Binance sostiene di avere ricostituito il 95% degli asset sottratti nell’attacco del 29 ottobre, pari a circa 6,3 miliardi di dollari secondo la stima iniziale dell’exchange. L’aggiornamento del 1° novembre supera il 90% comunicato il giorno prima e accompagna l’annuncio di una riapertura graduale dei prelievi. La copertura dell’hack Binance deriva però dall’acquisto di token sostitutivi con risorse aziendali e fondi interni: non dimostra che gli aggressori abbiano restituito quella quota.
Abbiamo letto gli aggiornamenti ufficiali di Binance del 30 e 31 ottobre e del 1° novembre, oltre all’avviso dell’FBI che attribuisce l’attacco a TraderTraitor, gruppo nordcoreano. Reuters non è accessibile direttamente ai nostri strumenti: i suoi resoconti sono citati solo attraverso i risultati di ricerca e la ripubblicazione Reuters consultabile su Euronext.
Dal 90% al 95% in un nuovo aggiornamento
Il 31 ottobre Binance aveva detto di aver coperto il 90% del valore degli asset coinvolti. La società indicava che Bitcoin, Ether, USDT, BNB, Solana, USDC, XRP, USD1, RLUSD e Zcash erano tornati coperti al 100%; il divario residuo riguardava token meno liquidi, fuori dai dieci principali, che l’exchange stava acquistando sui mercati e tramite operazioni over the counter.
Nel quarto aggiornamento, pubblicato il 1° novembre, Binance ha portato la copertura dichiarata al 95%. Il comunicato riporta ancora il precedente passaggio dal 80% al 90%, poi precisa che la quota è salita al 95% e che resta da acquisire il 5%. La prima cifra aggiornata è quindi quella da usare per lo stato più recente, senza cancellare la progressione comunicata dall’azienda.
Il dato descrive la quantità di asset sostitutivi che Binance afferma di avere procurato, non una percentuale dei fondi sottratti rintracciata o restituita. L’exchange dice che la copertura è finanziata con fondi aziendali, una parte del fondo SAFU per gli utenti e una parte del fondo assicurativo Futures. Nel suo aggiornamento del 30 ottobre aveva dichiarato di avere accantonato oltre 6,34 miliardi di dollari, con circa 5 miliardi già detenuti negli stessi token coinvolti.
Coperti non vuol dire recuperati
La distinzione è decisiva. Un acquisto sul mercato può ristabilire la corrispondenza tra gli asset detenuti dall’exchange e gli impegni verso i clienti, ma non restituisce il controllo dei token passati agli aggressori. Binance promette di sostenere l’impatto economico del furto senza trasferirlo ai clienti; la sottrazione resta oggetto di tracciamento e di indagine.
Per questo le cifre sul congelamento vanno tenute separate. Nell’aggiornamento del 30 ottobre Binance aveva riferito che circa 3 miliardi di dollari erano stati congelati on-chain grazie alla collaborazione con forze dell’ordine, società di analisi, emittenti e partner del settore. Reuters, nel resoconto del 1° novembre, parla invece di circa 3 miliardi localizzati a venerdì. Un asset localizzato non è necessariamente congelato, e nessuno dei due termini equivale a un recupero completato.
La vicenda si inserisce nel tema più ampio degli attacchi agli exchange e delle procedure di custodia. Su SpazioCrypto abbiamo ricostruito l’annuncio iniziale sull’attacco a Binance e raccolto altri casi nella sezione dedicata agli hack crypto. La differenza tra tenere asset presso un intermediario e gestire un wallet personale è spiegata nella nostra guida alla custodia delle criptovalute.
L’FBI attribuisce l’attacco a TraderTraitor
Il 31 ottobre l’FBI ha attribuito alla Corea del Nord il furto di oltre 6 miliardi di dollari in asset virtuali da Binance, avvenuto intorno al 29 ottobre. L’agenzia identifica questa specifica attività informatica con il nome TraderTraitor. È un’attribuzione ufficiale dell’FBI, non un esito giudiziario né un resoconto tecnico completo dell’intrusione.
