Berliner Boersenzeitung - Binance, il furto da 6,3 miliardi iniziò con un falso colloquio di lavoro

L’indagine interna di Binance descrive una compromissione durata cinque mesi, iniziata con un download malevolo e culminata nel furto record di criptovalute.

In Italia erano le 21:05 di giovedì 29 ottobre quando cinque hot wallet di Binance hanno cominciato a svuotarsi. In quattro minuti 233,46 milioni di XRP, la criptovaluta dell’omonima blockchain, sono finiti su un indirizzo controllato dall’attaccante. Prima dell’alba il conto degli asset colpiti avrebbe raggiunto circa 6,34 miliardi di dollari, poco più di 5,6 miliardi di euro.

Il più grande furto di criptovalute mai registrato. Il colpo però non è cominciato quella sera con un attacco unico, perché nel rapporto preliminare sull’incidente Binance ha descritto una campagna in più fasi preparata nell’arco di ben cinque mesi. Il primo varco, a giugno A giugno un ingegnere del team Wallet DevOps, che il rapporto chiama “ingegnere A”, voleva installare un diffuso strumento di programmazione assistita dall’IA.

Lo ha cercato su un motore di ricerca e ha scaricato una versione manomessa di Homebrew, il programma con cui molti sviluppatori installano software sul Mac. La sicurezza di Binance ha però rilevato l’anomalia, ha sostituito il computer e ha rinnovato tutte le credenziali collegate. Il danno però era fatto, perché gli attaccanti avevano ormai identificato il ruolo dell’ingegnere A e dei colleghi che lavorano con lui sull’infrastruttura dei wallet.

Il colloquio trappola e il malware nascosto nel “compito” Si arriva a settembre, quando un secondo dipendente, l’ingegnere B, è stato contattato su una piattaforma di ricerca di lavoro autentica, dove aveva un profilo in cui citava l’esperienza in Binance. Per gli attaccanti era la persona giusta, un dipendente dell’exchange che si mostrava aperto a nuove offerte. Il primo colloquio si è svolto in videochiamata con una sedicente responsabile delle risorse umane.

Per guadagnarsi la fiducia del candidato, la donna ha condiviso un profilo social pieno di foto e video personali. Il secondo colloquio è avvenuto su una diffusa app di chat, con un uomo che diceva di essere l’amministratore delegato di un’azienda inesistente. Verso la fine il falso dirigente ha chiesto all’ingegnere B di scaricare sul computer di lavoro una prova pratica, un archivio di codice da installare e completare.

Era il passaggio a cui l’intera finta selezione doveva arrivare. Nei colloqui per sviluppatori un esercizio del genere è abituale, e il candidato non aveva motivo di sospettare. Dentro l’archivio però c’era il codice degli attaccanti.

Il codice malevolo è partito durante l’installazione. Ha sostituito pyenv, uno strumento che gli sviluppatori usano per gestire le versioni di Python, con una copia alterata, e ha aperto un canale di comunicazione con un server degli attaccanti. Si trattava di un malware zero-day, cioè mai visto prima, e i software di protezione installati sul computer non lo hanno riconosciuto.

Poi ha cancellato le proprie tracce. Gli attaccanti sono dentro Binance Il 20 ottobre, partendo dal computer dell’ingegnere B, gli attaccanti hanno usato uno strumento IA interno a Binance per prendere il controllo delle postazioni di altri due ingegneri. Uno era l’ingegnere A, l’altro l’ingegnere C addetto al software del team wallet.

Sul computer dell’ingegnere A gli attaccanti hanno trovato quello che cercavano: un token con il permesso di distribuire container nell’infrastruttura. Un container è un ambiente isolato in cui gira un singolo servizio software. La sera del 29 ottobre, il colpo ha inizio Tra le 18:15 e le 20:56 del 29 ottobre l’attaccante ha lavorato dal computer dell’ingegnere C, con le credenziali sottratte all’ingegnere A.

Ha distribuito un container e ha avviato uno script malevolo. Così ha ottenuto accesso a un servizio interno di firma dei wallet, il sistema che autorizza con la propria firma le transazioni con cui l’exchange sposta i fondi. Attraverso quel servizio ha avviato trasferimenti che aggiravano la normale procedura dei prelievi.

Dopo gli XRP, usciti tra le 21:05 e le 21:09, sono volati via circa 970. 500 SOL dai wallet su Solana e 44,2 milioni di OP da quelli su Optimism. A quel punto un allarme interno ha segnalato trasferimenti di grande volume e il team di Binance ha cominciato a indagare.

