Analisi editoriale · Fonti primarie

Binance ricostruisce la compromissione del servizio di firma e una lacuna di contenimento on-chain

I risultati iniziali pubblicati da Binance il 3 novembre collegano il furto del 29 ottobre a endpoint di sviluppo compromessi, strumenti interni di IA e un servizio di firma dei wallet. L’azienda afferma che il 98% dei criptoasset colpiti era stato reintegrato al 31 ottobre; l’FBI attribuisce separatamente l’operazione a TraderTraitor.

Incidente: 2026-10-29 · Divulgazione: 2026-10-30
Aggiornamento: 2026-11-04T07:35:00.000Z · Attendibilità: high

Incidente, divulgazione e aggiornamento

L’incidente è avvenuto il 29 ottobre 2026 e Binance lo ha divulgato il 30 ottobre.[1] I risultati iniziali, pubblicati il 3 novembre, descrivono una campagna iniziata con l’installazione alterata di uno strumento di sviluppo a giugno e un esercizio di selezione malevolo a settembre. Binance afferma che gli aggressori hanno poi usato endpoint compromessi, strumenti interni di IA e un token di distribuzione per raggiungere le operazioni di firma dei wallet.[3] È un aggiornamento sostanziale del precedente rapporto di recupero, non un nuovo incidente.

Percorso delle transazioni e contenimento

Secondo Binance, l’accesso non autorizzato a un servizio interno di firma ha aggirato il normale processo di prelievo. L’aggressore ha creato autorizzazioni di delega Ethereum EIP-7702; sospendere i prelievi non ha quindi revocato i permessi già registrati on-chain. Poiché l’hot wallet usava il calcolo multipartitico, nessuna singola chiave privata poteva eliminarli subito. Binance riferisce che l’ultimo trasferimento non autorizzato si è finalizzato alle 23:56 UTC e la delega è stata cancellata alle 00:10 UTC del 30 ottobre.[3]

Recupero, attribuzione e incertezza

Binance stima gli asset coinvolti in circa 6,34 miliardi di dollari e afferma che circa 2,85 miliardi erano stati congelati o intercettati, con valori soggetti a riconciliazione e volatilità. Dichiara che il 98% dei criptoasset colpiti era stato reintegrato al 31 ottobre e che gli asset illiquidi restanti erano ancora in acquisto.[3] L’FBI attribuisce separatamente il furto all’attività nordcoreana TraderTraitor e riferisce che gli asset venivano convertiti soprattutto in Ether prima di ulteriore riciclaggio.[4] È la valutazione dell’FBI; la revisione indipendente di Binance è ancora in corso.

Priorità per il CISO

Per le organizzazioni che gestiscono servizi di firma, pagamento o distribuzione, il rischio operativo comprende postazioni di sviluppo, assistenti IA, token CI/CD e autorizzazione delle transazioni come un’unica catena di fiducia. Verificare che l’arresto di emergenza revochi anche autorità esterne e on-chain. Inventariare le credenziali distribuibili sugli endpoint, imporre token brevi e limitati e approvazione indipendente per le politiche di firma, quindi testare il recupero rispetto a transazioni pendenti e permessi delegati.

Fonti

Francisco Javier Jurado Alonso