Il gigante delle criptovalute Binance ha annunciato giovedì che un incidente di sicurezza sulla sua piattaforma ha interessato attività per un valore di circa 6,3 miliardi di dollari. Il più grande exchange di criptovalute al mondo ha dichiarato che quasi 3 miliardi di questi fondi sono stati finora bloccati on-chain. In risposta alla violazione, gli emittenti di stablecoin Tether e Circle hanno riferito di aver bloccato rispettivamente oltre 1,567 miliardi di USDT e 800 milioni di USDC. Inoltre, il Consiglio per la Sicurezza di Arbitrum ha eseguito una transazione per bloccare circa 30,5 milioni di dollari collegati allo sfruttamento.

L'indagine iniziale di Binance suggerisce che l'incidente abbia coinvolto il laptop compromesso di un ingegnere DevOps, il che ha permesso a un attaccante di accedere a un contenitore di servizio e inviare transazioni di prelievo non autorizzate. L'exchange ha chiarito che non vi sono prove di una fuga delle chiavi private del portafoglio. Per mitigare ulteriori perdite, Binance ha sospeso temporaneamente i depositi e i prelievi, ha revocato le autorizzazioni degli indirizzi interessati e ha coinvolto le forze dell'ordine e partner di intelligence blockchain. L'azienda ha confermato che coprirà tutte le perdite utilizzando il suo Fondo di Sicurezza per gli Utenti (SAFU) e fondi interni, con la ripresa dei prelievi prevista entro 48 ore dopo un aggiornamento della sicurezza.

Questo evento segna il più grande furto di criptovalute registrato finora, superando il furto da 1,5 miliardi di dollari da Bybit avvenuto nel febbraio 2025. L'azienda di intelligence blockchain Chainalysis ha stimato l'importo rubato in circa 5,912 miliardi di dollari al momento del furto, quasi quattro volte la somma sottratta nel secondo più grande furto di criptovalute. TRM Labs ha attribuito l'attacco con alta fiducia ad attori minacciosi nordcoreani, collegandolo al gruppo TraderTraitor, che era stato anche dietro il furto da Bybit del 2025 e all'hack di KelpDAO nell'aprile 2026.

Secondo TRM Labs, la preparazione per l'attacco è iniziata almeno 36 ore prima del furto. Gli attaccanti hanno preso il controllo di un hot wallet di Binance inviando una singola transazione contenente 50 autorizzazioni pre-firmate. Questa tecnica ha coinvolto la preparazione di firme per conteggi di transazioni consecutivi per garantire la validità quando eseguite. Tre minuti e 24 secondi dopo la delega, l'operatore ha istruito l'hot wallet a trasferire il suo intero saldo, inclusi 167.464 ETH e 63 token come 1,615 miliardi di USDT, a un indirizzo controllato dall'attaccante.

Il capo scienziato di Elliptic, Dr. Tom Robinson, ha valutato che il furto è stato perpetrato da attori collegati alla Corea del Nord, citando tecniche simili e la commistione dei fondi derivanti dal recente exploit di Bitget. Elliptic ha notato che, invece di rubare le chiavi private, l'attaccante ha manipolato i sistemi stessi di Binance per firmare transazioni a suo nome, un metodo che ricorda il furto da Bybit in cui sono stati compromessi infrastrutture e personale invece della crittografia. Finora, Tether, Circle, Ripple e World Liberty Financial hanno bloccato circa 2,67 miliardi di dollari in stablecoin, mentre Arbitrum ha bloccato circa 30 milioni di dollari in ETH e ARB.

Nonostante questi sforzi, l'attaccante mantiene il controllo di oltre 420.000 ETH e 18.270 BTC, valutati a circa 2,4 miliardi di dollari, insieme a importi minori su altre catene. Elliptic ha riferito che, sebbene 2,84 miliardi di fondi siano stati bloccati, l'attaccante controlla circa 3,33 miliardi di dollari in attività distribuiti su circa 43 indirizzi di portafoglio che non possono essere bloccati da un emittente. Questo include 511.861 ETH, 18.270 BTC, 233 milioni di XRP e 670 milioni di TRX.

I collegamenti con la Corea del Nord si basano su diversi fattori, inclusa la commistione dei fondi derivanti dagli exploit di Binance e Bitget nello stesso indirizzo Ethereum. Gli attaccanti hanno utilizzato piccoli prelievi da Tornado Cash per finanziare i loro portafogli ed eseguito transazioni pre-firmate in un'unica ondata, tecniche osservate in precedenti hack attribuiti al regime. Tuttavia, Elliptic ha invitato alla cautela nell'attribuzione a causa di deviazioni nei modelli di riciclaggio; a differenza dei tipici gruppi nordcoreani che scambiano stablecoin per asset nativi entro pochi minuti, questo attaccante ha detenuto gli USDT rubati per 37 a 46 minuti senza convertirne la maggior parte e ha utilizzato market maker e protocolli di prestito DeFi in modo diverso rispetto a quanto visto dopo l'hack di Bybit.

Il co-CEO di Binance, Richard Teng, ha dichiarato che sebbene l'incidente possa essere iniziato con un laptop compromesso, l'attacco è stato complesso e non una semplice azione con un clic. L'azienda ha successivamente rivelato che la sua indagine in corso ha scoperto punti aggiuntivi di violazione oltre al compromissione iniziale del laptop. Binance sta coordinando con le forze dell'ordine per confermare l'identità dei criminali e portarli alla giustizia.

Fonti: The Hacker News.