Poco dopo un hot wallet ha inviato all’attaccante 18. 270 bitcoin. La parte più difficile da fermare è stata quella che ha coinvolto Ethereum.

Una funzione introdotta con una proposta di miglioramento di Ethereum (la EIP-7702) permette a un account di delegare alcuni poteri di esecuzione a uno smart contract, un programma che gira sulla blockchain, senza esporre la chiave privata. Con 50 transazioni firmate tramite il servizio compromesso, l’attaccante ha concesso a un contratto sotto il suo controllo parte dei poteri di esecuzione su un hot wallet di Binance. Binance ha sospeso i prelievi, mentre i partner congelavano i token interessati e il team cercava di revocare i permessi.

La delega però era registrata sulla blockchain e funzionava in modo indipendente dai sistemi di Binance. Bloccare i prelievi e spegnere i servizi degli hot wallet non bastava ad annullarla. C’era un’altra complicazione, dato che il wallet usava la tecnologia MPC, che divide la chiave tra più parti, per cui non esisteva una singola chiave privata con cui firmare subito la revoca.

Il team ha dovuto mettere a punto una procedura apposita, e ci è voluto altro tempo. L’ultimo trasferimento non autorizzato, esattamente 2. 961,9 ether, era già stato inviato alla rete e restava in attesa.

Ma è comunque stato confermato alle 00:56 del 30 ottobre. Alle 01:10 Binance è riuscita a firmare dal wallet Binance14 una nuova autorizzazione che sostituiva quella degli attaccanti con una delega vuota, cancellandola. Dopo quel momento l’exchange non ha osservato altri trasferimenti non autorizzati.

Quanto è riuscita a bloccare Binance, finora Secondo Binance gli asset digitali colpiti valgono circa 6,34 miliardi di dollari. Ne sono stati congelati o intercettati circa 2,85 miliardi , una cifra che però Binance considera ancora soggetta a verifica e alle oscillazioni di prezzo. Il congelamento è stato possibile soprattutto per le stablecoin, le criptovalute ancorate al dollaro i cui emittenti possono bloccare i token su un indirizzo.

Binance ha ribadito che la perdita resterà a suo carico e non dei clienti, e di aver accantonato oltre il 100% della somma necessaria. Secondo il rapporto, al 31 ottobre il 98% dei token sottratti era già stato reintegrato e risultava verificabile nella pagina Proof of Reserves, dove l’exchange mostra le riserve a copertura dei depositi. Il resto sono asset meno liquidi, che Binance sta ancora acquistando.

Per l’FBI la responsabile è la Corea del Nord Nel frattempo, a fine ottobre, l’FBI ha comunicato che dietro il furto c’è la Corea del Nord, con l’attività che il Bureau chiama TraderTraitor. Sono gli stessi attori ritenuti responsabili del furto da 1,5 miliardi di dollari subito dall’exchange Bybit a febbraio del 2025, il precedente record. L’FBI dice di aver osservato, insieme al Secret Service e alla divisione investigativa del fisco statunitense, che gli attaccanti stanno convertendo gli asset rubati soprattutto in ether.

Il passo successivo sarà il riciclaggio tramite piattaforme di finanza decentralizzata e servizi di scambio istantaneo. Per questo ha pubblicato centinaia di indirizzi collegati al furto e ha chiesto agli operatori del settore di bloccare le transazioni che li riguardano. Pyongyang ha respinto l’accusa.

Martedì Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha definito l’attribuzione dell’FBI una “grave provocazione politica”. Eppure, Binance ha spiegato che nel corso del 2026 il suo team di sicurezza ha rilevato e bloccato 57 tentativi sospettati di provenire dalla Corea del Nord. Tra le tecniche usate ha citato proprio i falsi colloqui di lavoro e i malware camuffati da strumenti per sviluppatori, insieme a pacchetti software ed estensioni del browser compromessi.

Evidentemente quei 57 tentativi non le sono bastati per alzare le opportune difese interne. In ogni caso, Binance ha spiegato di aver chiuso i punti di ingresso usati nell’attacco. Ha ricostruito in un nuovo ambiente il sistema dei wallet coinvolto, insieme allo strumento IA interno e ai relativi controlli di accesso.

Ha sostituito i dispositivi compromessi e disattivato credenziali e token degli ingegneri coinvolti. Ha poi completato controlli approfonditi su tutti i dispositivi dei dipendenti, introdotto controlli più stretti sui dispositivi e rafforzato i controlli di rischio sui servizi dei wallet e i sistemi che usano l’IA per riconoscere comportamenti anomali. anche, per rintracciare e congelare i fondi sta lavorando con le forze dell’ordine e con società di analisi della blockchain.

(B.Hartmann--BBZ)