Bitcoin e decentralizzazione
Binance, una settimana dopo l'hack da 6,3 miliardi: mercati, prelievi e rimborsi
Il furto più grande della storia delle criptovalute, sette giorni dopo: cosa è successo, come hanno reagito Bitcoin e i mercati, quanti fondi sono usciti e cosa insegna sulla custodia.
Giovedì 29 ottobre, in circa venti minuti, dagli hot wallet di Binance sono usciti asset per circa 6,3 miliardi di dollari. È il furto più grande mai registrato nel mondo delle criptovalute: più di quattro volte l’attacco a Bybit del 2025, che con 1,5 miliardi deteneva il record precedente. È passata una settimana. Ecco a che punto siamo, con i numeri che si conoscono e quelli che ancora mancano.
Cosa è successo
Secondo la ricostruzione raccolta su Wikipedia, che incrocia le analisi di TRM Labs e Chainalysis, l’attacco è iniziato tra le 20:05 e le 20:20 UTC del 29 ottobre e ha colpito dieci blockchain. Una singola transazione su Ethereum ha superato da sola i 2,5 miliardi.
Il punto d’ingresso, per quanto dichiarato finora da Binance, è stato il portatile compromesso di un ingegnere. Le ricostruzioni successive parlano di mesi di preparazione: finti colloqui di lavoro, videochiamate e codice malevolo che ha dato accesso ai computer di alcuni sviluppatori, tra cui uno con i permessi per distribuire software. Il CEO Richard Teng ha spiegato che gli attaccanti hanno sfruttato EIP-7702, lo standard di Ethereum che permette a un indirizzo di delegare permessi a un contratto: per questo sospendere i prelievi non è bastato a fermare l’attacco, perché i permessi erano concessi direttamente sulla blockchain.
L’FBI ha attribuito il furto alla Corea del Nord, in particolare al gruppo TraderTraitor, ritenuto parte di Lazarus. Il 3 novembre Kim Yo Jong ha negato ogni coinvolgimento.
Cosa è stato rubato, per blockchain
Valore in miliardi di dollari al momento del furto
Dove sono finiti i soldi
Qui sta la differenza tra le monete. Circa 3 miliardi erano stablecoin, cioè USDT e USDC: Tether e Circle possono bloccarle, e lo hanno fatto già la sera stessa, a partire dalle 21:01 UTC. Circle da sola dichiara di aver congelato più di 1,1 miliardi di USDC.
I bitcoin, invece, non si possono congelare: nessuno ha un tasto per farlo. Lo stesso vale per ether e per gran parte degli altri asset. Secondo Elliptic gli attaccanti hanno distribuito i fondi su circa 12.000 indirizzi per rendere più difficile seguirli; al 30 ottobre non risultavano ancora conversioni in moneta tradizionale, un processo che può richiedere settimane o anni.
Lo stato dei fondi rubati al 30 ottobre
Circa 6,3 miliardi di dollari in totale
- Stablecoin congelate ~3,0 mld
- Bitcoin, non congelabili ~1,5 mld
- Altri asset ancora agli attaccanti ~1,8 mld
Come si è mossa Binance
La risposta dell’exchange è stata rapida, almeno sulla carta: fermare tutto, promettere di coprire le perdite con fondi propri e riaprire per gradi.
Sette giorni, giorno per giorno
- L'attacco, in circa venti minuti. Binance sospende scambi e prelievi; Tether e Circle iniziano a congelare.
- Binance annuncia che coprirà tutte le perdite e mette da parte 6 miliardi. Bitcoin scende fino a 76.400 dollari.
- Reintegrato il 90% degli asset rubati.
- Dalle 6:00 UTC riaprono i prelievi su 15 reti, partendo da bitcoin. Reintegro al 95%.
- Riaprono i prelievi in dollari e dirham.
- Binance comunica il reintegro del 98%.
- Nuova fotografia delle riserve (proof of reserves) su 44 token, contro i 10 della precedente.
I fondi per il reintegro, secondo quanto riportato, arrivano dal SAFU (il fondo di emergenza creato nel 2018 proprio per questi casi), dal fondo assicurativo dei futures, dalle riserve in bitcoin e dalla tesoreria della società. Il 2% che manca riguarda token poco liquidi, che Binance dice di continuare ad acquistare sul mercato e tramite canali OTC.
