29 ottobre, ore 20:05 UTC: in una ventina di minuti escono da Binance oltre 6,3 miliardi di dollari. La crittografia ha retto, a cedere è stata la catena delle firme. L’FBI accusa TraderTraitor, l’unità d’élite degli hacker nordcoreani. Quasi metà del bottino è congelata, ma oltre 3 miliardi restano fuori portata…

Immagine di repertorio.

A New York sono le quattro del pomeriggio. A Pyongyang sono le cinque di venerdì mattina, e qualcuno sta per chiudere il turno di notte più redditizio della storia del Paese.

Alle 20:05 UTC del 29 ottobre 2026 cinque portafogli Binance sul XRP Ledger inviano 233 milioni di XRP a un indirizzo sconosciuto. Alle 20:20 escono 18.270 bitcoin. Nello stesso minuto parte l’attacco al wallet Ethereum, che tre minuti e mezzo dopo viene ripulito. Poi Tron, Solana, Avalanche, Polygon. Il nucleo dell’operazione dura una ventina di minuti. Le code proseguono fino a notte fonda.

Il conto finale dipende da chi lo fa. Binance parla di 6,3 miliardi di dollari. TRM Labs arriva a 6,36 miliardi su dieci blockchain. Elliptic a 6,43 miliardi su undici. Le cifre divergono per perimetro e prezzi di riferimento, ma l’ordine di grandezza è uno solo: mai visto.

Per capirci. È circa quattro volte il colpo a Bybit del febbraio 2025, che fino a ieri deteneva il record. Secondo Elliptic è il furto più grande della storia in senso assoluto, non solo cripto: supera di oltre sei volte il miliardo di dollari che Saddam Hussein fece prelevare dalla Banca centrale irachena nel 2003. Ed è persino più della multa da 4,3 miliardi che Binance concordò con il governo americano nel 2023. Allora a incassare fu Washington. Stavolta lo sportello l’ha aperto Kim Jong-un.

Il 31 ottobre l’FBI ha messo la firma: dietro c’è TraderTraitor, unità d’élite dell’apparato cyber nordcoreano. Ed è qui che il sarcasmo deve fare un passo indietro. Perché i soldi rubati a un exchange di Singapore, Dubai o dovunque abbia sede Binance questa settimana, finiscono nella cassa di uno Stato che li usa per costruire armamenti, tra i quali missili balistici.

Il laptop, il container e le cinquanta firme

Bitcoin non è stato hackerato. Ethereum nemmeno. La crittografia ha retto perfettamente: ogni transazione partita dai wallet Binance portava una firma valida. Il problema è chi ha chiesto di firmarle.

La prima versione ufficiale di Binance, il 30 ottobre, puntava sul laptop compromesso di un ingegnere DevOps. Da lì l’aggressore avrebbe raggiunto un service container interno e da quel punto inviato richieste di prelievo non autorizzate. Poche ore dopo un secondo comunicato ha aggiunto “ulteriori punti di compromissione”, senza specificare quali. L’exchange sostiene di non aver trovato prove di fughe di chiavi private. Un post-mortem completo, a oggi, non esiste.

Trentasei ore di prove generali

La ricostruzione on-chain di TRM Labs racconta un’operazione tutt’altro che improvvisata:

1. 28 ottobre, mattina. Il wallet operativo dell’attaccante riceve tre piccoli prelievi da Tornado Cash, il mixer che serve a rendere anonimo il carburante iniziale.
2. 29 ottobre, prime ore. Viene distribuito e testato il codice d’attacco su due wallet di prova.
3. 29 ottobre, più tardi. La versione finale viene provata su un terzo wallet. Quattro ore dopo, lo stesso codice viene agganciato al wallet Binance.
4. 20:05–20:23 UTC. Il prelievo vero e proprio, su più catene in parallelo.

