Binance ha ricostruito nel dettaglio l’attacco informatico che il 29 ottobre le è costato 6,34 miliardi di dollari in criptovalute. La violazione è stata tutt’altro che lampo: gli aggressori hanno lavorato per mesi, partendo da un finto colloquio di lavoro. L’FBI attribuisce l’operazione alla Corea del Nord.
Segui TuttoTech.net su Google Discover
Il malware arrivato con un colloquio di lavoro
La vicenda comincia a giugno. Un ingegnere del team wallet di Binance, la squadra che si occupa dell’infrastruttura dei portafogli, scarica la versione manomessa di un pacchetto Homebrew per uno dei più diffusi strumenti di programmazione basati sull’intelligenza artificiale, e a farglielo trovare è un motore di ricerca. L’azienda intercetta l’anomalia e corre ai ripari, ma ormai i dati dei colleghi dell’ingegnere sono finiti nelle mani degli attaccanti.
A settembre il copione si ripete con un altro sviluppatore, contattato stavolta tramite una piattaforma per la ricerca di lavoro autentica. Gli scrive un sedicente «Project Director», che organizza due round di colloqui. Il primo si svolge in videochiamata con una presunta addetta alle risorse umane, la quale per guadagnarsi la sua fiducia gli condivide un proprio profilo social. Il secondo, condotto attraverso un’app di messaggistica, è con il fantomatico amministratore delegato della società. Il finto CEO gli manda un esercizio da svolgere e, quando l’ingegnere lo apre, il file si rivela un malware che si attiva durante l’installazione.
Il codice malevolo, mai visto prima, è di tipo zero-day, costruito su misura e invisibile agli antivirus. Per eseguire i propri comandi sostituisce un componente legittimo di uno strumento di sviluppo con una versione alterata, dialoga con un server esterno controllato dagli aggressori e cancella le tracce del proprio passaggio man mano che procede. Secondo Binance, le tecniche di offuscamento e di evasione sono sofisticate.
Dalla prima infezione all’assalto del 29 ottobre
Il 20 ottobre gli hacker usano il computer compromesso dello sviluppatore per raggiungere, tramite uno strumento di intelligenza artificiale interno all’azienda, le macchine dell’ingegnere del team wallet e di un suo collega. Nove giorni dopo, il 29 ottobre, entrano nel computer di un terzo ingegnere, usano le credenziali sottratte al primo e lanciano lo script che dà il via alla razzia.
Per ottenere i permessi necessari a muovere i fondi, gli attaccanti sfruttano EIP-7702, un meccanismo di Ethereum, su un hot wallet dell’exchange. Le criptovalute iniziano a uscire alle 20:05 UTC e vengono trasferite su più blockchain. L’FBI indica come responsabile il gruppo nordcoreano TraderTraitor, noto anche come Lazarus Group, Jade Sleet e APT38: le finte selezioni di personale sono del resto una tattica ricorrente delle campagne nordcoreane già documentate. Il co-CEO di Binance Richard Teng non attribuisce l’attacco a Pyongyang, ma riconosce il collegamento indicato dall’FBI. Le interviste truccate, però, non sono una novità isolata: l’azienda ha dichiarato di aver bloccato 57 tentativi sospetti legati alla Corea del Nord nel corso dell’anno.
I fondi congelati e la ricostruzione dei sistemi
Dei 6,34 miliardi di dollari in asset digitali coinvolti, 2,85 miliardi sono stati congelati. Binance ammette che i movimenti sono proseguiti anche dopo la sospensione dei prelievi, perché quelle transazioni erano già state autorizzate. Il 3 novembre l’exchange ha comunque completato la ricostruzione del sistema di wallet colpito e degli strumenti di intelligenza artificiale interni. Ha inoltre sostituito i dispositivi compromessi, dismesso credenziali e token ormai insicuri, eseguito scansioni di sicurezza rafforzate sui computer dei dipendenti e integrato capacità di rilevamento delle anomalie basate sull’IA.
Binance si fa carico delle perdite finanziarie e ha già accantonato le somme necessarie a coprire quanto è stato rubato. Secondo Teng, il 98% dei token coinvolti è stato reintegrato con fondi propri e gli utenti non subiranno conseguenze; l’azienda sta completando l’acquisto degli asset residui, quelli meno liquidi. L’accaduto sarà inoltre riesaminato da esperti indipendenti.
— Binance (@binance) November 3, 2026
I nostri contenuti da non perdere:
- 🔝 Importante: Recensione Amazon Kindle 2026: più veloce, più leggero e con schermo nettamente migliore
- 📚 Approfitta ora e studia (o gioca) meglio: i migliori notebook MSI in offerta per il Back To School 2026
- 💰 Risparmia sulla tecnologia: segui Prezzi.Tech su Telegram, il miglior canale di offerte
- 🏡 Seguici anche sul canale Telegram Offerte.Casa per sconti su prodotti di largo consumo