Quanto dei fondi rubati Binance ha già reintegrato
La corsa agli sportelli che (per ora) non c’è stata
La domanda più importante era una: alla riapertura, i clienti sarebbero scappati in massa? Nelle prime nove ore e mezza, tra le 6:00 e le 15:30 UTC del 1 novembre, Binance ha processato 4,65 miliardi di prelievi contro 1,01 miliardi di depositi.
Prelievi e depositi alla riapertura
1 novembre, 6:00–15:30 UTC, in miliardi di dollari
- 2,1%degli asset totali (171 mld) uscito il primo giorno
- ~3%uscita netta al 2 novembre, circa 4,9 mld (DefiLlama)
Sono cifre enormi in assoluto, ma piccole rispetto alla dimensione dell’exchange. Il fondatore Changpeng Zhao ha commentato su X: “98% choose to stay!”, cioè il 98% resta. È un modo di leggere il dato, quello più favorevole a Binance: va ricordato che la riapertura è avvenuta a fasi, rete per rete, quindi non tutti potevano ritirare tutto fin da subito.
Come hanno reagito i mercati
Bitcoin, che prima dell’attacco viaggiava sopra gli 80.000 dollari, è sceso del 3-5% fino a un minimo di 76.400 dollari nella notte del 30 ottobre, il livello più basso dal 18 settembre. Il token di Binance, BNB, ha fatto peggio tra le principali criptovalute: -6,2% in 24 ore.
I numeri della reazione
- 76.400 $minimo di BTC il 30 ottobre
- 1,57 mld $posizioni in derivati liquidate in 24 ore, quadruplicate rispetto al giorno prima
- 36 / 100indice Fear & Greed, da 43: zona "paura"
- −643 mln $uscite dai fondi quotati in borsa su bitcoin (spot) il 30 ottobre
Il 2 novembre bitcoin era risalito intorno ai 78.000 dollari, senza però riuscire a riprendersi la soglia degli 80.000. Oggi, 5 novembre alle 17:55 italiane, CoinGecko lo segna a 76.497 dollari (-5,1% in 24 ore), con BNB a 693 dollari ed ether a 2.267. Attenzione però a non attribuire tutto all’hack: questa settimana ci sono state anche le elezioni di metà mandato negli Stati Uniti, e le fonti consultate non collegano il calo di oggi all’hack: è probabile che pesino anche altri fattori.
Sul fronte delle autorità, oltre all’FBI si sono mossi il Secret Service americano, che lavora per rintracciare e recuperare i fondi, e la FCA britannica, che ha ricordato che Binance non è autorizzata a offrire servizi crypto nel Regno Unito e sta valutando l’impatto dell’incidente.
Cosa resta da capire
- Il rapporto completo sulle riserve. La nuova proof of reserves su 44 token è stata scattata il 4 novembre, ma il calcolo richiede da 50 a 60 ore: i risultati non sono ancora noti. E una proof of reserves è una fotografia di un giorno, non una garanzia per il giorno dopo.
- I bitcoin rubati. 18.270 BTC non congelabili restano in mano agli attaccanti. Se e quando li muoveranno verso servizi di cambio, sarà il momento in cui potrebbero essere intercettati.
- Le conseguenze regolamentari. Un attacco di questa scala difficilmente resterà senza seguito, ma per ora non ci sono provvedimenti annunciati.
La lezione, al di là di Binance
Questa volta i clienti, stando a quanto dichiarato, non perderanno nulla, perché Binance aveva le riserve per coprire un buco da 6 miliardi. È una buona notizia, ma è anche il punto: la sicurezza dei tuoi fondi su un exchange dipende dalla solidità e dalla buona volontà dell’exchange. Per una settimana nessuno ha potuto prelevare, e non per scelta propria.
L’attacco, poi, non è partito da una falla crittografica, ma da una persona: un colloquio di lavoro finto, un computer infettato. La catena si spezza quasi sempre nel suo anello umano.
Non è una ragione per avere paura, ma per scegliere: quanto di ciò che possiedi è giusto lasciare in custodia a terzi, e quanto vuoi controllare da te?
Se vuoi approfondire la differenza, ne parlo in Custodial o non-custodial? Chi ha davvero le chiavi.
Contenuto a scopo informativo e divulgativo: non costituisce consulenza finanziaria, fiscale o legale.