Il trucco della lotteria a numeri consecutivi

Il dettaglio più elegante, e più inquietante, riguarda EIP-7702. È una funzione arrivata su Ethereum con l’aggiornamento Pectra del maggio 2025. Permette a un normale account di firmare una delega che gli fa eseguire il codice di un contratto intelligente. Pensata per rendere i wallet più comodi, si è rivelata comodissima anche per chi i wallet li svuota.

Ogni delega però vale solo per un preciso nonce, il contatore delle transazioni dell’account. Il wallet caldo di Binance processava prelievi di continuo, quindi quel contatore si muoveva in continuazione. Soluzione degli attaccanti: farsi firmare in anticipo cinquanta autorizzazioni, una per ciascun nonce consecutivo. È come comprare cinquanta biglietti della lotteria con numeri in fila sapendo che l’estrazione cadrà lì in mezzo. Uno ha vinto.

Alle 20:20 la delega entra in blocco. Tre minuti e ventiquattro secondi dopo un contratto sweeper controllato dall’attaccante svuota il wallet: 167.464 ETH e 63 token, fra cui 1,6 miliardi di USDT. Una singola transazione da oltre 2,5 miliardi di dollari.

Perché non è stato un banale phishing

Qui sta il punto che molti titoli hanno mancato. EIP-7702 spiega Ethereum, non il resto. Sulle altre nove blockchain i fondi sono usciti con normalissimi trasferimenti firmati, nella stessa finestra di pochi minuti. Un secondo wallet Ethereum ha inviato 28.006 ETH senza alcuna delega. Per TRM la spiegazione più probabile è una compromissione dell’infrastruttura che produce le firme dei wallet caldi. In altre parole: chi ha attaccato non ha rubato una chiave, si è fatto consegnare il timbro.

Chi ha attaccato non ha rubato una chiave, si è fatto consegnare il timbro.

Il caso Binance assomiglia in modo imbarazzante a quello di Bybit. Anche nel febbraio 2025 il punto d’ingresso fu la macchina di uno sviluppatore, in quel caso di un fornitore esterno. Le tecniche documentate di TraderTraitor parlano la stessa lingua: falsi recruiter che contattano ingegneri con offerte di lavoro, applicazioni infettate, perfino moduli Terraform manomessi per colpire chi gestisce infrastrutture cloud. Non è provato che a Binance sia andata così. Ma il bersaglio prediletto del gruppo, da anni, è esattamente la persona che ha in mano le chiavi del pipeline.

C’è una domanda alla quale nessuno ha ancora risposto. Sei miliardi sono usciti in venti minuti da dieci blockchain diverse. Dov’erano i limiti di velocità, le soglie giornaliere, l’approvazione umana per i movimenti anomali? Sono le protezioni standard di qualunque hot wallet serio. Qualcosa non è scattato, o non c’era. La co-CEO Yi He, in un video su X, ha ammesso che l’azienda avrebbe dovuto investire di più in sicurezza prima. Ammissione apprezzabile. Un po’ come scoprire che serviva l’antifurto mentre il camion dei traslochi gira l’angolo.

Il bottino: congelato, coperto, ma non recuperato

Circa il 44% del bottino è bloccato, ma bloccato non vuol dire restituito. Le cifre, oltretutto, si muovono di ora in ora: TRM contava 2,7 miliardi congelati la notte del 30 ottobre, Elliptic ne ha verificati 2,85 alle 05:50 UTC del 1° novembre, Binance parla di circa 3 miliardi.

Per un settore che si definisce decentralizzato, è stata una notte memorabile di pulsanti rossi centralizzati.

La metà buona della notizia ha un nome preciso: stablecoin. USDT e USDC hanno un emittente centrale che può bloccare un indirizzo con un clic. Tether ha congelato circa 1,77 miliardi, Circle 825 milioni, Ripple 40,5 milioni in RLUSD, World Liberty Financial quasi 28 milioni in USD1. Il Security Council di Arbitrum ha forzato il trasferimento di 8.426 ETH e 74,6 milioni di ARB. Aave ha congelato i mercati usati dall’attaccante. Per un settore che si definisce decentralizzato, è stata una notte memorabile di pulsanti rossi centralizzati.

