqui il finto addetto alle risorse umane aveva condiviso con ingegnere B un profilo social che includeva anche foto e video personali, in modo tale da conquistarsi la sua fiducia: questa è la parte che Binance attribuisce all’ingegneria sociale e che secondo l’azienda è stata «più avanzata ed elusiva» rispetto a tentativi simili fatti in passato.

Durante il secondo colloquio era stato chiesto a ingegnere B di scaricare un file con un malware che aveva avviato una serie di operazioni non autorizzate. Binance ha detto che il malware aveva messo in atto con successo tecniche «sofisticate» per sfuggire ai controlli di sicurezza, e aveva sostituito uno strumento dell’azienda con uno che poteva eseguire i comandi dei criminali informatici. Anche le tracce lasciate dall’operazione erano state nascoste.

Sfruttando la violazione del computer di ingegnere B, gli hacker avevano poi preso il controllo anche dei computer di ingegnere A e di un terzo dipendente, «ingegnere C», tramite uno strumento aziendale basato sull’intelligenza artificiale.

Il 29 ottobre poi gli hacker avevano usato le credenziali rubate a ingegnere A per installare un programma sul computer di ingegnere C. Con questo erano riusciti ad avere accesso a diversi “hot wallet”, portafogli digitali sempre connessi a internet usati per conservare e movimentare le criptovalute. Binance ha comunicato nello specifico il tipo e le quantità delle criptovalute sottratte.

La piattaforma si era rapidamente accorta dei trasferimenti anomali, e aveva cercato di bloccarli. La sospensione dei prelievi era stata però inefficace perché i criminali avevano sfruttato un particolare tipo di autorizzazione che permette di fare alcuni movimenti della criptovaluta Ether (una delle più diffuse) e che funziona in maniera indipendente da quelle usate ordinariamente da Binance. Per bloccare del tutto i movimenti la piattaforma aveva dovuto ottenere a sua volta altre autorizzazioni, cosa che ha rallentato il processo.

Binance infine ha elencato le misure prese dopo il furto. Fra le altre cose ha detto di aver ricostruito il sistema dei portafogli digitali, degli strumenti AI interni e dei controlli sugli accessi; ha sostituito i dispositivi coinvolti nell’attacco; cambiato le credenziali di accesso; eseguito ampi controlli di sicurezza; migliorato la capacità di rilevare anomalie.

L’FBI ha attribuito l’attacco a un gruppo di hacker legato al regime della Corea del Nord. Binance ha detto che nel 2026 ha rilevato e prevenuto 57 sospetti attacchi informatici legati alla Corea del Nord, compiuti con tecniche analoghe a quelle impiegate nel furto: finti colloqui di lavoro, software per la programmazione scaricabili online manomessi, estensioni per browser e applicazioni per le riunioni online, campagne di ingegneria sociale per sottrarre credenziali di accesso.

– Leggi anche: Perché si sospetta della Corea del Nord per l’enorme furto a Binance?