Nel resoconto iniziale pubblicato il 3 novembre sul furto del 29 ottobre, Binance ha descritto un’intrusione partita da un falso reclutamento e arrivata al servizio interno di firma delle transazioni. Secondo l’azienda, le deleghe EIP-7702 hanno richiesto una procedura specifica per essere revocate.
Per il contesto sui movimenti on-chain, il precedente approfondimento di NeoTeo sul collegamento con il furto a Bitget ricostruisce l’altro versante della vicenda.
Dai dispositivi compromessi al servizio di firma
Binance colloca a giugno 2026 la compromissione del dispositivo di Engineer A, che aveva installato una versione manomessa di Homebrew. L’azienda rilevò l’anomalia, sostituì il dispositivo e ruotò le credenziali associate. In seguito, secondo la ricostruzione di Binance, gli aggressori ottennero informazioni sul ruolo di A e sui suoi colleghi.
A settembre, Engineer B fu contattato tramite una legittima piattaforma per la ricerca di lavoro. Binance riferisce che interlocutori con identità convincenti gli proposero un incarico tecnico e gli chiesero di scaricare un repository malevolo presentato come prova di selezione. Il codice sostituiva un componente legittimo di uno strumento di sviluppo, eseguiva comandi e comunicava con un server controllato dagli aggressori.
Il 20 ottobre, sempre secondo Binance, gli aggressori usarono il computer compromesso di B e uno strumento interno di intelligenza artificiale per ottenere il controllo dei sistemi associati a Engineer A e a Wallet Software Engineer C. Il 29 ottobre accedettero al computer di C, usarono credenziali sottratte ad A e avviarono uno script tramite un container. La catena arrivò così al servizio interno di firma dei wallet, da cui partirono transazioni al di fuori della normale procedura di prelievo.
Perché le deleghe EIP-7702 richiesero una procedura separata
Binance afferma che gli aggressori usarono EIP-7702 per delegare a un contratto sotto il loro controllo diritti di esecuzione parziali su una hot wallet, cioè un portafoglio connesso a Internet. Inviarono 50 transazioni di firma per manipolare il nonce dell’account, il valore che ordina le transazioni, e impostare le deleghe.
Queste autorizzazioni on-chain restavano attive al di fuori del sistema ordinario di prelievo. Perciò sospendere i prelievi non bastava a revocarle. Binance ha spiegato che il wallet usava il calcolo multipartitico (MPC) e non aveva una singola chiave privata con cui annullare subito le autorizzazioni: servì una procedura specializzata.
Secondo Binance, l’ultimo trasferimento non autorizzato, di 2.961,9 ETH, fu finalizzato alle 23:56 UTC del 29 ottobre. L’azienda dichiarò di aver cancellato la delega Binance14 alle 00:10 UTC del 30 ottobre.
Gli asset coinvolti, intercettati e reintegrati
Nell’aggiornamento del 3 novembre Binance stimò in circa 6,34 miliardi di dollari gli asset coinvolti e in circa 2,85 miliardi di dollari quelli congelati o intercettati. L’azienda precisò che la seconda cifra era soggetta a riconciliazione e alla volatilità dei prezzi di mercato.
Binance dichiarò inoltre di aver accantonato fondi superiori al 100% della somma necessaria a coprire la perdita e di aver reintegrato il 98% degli asset in token coinvolti entro il 31 ottobre 2026. Sono misure distinte: la stima degli asset intercettati non indica quanti token siano stati reintegrati.
L’attribuzione dell’FBI
In un’allerta del 31 ottobre 2026, l’FBI attribuì alla Corea del Nord il furto di oltre 6 miliardi di dollari in asset virtuali da Binance e chiamò TraderTraitor la specifica attività informatica malevola. Binance richiamò l’attribuzione dell’FBI nel proprio aggiornamento iniziale.