La metà cattiva: Bitcoin, Ether e gli altri asset nativi non hanno un emittente da chiamare. Elliptic stima che circa 3,25 miliardi siano in asset impossibili da congelare, distribuiti su oltre 800 indirizzi. I 18.270 BTC sono stati frazionati in 19 indirizzi, quasi tutti da mille bitcoin tondi. Al 1° novembre circa 439 milioni in XRP, SOL e NEAR non si erano ancora mossi. Restano lì, come una valigia in un deposito bagagli di cui qualcuno ha la ricevuta.

Riciclare in fretta, a qualunque prezzo

I riciclatori nordcoreani hanno scelto la velocità sulla convenienza. Il motivo è semplice: ogni minuto passato in stablecoin è un minuto in cui Tether può congelare. Così TRM ha visto vendere 325 milioni di USDT in cambio di ETH a un prezzo implicito di circa 2.650 dollari, quando il mercato ne chiedeva 2.300–2.350. Elliptic stima perdite fra il 12% e il 26% rispetto ai prezzi di mercato. Lo Stato più sanzionato del pianeta si è trasformato per una notte nel cliente più generoso della finanza decentralizzata. Secondo Bloomberg, i trader più svelti ci hanno guadagnato circa 119 milioni.

Il resto porta la firma dell’automazione. Chainalysis ha osservato migliaia di transazioni circolari e indirizzi che ricevono come primo movimento esattamente 1 TRX. Elliptic ha contato 1.113 trasferimenti da un solo wallet Tron, con un intervallo mediano di 90 secondi e importi randomizzati. Non un uomo che clicca ma uno script.

Quale è stata la risposta di Binance? Ha sospeso i prelievi e promesso di coprire tutte le perdite con fondi propri: tesoreria aziendale, fondo d’emergenza SAFU, fondo assicurativo Futures e riserve in bitcoin. Il 31 ottobre dichiarava ricostituito il 90% degli asset sottratti, il 1° novembre circa il 95%. Il resto riguarda token poco liquidi, difficili da ricomprare in fretta.

I prelievi sono ripartiti alle 06:00 UTC del 1° novembre, a fasi, partendo da 15 asset su 15 reti. Nel primo giorno sono usciti 4,65 miliardi ed entrati 1,01: un deflusso netto di 3,64 miliardi. Lunedì mattina il saldo netto era salito a 4,7 miliardi, meno del 3% dei 166 miliardi custoditi. Il 2 novembre è arrivata la prova delle riserve a conoscenza zero per dieci criptovalute, con snapshot al 31 ottobre. Il prossimo è previsto per il 4 novembre. Il fondatore Changpeng Zhao assicura che il 98% degli utenti è rimasto. Bitcoin ha perso circa il 5% e scambia intorno ai 78.000 dollari.

Tre parole, quindi, da non confondere. Congelato: fermo, ma non ancora restituito per via legale. Coperto: Binance ha messo soldi suoi al posto di quelli rubati. Recuperato: tornato davvero indietro dagli aggressori. Al momento solo le prime due sono vere, e in parte.

Chi è stato: TraderTraitor, ora con il timbro dell’FBI

Il 31 ottobre l’FBI, insieme al Secret Service e alla divisione investigativa dell’IRS, ha attribuito ufficialmente il furto a TraderTraitor. Due giorni dopo il colpo: per gli standard dell’attribuzione governativa, un lampo. L’avviso elenca centinaia di indirizzi usati per il riciclaggio, oltre 600 su Ethereum, quasi 20 su Bitcoin e uno su Solana. E chiede a nodi THORChain, servizi di swap istantaneo, protocolli DeFi e società di analisi di bloccare qualunque transazione che ne derivi.

