6,3 miliardi di dollari in criptovalute. È il bottino del maxi-furto segnalato da Binance, che ha sospeso temporaneamente prelievi e depositi su diverse reti e ha dichiarato che coprirà le perdite.
Una parte rilevante degli asset è stata congelata, mentre proseguono le indagini sull’origine della violazione.
Cosa è successo
Le prime transazioni sospette sono state rilevate il 29 ottobre, intorno alle 20:05 UTC. In pochi minuti sono usciti fondi da wallet Binance su reti come XRP Ledger, Ethereum, Bitcoin, Tron e Solana; ulteriori movimenti sono proseguiti nelle ore successive.
Ethereum ha registrato la quota maggiore, inclusi USDT e USDC, mentre sono stati sottratti anche circa 18.270 bitcoin.
Binance ha avviato verifiche di sicurezza e sospeso temporaneamente depositi e prelievi su più reti. La società ha affermato che i fondi degli utenti sono al sicuro e che coprirà le perdite con risorse aziendali. Ha inoltre annunciato un’indagine e la pubblicazione di un’analisi tecnica una volta verificati i fatti.
Il possibile punto di accesso
Secondo la ricostruzione iniziale di Binance, l’attacco potrebbe essere partito dal computer compromesso di un ingegnere DevOps, che avrebbe consentito l’accesso a un ambiente operativo e l’invio di transazioni di prelievo non autorizzate. L’azienda ha precisato di non aver trovato evidenze di chiavi private sottratte, ma ha segnalato che l’operazione sarebbe stata complessa e legata a più fattori.
Gli analisti descrivono un possibile abuso di EIP-7702 su Ethereum: autorizzazioni firmate in anticipo avrebbero consentito a un contratto controllato dagli aggressori di svuotare un hot wallet e intercettare successivi depositi. La firma valida delle transazioni su più reti suggerisce inoltre un accesso ai sistemi di autorizzazione, non necessariamente alle chiavi in sé.
Fondi congelati e attribuzione
Tether, Circle, Ripple e altri emittenti hanno congelato stablecoin per miliardi di dollari. Il consiglio di sicurezza di Arbitrum ha inoltre bloccato asset sulla propria rete. Le cifre variano secondo l’orario e il perimetro di conteggio: TRM stima circa 2,7 miliardi di dollari congelati, mentre Elliptic ne ha verificati 2,84 miliardi. Una parte consistente del valore sottratto resta però in asset come bitcoin ed ether, che non possono essere congelati da un emittente centralizzato.
TRM attribuisce l’attacco con elevata confidenza al gruppo TraderTraitor, collegato alla Corea del Nord; anche Elliptic ritiene probabile una responsabilità nordcoreana. Si tratta, tuttavia, di valutazioni di società di analisi: non risultano conferme ufficiali e Binance non ha ancora indicato un responsabile.
Ametrano, CheckSig: manca cultura della custodia
«Non è solo un hack – commenta Ferdinando Ametrano, CEO di CheckSig -, il vero problema è la cultura della custodia. Da quanto sappiamo, l’attacco è stato condotto tramite il laptop compromesso di un ingegnere DevOps. Non risultano sottratte chiavi private: il sistema di firma ha firmato ciò che gli veniva chiesto, senza un controllo indipendente. Sui bitcoin nessuno può intervenire a posteriori: la sicurezza deve essere tutta nella prevenzione: nessun singolo punto (persona, laptop o servizio) deve poter spostare i fondi da solo. Ogni componente automatizzato va trattato come se fosse già compromesso, limitandone i poteri».
ESET: le piattaforme crypto stanno facendo abbastanza?
«Non è soltanto preoccupante la rapidità con cui, in un colpo informatico di questo tipo, possano sparire miliardi di dollari – aggiunge Jake Moore, Global Cybersecurity Advisor di ESET – è soprattutto incredibile che un singolo laptop possa disporre di privilegi di accesso sufficienti a rendere possibile un'operazione del genere. Se un solo dispositivo è in grado di autorizzare trasferimenti di criptovalute per importi così ingenti, agli hacker è bastato individuare i sistemi e le persone giuste per portare a termine l'attacco. Sebbene le transazioni sulla blockchain siano tracciabili, recuperare le criptovalute rubate è un'operazione decisamente più complessa, soprattutto quando gli aggressori trasferiscono rapidamente i fondi attraverso numerosi wallet e diverse blockchain, ricorrendo a tecniche di elusione semplici e ben note. […] Questo episodio solleva tuttavia interrogativi importanti: le piattaforme di scambio di criptovalute stanno facendo abbastanza per proteggere gli asset dei propri clienti? E le misure di sicurezza e la regolamentazione del settore stanno evolvendo abbastanza rapidamente da tenere il passo con queste minacce?».
Nord VPN: gli utenti si proteggano
«Quando miliardi possono essere trasferiti in pochi minuti, le conseguenze di un attacco informatico ricadono rapidamente sulle persone comuni – spiega Marijus Briedis, Chief Technology Officer di NordVPN. Anche quando la piattaforma si impegna a coprire le perdite, i clienti possono trovarsi a fare i conti con l'incertezza sul destino del proprio denaro e con il blocco temporaneo dei prelievi. C'è poi un secondo rischio: i criminali informatici approfittano della confusione e della paura che si diffondono tra chi possiede criptovalute, anche su altre piattaforme. Un'email che ti avvisa che i tuoi fondi sarebbero in pericolo, un falso account di assistenza che ti offre aiuto o un messaggio che ti invita a trasferire le tue criptovalute in un "portafoglio sicuro" potrebbero nascondere un tentativo di furto. Controlla gli aggiornamenti tramite l'app di Binance o un indirizzo web che consideri attendibile. Evita i link presenti nei messaggi non richiesti e non fornire mai a nessuno la tua password, i codici di verifica o la frase di recupero del portafoglio. Qualsiasi pressione ad agire con urgenza dovrebbe indurre a prendere tempo e a verificare con attenzione la richiesta. Queste misure possono ridurre il rischio che qualcuno prenda il controllo del tuo account, ma non possono impedire una violazione della piattaforma stessa».
