Gli investigatori ritengono che siano stati coinvolti diversi fattori, tra cui il laptop violato di un ingegnere DevOps. Indizi puntano su attori nordcoreani come responsabili.
Gli investigatori stanno cercando di capire come gli hacker abbiano rubato $6.3 miliardi (€5.6 miliardi) dalla piattaforma di scambio di criptovalute Binance, in quello che viene descritto come il "più grande attacco informatico della storia", con indizi che suggeriscono che dietro l'attacco ci fosse un gruppo di hacker nordcoreano.
PUBBLICITÀ
PUBBLICITÀ
Le cifre in gioco superano di gran lunga quelle di precedenti attacchi alle criptovalute, come Bybit ($1.5 miliardi, €1.39 miliardi), Poly Network ($610 milioni, €545 milioni) e Ronin Network ($540 milioni, €482 milioni). L'incidente che ha coinvolto Binance è l'ultimo di una serie di episodi di cybersicurezza a ottobre, e gli esperti attribuiscono in gran parte la responsabilità al crescente uso dell'IA per individuare vulnerabilità.
Binance è la più grande piattaforma di scambio di criptovalute al mondo e controlla circa il 35% della quota complessiva del mercato cripto, secondo l'azienda. Funziona come un pilastro chiave dell'ecosistema delle criptovalute, consentendo alle persone di comprare e vendere criptovalute.
Come i tradizionali cambi di valuta, mantiene le monete dei clienti in portafogli che controlla e gestisce i prelievi da alcuni di questi portafogli che restano sempre online.
L'attacco è avvenuto in poco meno di quattro ore. Gli hacker hanno ottenuto l'accesso a diversi portafogli tramite un laptop compromesso e hanno inviato i fondi dai portafogli di Binance ai propri. Binance e i suoi partner sono riusciti a congelare $2.7 miliardi (€2.4 miliardi) dei fondi rubati, ma il resto dei fondi rimane intatto nei portafogli degli aggressori.
Ecco una cronologia di come è successo:
Giovedì
22:29 CET Binance afferma di star indagando attivamente su segnalazioni di un potenziale problema di sicurezza e rassicura i clienti che i loro fondi sono "completamente al sicuro", ma avverte del rischio di "truffe".
23:15 CET L'azienda riferisce di stare effettuando controlli di sicurezza e che i prelievi riprenderanno non appena il problema sarà risolto.
Venerdì
00:06 CET L'azienda sospende le operazioni di trading di Binance Alpha e afferma che il trading riprenderà una volta risolto il problema di sicurezza. Rassicura nuovamente i clienti che i loro fondi restano al sicuro.
00:22 CET Binance annuncia per la prima volta che alcuni asset sono stati colpiti. L'azienda dichiara di essere a conoscenza di segnalazioni di fondi congelati, chiarendo che al momento sono stati bloccati $2.54 miliardi (€2.26 miliardi). Aggiunge che la cifra potrebbe aumentare, mentre lavora a stretto contatto con le forze dell'ordine e con le autorità competenti per tracciare e congelare gli asset.
01:13 CET Binance diffonde una dichiarazione in cui afferma che coprirà "tutte le perdite" e che, per precauzione, tutti i depositi e prelievi sono stati temporaneamente sospesi.
01:52 CET L'azienda aggiorna la cifra degli asset congelati, salita a $3 miliardi (€2.68 miliardi).
03:25 CET Binance rivela che l'impatto totale è di circa $6.3 miliardi (€5.6 miliardi). Le sue indagini suggeriscono che il laptop compromesso di un ingegnere DevOps possa essere stato il punto di ingresso per un attacco che ha consentito l'accesso a un service container e l'invio di transazioni di prelievo non autorizzate.
L'azienda aggiunge che non ci sono prove di alcuna fuga di chiavi private dei portafogli. Per precauzione, ha revocato l'autorizzazione dell'indirizzo interessato e ha coinvolto le forze dell'ordine e i partner blockchain per tracciare e recuperare i fondi, oltre a congelare i conti.
05:36 CET In un aggiornamento l'azienda afferma che l'incidente deriva da molteplici fattori e non solo dal laptop compromesso.
09:47 CET Binance conferma la precedente dichiarazione secondo cui un laptop compromesso potrebbe essere stato il punto di ingresso, ma afferma che gli investigatori hanno individuato altre violazioni in quello che definisce un "attacco complesso". L'azienda dichiara di essere sulla buona strada per riprendere i servizi di prelievo entro 45 ore.
11:55 CET L'azienda comunica di aver iniziato a recuperare gli asset colpiti per gli utenti e che coprirà le perdite con fondi aziendali, riservando $6.34 miliardi (€5.66 miliardi) per coprire l'incidente.
"Supereremo questa tempesta", afferma l'azienda sulla piattaforma di social media X.
Come ci sono riusciti?
Binance ha dichiarato che l'incidente è stato un "attacco complesso" derivato da molteplici fattori.
Le indagini iniziali indicano che l'incidente di sicurezza potrebbe riguardare il laptop compromesso di un ingegnere DevOps, che ha permesso a un aggressore di ottenere l'accesso a un service container e di inviare transazioni di prelievo non autorizzate.
La società di infrastrutture di dati blockchain Bitquery riferisce che il sistema di prelievo di Binance ha firmato il trasferimento di $6.3 miliardi (€5.6 miliardi) da 17 dei suoi hot wallet in poco meno di quattro ore, dalle 21:04 di giovedì sera alle 00:56 CET di venerdì mattina.
Secondo Bitquery, questo ha spinto gli emittenti di stablecoin Tether, Circle e Arbitrum, insieme a quattro emittenti più piccoli, a congelare $2.7 miliardi per impedire che i fondi venissero rubati, mentre Bitcoin ha confermato che in totale erano stati congelati $3 miliardi.
L'aggressore ha convertito altri $729 milioni di stablecoin prima che i congelamenti iniziassero. Alla fine, l'aggressore deteneva ancora circa $3.1 miliardi, per lo più in Ether e Bitcoin, secondo Bitquery.
Bitquery riferisce anche che i fondi sono stati inviati a nuovi indirizzi su nove blockchain, con Ethereum, Bitcoin e TRON colpiti in misura maggiore.
L'azienda sta ancora indagando sulla vicenda in collaborazione con le forze dell'ordine e con i partner di intelligence blockchain per tracciare e recuperare i fondi.
Binance ha sospeso temporaneamente depositi e prelievi finché non saranno completati i controlli di sicurezza, ha revocato l'autorizzazione dell'indirizzo interessato e ha coinvolto le forze dell'ordine e i partner di intelligence blockchain per tracciare e recuperare i fondi.
L'azienda ha dichiarato che pubblicherà un'analisi tecnica dettagliata a indagini concluse e dopo la verifica dei fatti.
Punta inoltre a pubblicare una Proof of Reserves aggiornata una volta completate le misure correttive.
Chi c'era dietro?
La società di intelligence blockchain e cybersicurezza TRM Labs sostiene che TraderTraitor, un gruppo di hacker nordcoreano, sia stato responsabile dell'attacco.
"Sulla base di solide informazioni on-chain e off-chain, arriviamo a questo giudizio con un alto livello di fiducia", ha dichiarato l'azienda in un comunicato.
La società sottolinea inoltre che l'FBI ha indicato lo stesso gruppo come responsabile dell'attacco da $1.5 miliardi (€1.34 miliardi) a Bybit nel febbraio 2025.