Secondo l’avviso, l’FBI e le agenzie partner statunitensi hanno osservato gli operatori convertire gli asset sottratti principalmente in Ethereum. L’agenzia avverte che potrebbero seguire ulteriori conversioni tramite servizi DeFi e swap istantanei, nell’ambito del riciclaggio. Il comunicato non quantifica la parte già convertita in ETH. Binance, nel frattempo, ha detto che collabora con le autorità e con i partner del settore per tracciare i fondi.
La stessa FBI ha chiesto a operatori di nodi, servizi DeFi, exchange istantanei e fornitori di servizi su asset virtuali di bloccare le transazioni associate agli indirizzi pubblicati nell’avviso. La misura punta a ostacolare i movimenti successivi; non prova da sola che i fondi siano stati recuperati. I dettagli su come sia avvenuta la compromissione restano incompleti: Binance aveva parlato di più punti di accesso e di un’indagine ancora aperta.
Il quadro complessivo degli episodi di sicurezza si può seguire nell’archivio Sicurezza di SpazioCrypto. Un caso recente con una perdita dichiarata e indirizzi inattivi è quello di CoinDCX; per gli aspetti specifici dei wallet, è disponibile anche l’analisi delle violazioni dei dati legati ai wallet.
Prelievi: annunciata una ripartenza a fasi
Il quarto aggiornamento di Binance fissa l’avvio della prima fase tra le 06:00 e le 09:00 UTC del 1° novembre, cioè tra le 07:00 e le 10:00 in Italia. La società elenca 15 reti, fra cui Bitcoin, Ethereum, BNB Chain, Tron, Solana, XRP, Dogecoin, Polygon, Avalanche, Arbitrum, Base, Optimism e Sui. Le disponibilità variano in base alla coppia rete e asset e possono essere riattivate in momenti diversi.
Binance invita gli utenti a controllare la pagina di prelievo o lo stato della rete per verificare la disponibilità effettiva. L’annuncio prevede possibili ritardi durante la fase iniziale e precisa che gli altri asset saranno riabilitati progressivamente, dopo verifiche di stabilità e sicurezza. La finestra annunciata è trascorsa al momento della stesura, ma il comunicato consultato non certifica che ogni rete abbia completato la riapertura.
La sospensione era stata presentata come misura precauzionale per contenere l’incidente, valutarne la portata e verificare l’infrastruttura dei prelievi. Il ritorno graduale del servizio è quindi un indicatore operativo distinto dal ripristino delle riserve: una piattaforma può riprendere alcuni trasferimenti mentre continua a comprare gli asset mancanti e a cercare quelli rubati.
Binance in sintesi
Cosa è confermato, cosa no
- Confermato: Binance dichiara una copertura del 95%; l’FBI attribuisce l’attacco a TraderTraitor.
- Non indicato: il 95% non è una quota recuperata dagli aggressori; l’avviso FBI non quantifica gli ETH convertiti.
- Da seguire: disponibilità effettiva dei prelievi per ciascuna rete, acquisto del 5% residuo e rapporto tecnico sull’incidente.
La lettura più grande
La nostra lettura, dichiarata come tale, è che la risposta di Binance stia cercando di risolvere due problemi in parallelo: mantenere coperti i saldi dei clienti e contenere i movimenti dei fondi sottratti. Il primo dipende dalla capacità finanziaria dell’exchange di comprare asset sostitutivi; il secondo dalla collaborazione tra autorità, emittenti e operatori che possono individuare o bloccare transazioni. Il progresso sul primo fronte non misura automaticamente il successo del secondo.
I segnali concreti da seguire sono la pubblicazione delle prove di riserva aggiornate e verificabili, l’effettiva riapertura delle singole coppie rete e asset, la quota dei token ancora da acquistare e gli aggiornamenti delle autorità sui fondi tracciati o congelati. Binance ha promesso un rapporto post incidente dopo la conclusione dell’indagine. Fino a quel momento, il 95% resta una dichiarazione dell’exchange sul livello di copertura, mentre l’attribuzione a TraderTraitor resta quella formulata dall’FBI.
