Un attacco informatico da circa 6,3 miliardi di dollari ha colpito Binance, uno dei principali operatori mondiali nello scambio di criptovalute. L'incidente è avvenuto il 29 ottobre 2026, ma il quadro è cambiato rapidamente nel fine settimana: il 31 ottobre l'FBI ha attribuito il furto a un gruppo legato alla Corea del Nord, mentre il 1° novembre l'exchange ha avviato la riapertura graduale dei prelievi. Il caso va ben oltre il settore delle monete digitali, perché riguarda la sicurezza di piattaforme che custodiscono patrimoni di milioni di utenti.

La cifra è quella dichiarata dall'azienda nei propri aggiornamenti ufficiali, non una stima indipendente certificata. Anche le garanzie sul rimborso degli utenti, pur espresse in termini netti, sono impegni della società che dovranno essere verificati nel corso della normalizzazione dei servizi.

Cosa è successo il 29 ottobre

Secondo la comunicazione diffusa da Binance il 30 ottobre, intorno alle 20:05 UTC del giorno precedente alcuni portafogli online, i cosiddetti hot wallet, sono stati compromessi. Da questi sistemi sono partite operazioni non autorizzate per un valore complessivo stimato in 6,3 miliardi di dollari. Un hot wallet è un'infrastruttura connessa alla rete, utilizzata per gestire movimenti e disponibilità operative: è diversa da un portafoglio conservato completamente offline.

Nelle prime ore l'azienda aveva indicato come possibile punto d'ingresso il computer di un ingegnere DevOps compromesso. Le verifiche successive, tuttavia, hanno individuato ulteriori punti di violazione. Non è quindi corretto presentare il portatile come causa unica e definitivamente accertata. Binance sostiene inoltre di non aver trovato, finora, prove di una fuoriuscita delle chiavi private dei wallet. L'indagine tecnica resta aperta e il rapporto conclusivo non era disponibile al momento della preparazione di questo articolo.

Il ruolo dell'FBI e l'attribuzione alla Corea del Nord

Il 31 ottobre l'FBI ha pubblicato un avviso ufficiale che attribuisce l'operazione a TraderTraitor, denominazione utilizzata per una specifica attività cyber malevola nordcoreana. Gli investigatori statunitensi hanno segnalato conversioni degli asset sottratti, soprattutto verso Ethereum, e il rischio di ulteriori passaggi attraverso protocolli di finanza decentralizzata e servizi di scambio immediato.

L'attribuzione proviene dunque da un'autorità investigativa, non da indiscrezioni sui social. È comunque importante distinguere la responsabilità indicata dall'FBI dalla ricostruzione tecnica completa dell'intrusione: la seconda richiede ancora analisi, controlli sui sistemi e informazioni che non sono state rese pubbliche. Le autorità hanno chiesto agli operatori del settore di bloccare transazioni collegate agli indirizzi utilizzati per il riciclaggio dei fondi.

Tre miliardi congelati non significano tre miliardi recuperati

Tra i numeri più citati compare la somma di circa 3 miliardi di dollari in asset che Binance afferma di aver contribuito a congelare sulla blockchain con il supporto di partner e altri soggetti. Congelare un asset significa impedirne temporaneamente la movimentazione, quando tecnicamente e giuridicamente possibile; non equivale a trasferirlo automaticamente di nuovo nella disponibilità dell'exchange.

La distinzione conta perché altrimenti si rischia di sommare impropriamente denaro bloccato, riserve aziendali e fondi già ricostituiti. Sono categorie diverse. Il valore recuperabile potrà cambiare durante le indagini e dipenderà da controlli, procedure e collaborazione internazionale.

Prelievi: che cosa è cambiato il 1° novembre

Dopo la sospensione precauzionale delle uscite, Binance ha annunciato una ripresa a fasi dei prelievi a partire dal 1° novembre. L'azienda ha precisato che la riattivazione sarebbe stata progressiva, rete per rete e asset per asset, dopo verifiche di sicurezza e stabilità. La presenza di un token nell'elenco delle prime riaperture non implica quindi che ogni transazione sia stata subito disponibile senza ritardi.

La stampa finanziaria ha riferito di forti flussi in uscita durante le prime ore della ripartenza. Il Financial Times ha quantificato circa 4,65 miliardi di dollari di prelievi e 1,01 miliardi di depositi nelle prime nove ore e mezza, per un saldo netto vicino a 3,64 miliardi. Si tratta di movimenti successivi all'attacco, non di un'ulteriore quota sottratta dagli hacker. Confondere le due cifre altererebbe completamente la lettura del caso.

Il piano di copertura per gli utenti

Binance ha dichiarato di voler assorbire l'intero impatto economico dell'incidente, ricorrendo al fondo di protezione SAFU e a risorse aziendali. Nel comunicato del 30 ottobre aveva parlato di oltre 6,34 miliardi di dollari accantonati, con circa 5 miliardi già disponibili nelle tipologie di token interessate. Nei successivi aggiornamenti la società ha comunicato un avanzamento della ricostituzione degli asset fino a circa il 95%.

Non bisogna interpretare quel 95% come una conferma che tutti i prelievi siano tornati normali o che l'indagine sia conclusa. Significa, secondo Binance, che la società ha acquistato o messo a disposizione gran parte delle attività necessarie a sostituire quelle colpite. La quota residua riguarda anche token meno liquidi, più difficili da reperire rapidamente. Restano da verificare il completamento delle operazioni e i risultati delle nuove attestazioni sulle riserve.

Cosa dovrebbe controllare chi utilizza la piattaforma

In una situazione di questo tipo il primo passo utile è consultare lo stato dei servizi e le comunicazioni pubblicate sui canali ufficiali dell'exchange, verificando la rete scelta prima di tentare un trasferimento. Eventuali messaggi che promettono rimborsi immediati, chiedono codici di accesso o invitano a collegare il wallet a siti sconosciuti devono essere trattati con particolare cautela: gli incidenti molto visibili diventano spesso un pretesto per truffe secondarie.

Per gli utenti è inoltre utile distinguere il saldo visualizzato dalla possibilità effettiva di prelevare un determinato asset e controllare gli aggiornamenti sulle prove di riserva. Nessuna delle informazioni qui riportate costituisce un consiglio di investimento o una garanzia individuale sulla disponibilità dei fondi.

Il punto:

Il fatto nuovo del fine settimana è duplice: l'attribuzione ufficiale dell'FBI a TraderTraitor e l'avvio della ripresa dei prelievi dopo un attacco da 6,3 miliardi di dollari. La risposta finanziaria annunciata da Binance è imponente, ma non cancella le domande sulla sicurezza dell'infrastruttura e sulla ricostruzione esatta dell'intrusione. Il vero banco di prova saranno il ripristino completo dei servizi, la verifica delle riserve e la pubblicazione di un rapporto tecnico dettagliato.