Le società di intelligence blockchain erano arrivate prima. TRM Labs ha parlato di attribuzione “ad alta confidenza” già nella notte fra il 29 e il 30 ottobre. Chainalysis ha annunciato la stessa conclusione alle 00:30 ora di New York del 30 ottobre, dopo aver visto in tempo reale i fondi Binance mescolarsi a quelli rubati un mese prima a Bitget. Elliptic ha giudicato il coinvolgimento nordcoreano “probabile”, poi confermato.

Un curriculum che parla da solo

TraderTraitor ha molti nomi: Jade Sleet per Microsoft, UNC4899 per Mandiant, Slow Pisces, Pressure Chollima. Il soprannome nasce da un avviso del governo americano del 2022 sulle app di trading infettate con cui il gruppo adescava le vittime. Fa parte della galassia Lazarus, l’apparato cyber che risponde all’intelligence militare di Pyongyang. Il palmarès recente:

Indizi convergenti, quindi: il riciclaggio in comune con Bitget, servizi già usati in furti attribuiti allo stesso gruppo come BigONE, WOO X e AFX, e una firma operativa che TRM ritrova identica nel caso KelpDAO. Piccoli prelievi da Tornado Cash per finanziare l’operazione, preparazione con largo anticipo, firme ottenute prima e usate tutte insieme. Cambia solo lo stile di lavaggio: Bybit passò soprattutto dai bridge fra blockchain, Binance soprattutto da swap e piattaforme di prestito.

Un’attribuzione dell’FBI è una valutazione significativa ma non certa. Restano aperti due nodi. Il primo: Binance stessa ha detto che l’attacco “non è stato compiuto da una sola persona”, senza chiarire quali siano gli altri punti d’ingresso. Il secondo: come entrare in un sistema interno con firme valide su dieci blockchain diverse resta, ad oggi, il segreto meglio custodito della vicenda.

Perché Pyongyang ruba: l’economia del bancomat

Un solo furto ha fruttato, sulla carta, più di tredici anni di esportazioni ufficiali della Corea del Nord. Questo numero, più di ogni dettaglio tecnico, spiega perché il regime investe nei suoi hacker come altri Paesi investono nell’industria.

Nel 2017 il Consiglio di sicurezza dell’ONU ha chiuso i rubinetti classici. La risoluzione 2371 ha vietato l’export di carbone, ferro e prodotti ittici; la 2375 quello dei tessili, insieme a un tetto sul petrolio raffinato. Secondo i dati KOTRA, nel 2025 le esportazioni nordcoreane documentate valevano 468,6 milioni di dollari, contro 1,77 miliardi nel 2017. Il 98% del commercio passa dalla Cina.

Il buco va riempito, e le strade sono note. Lavoratori spediti all’estero in violazione delle sanzioni: fra 35.000 e 100.000 secondo l’ultimo rapporto del Multilateral Sanctions Monitoring Team, che nel 2025 avrebbero fruttato fra 450 e 800 milioni, in parte lavorando in fabbriche russe di droni militari. Armi e munizioni vendute a Mosca. Informatici sotto falsa identità assunti da aziende occidentali. E, soprattutto, furti di criptovalute.

Il secondo rapporto MSMT, firmato da undici Paesi fra cui l’Italia, stima furti cripto per circa 1,2 miliardi nel 2024 e almeno 1,65 miliardi fra gennaio e settembre 2025, di cui 1,4 miliardi dal solo colpo a Bybit. Secondo lo stesso organismo, nel 2024 il valore dei furti equivaleva a circa un terzo delle entrate in valuta estera del Paese. Il rapporto documenta anche l’uso di stablecoin per comprare equipaggiamento militare e materie prime come il rame per le munizioni. L’intelligence americana stima che Pyongyang incassi almeno un miliardo l’anno fra furti cripto e altri crimini finanziari. Il furto Binance cambia la scala. Elliptic calcola che da solo quasi raddoppi tutto quanto la Corea del Nord aveva rubato in criptovalute negli anni precedenti, già oltre 6,5 miliardi.

