L'attacco e le fasi documentate
Secondo Agenda Digitale, il 29 ottobre hacker attribuiti dall'FBI al gruppo nordcoreano TraderTraitor hanno sottratto 6,34 miliardi di dollari in asset digitali da Binance, il più grande exchange di criptovalute al mondo. Il Wall Street Journal, citato dalla fonte, riporta che la prima ondata di trasferimenti si è concentrata in circa venti minuti, con alcune operazioni completate solo dopo ore.
La ricostruzione pubblicata da Binance il 3 novembre descrive una preparazione lunga. A giugno un ingegnere del gruppo Wallet DevOps avrebbe scaricato un'installazione contraffatta di Homebrew; l'anomalia fu rilevata e il dispositivo sostituito, ma gli aggressori avevano già ottenuto informazioni sui ruoli interni. A settembre un secondo ingegnere sarebbe stato adescato da falsi selezionatori, che gli avrebbero fatto scaricare sul computer aziendale un esercizio di programmazione contenente malware. Il 20 ottobre gli intrusi avrebbero usato uno strumento AI interno per raggiungere altre postazioni e trovare un token utile alla distribuzione di container. Il 29 ottobre, tra le 17:15 e le 19:56 UTC, avrebbero sfruttato il computer di un terzo ingegnere e credenziali sottratte per attivare il codice malevolo.
Il ruolo degli hot wallet e della delega EIP-7702
Il bersaglio era il servizio che autorizza e firma le transazioni degli hot wallet, i portafogli online usati per gestire liquidità e prelievi. Quando il sistema ha iniziato a produrre operazioni apparentemente valide ma impartite dagli intrusi, le monete sono uscite verso indirizzi esterni senza il consueto iter di richiesta del cliente. Le prime operazioni documentate, tra le 20:05 e le 20:09 UTC, hanno riguardato 233,46 milioni di XRP da cinque hot wallet; sono poi usciti altri asset, tra cui circa 970.500 SOL, 44,2 milioni di OP e 18.270 bitcoin. Secondo Elliptic, citata dalla fonte, i prelievi illeciti hanno interessato undici blockchain.
Su Ethereum gli hacker hanno sfruttato la funzionalità EIP-7702, che consente a un portafoglio di delegare alcune funzioni a un contratto intelligente tramite firma. Binance riferisce che gli aggressori hanno ottenuto 50 autorizzazioni firmate per aggirare le variazioni del nonce e far accettare la delega malevola. La fonte precisa che non si è trattato di una sottrazione diretta della chiave privata: i sistemi dell'exchange avevano reso possibile la firma di comandi utili agli intrusi. Bloccare i prelievi dal sito non revocava una delega già registrata on-chain; l'ultimo trasferimento non autorizzato si è finalizzato alle 23:56 UTC del 29 ottobre, la revoca della delega Ethereum è arrivata alle 00:10 UTC del 30 ottobre.
Rimborso, fondi congelati e questioni aperte
Nel comunicato del 4 novembre Binance sostiene di aver reintegrato il 98% degli asset sottratti con risorse proprie e di aver accantonato fondi per coprire l'intero ammontare, affermando che la perdita sarà sostenuta dalla società e non dagli utenti. La fonte distingue questo dato da quello dei circa 2,85 miliardi di dollari congelati o intercettati lungo il percorso dei ladri: il primo riguarda i fondi rimessi a disposizione dall'exchange, il secondo i beni bloccati.
Agenda Digitale rileva che il caso mette in luce la differenza rispetto ai depositi bancari: per le criptovalute la protezione dipende dal tipo di intermediario, dalla sua solidità, dalle responsabilità previste dalla legge e dalla possibilità concreta di recuperare gli asset rubati. Resta da verificare l'esito completo dell'indagine tecnica, la consistenza effettiva delle riserve dichiarate e cosa accadrebbe a un exchange privo di miliardi da mobilitare. La fonte non chiarisce inoltre se il reintegro sia già contabilmente definitivo.
I dettagli sul ruolo dello strumento AI sono descritti da Binance ma ancora oggetto di indagine; la ricostruzione disponibile non documenta che un agente AI abbia deciso autonomamente il furto.