Attenzione però a non trasformare un titolo in un’equazione. Il valore rubato non è il valore speso. Quasi metà del bottino è congelata, il resto si svaluta a ogni conversione frettolosa, e ogni intermediario prende la sua fetta. Anche se a Pyongyang arrivasse soltanto la metà, sarebbero comunque più di sei anni di export ufficiale.

La formula “i bitcoin hanno sostituito carbone e tessili” funziona come sintesi giornalistica, ma va presa con le pinze. I furti informatici sono diventati una voce enorme del bilancio occulto nordcoreano, non necessariamente la prima. Le vendite di armi alla Russia e i lavoratori all’estero pesano, e negli ultimi due anni sono cresciuti.  L’MSMT descrive l’apparato cyber nordcoreano come un programma nazionale che serve ad aggirare le sanzioni e finanziare le priorità del regime, a cominciare dalle armi.

Sanzioni contro script: la partita geopolitica

Il tempismo ha qualcosa di beffardo. Il 28 ottobre, ventiquattro ore prima del colpo, l’Unione europea e undici Paesi, Italia compresa, hanno firmato una dichiarazione congiunta contro le attività illecite nordcoreane. Lo stesso giorno il Tesoro americano ha sanzionato dieci persone e una società coinvolte nello schema dei falsi informatici. Il giorno dopo Pyongyang ha incassato sei miliardi. Nessun legame causale, sia chiaro: un’operazione preparata da giorni non nasce da un comunicato stampa. Ma il contrasto fra la lentezza della diplomazia e la velocità di uno script non potrebbe essere più eloquente.

Le sanzioni funzionano sui container nei porti e sui conti nelle banche. Contro chi preleva da remoto, servono altri strumenti: emittenti di stablecoin pronti a congelare, exchange che bloccano gli indirizzi segnalati, protocolli DeFi disposti a usare i loro freni d’emergenza, società di analisi che seguono i fondi in tempo reale.

C’è poi il fattore Mosca. Nel 2024 la Russia ha posto il veto sul rinnovo del gruppo di esperti ONU che monitorava le sanzioni alla Corea del Nord. Gli alleati occidentali hanno risposto creando l’MSMT, ma un organismo fuori dalle Nazioni Unite non ha la stessa forza. Nel frattempo Pyongyang vende munizioni a Mosca, manda lavoratori nelle sue fabbriche di droni e ottiene in cambio protezione diplomatica. Chiedere alla Russia di stringere la cinghia al suo fornitore di proiettili è, diciamo, una strategia ottimista.

Le lezioni per chi custodisce i soldi degli altri

Per exchange e custodi il messaggio è brutale: la cassaforte era blindata, la porta di servizio no. Le contromisure non sono un mistero:

• Separare davvero i poteri di firma, perché nessun singolo sistema o singolo ingegnere possa autorizzare prelievi su più catene.
• Limiti di velocità e soglie che bloccano automaticamente uscite anomale, con approvazione umana sopra certi importi.
• Sorvegliare le nuove superfici d’attacco come le deleghe EIP-7702, che un hot wallet non dovrebbe poter firmare senza controlli dedicati.
• Trattare i laptop degli ingegneri come infrastruttura critica, perché lo sono, e formare chi li usa contro i falsi recruiter.

Per i regolatori il caso diventa la prova regina per chiedere che la catena intera, dal portatile dello sviluppatore alla transazione firmata, sia governata come un’infrastruttura finanziaria vera. Per gli utenti vale il vecchio adagio del settore: se le chiavi non sono tue, nemmeno le monete lo sono davvero. Questa volta Binance ha potuto coprire sei miliardi con la cassa propria. Non tutti gli exchange del mondo hanno sei miliardi in cassa.

Il colpo del 29 ottobre non ha rotto alcun algoritmo. Ha sfruttato persone, procedure e una funzione nuova di zecca usata in modo creativo. È la stessa lezione di Bybit, ripetuta a una scala quattro volte più grande, appena venti mesi dopo. A Pyongyang l’hanno imparata benissimo. Resta da capire se l’abbia imparata anche il resto del settore, o se fra un anno saremo qui a scrivere di un nuovo record.