Binance è stato hackerato il 29 ottobre 2026 per circa 6,3 mld $, il più grande furto crypto mai registrato. Cosa è successo, cosa dice Binance, cosa fare.
Giovedì 29 ottobre 2026 Binance, il più grande exchange di criptovalute al mondo, ha subito il più grande furto crypto mai registrato. Secondo la società di analisi blockchain TRM Labs, i fondi hanno iniziato a uscire dagli hot wallet di Binance alle 20:05 UTC e la maggior parte del furto si è conclusa in circa 20 minuti. Una seconda ondata è seguita intorno alle 23:05 UTC.
I primi segnali pubblici sono arrivati da utenti e osservatori on-chain che vedevano fondi defluire dai wallet di Binance. Binance ha detto a TechCrunch di essere a conoscenza di segnalazioni su un possibile problema di sicurezza e di aver sospeso temporaneamente, per precauzione, i prelievi su più reti in seguito a un incidente di sicurezza. Depositi e prelievi sono stati poi sospesi su tutta la piattaforma durante le indagini.
Sabato 31 ottobre l'FBI ha attribuito l'attacco a hacker nordcoreani, collegandolo al gruppo noto come TraderTraitor, lo stesso dietro l'hack da 1,5 miliardi di dollari a Bybit del febbraio 2025, ha riferito l'Associated Press. TRM Labs e Chainalysis avevano già attribuito l'attacco a TraderTraitor; TRM con «alta fiducia».
Binance stima l'impatto totale in circa 6,3 miliardi di dollari. Le stime indipendenti sono vicine ma non identiche: TRM Labs parla di circa 6,36 miliardi (valutati al momento di ogni trasferimento), Chainalysis di circa 6,4 miliardi, secondo CNBC.
La ripartizione per blockchain di TRM:
Poiché gran parte era in stablecoin, gli emittenti hanno potuto agire in fretta. Binance ha dichiarato che circa 3 miliardi di dollari sono stati congelati on-chain. TRM ha contato circa 2,7 miliardi congelati alle 00:30 UTC del 30 ottobre, principalmente da Tether (circa 1,77 miliardi di USDT) e Circle (circa 825 milioni di USDC), con congelamenti minori da parte di Ripple, World Liberty Financial e dell'Arbitrum Security Council. Bitcoin ed ether non hanno un emittente in grado di congelarli, quindi quegli asset sono rimasti all'aggressore. Congelato non significa recuperato: come ha spiegato a CNBC Ari Redbord di TRM, riavere i fondi congelati richiede un procedimento legale separato.
Binance non ha ancora pubblicato la causa principale, e i dettagli seguenti potrebbero cambiare quando lo farà.
Nel primo aggiornamento Binance ha detto che il laptop compromesso di un ingegnere DevOps potrebbe aver dato all'aggressore accesso a un container di servizio usato per inviare i prelievi, e di «non aver trovato prove di alcuna fuga di chiavi private dei wallet», ha riferito Decrypt. Il giorno dopo Binance ha affermato che le indagini successive avevano individuato «ulteriori punti di violazione». Il co-CEO Richard Teng ha aggiunto che l'aggressore «non ha semplicemente usato i permessi di un singolo ingegnere» e che non si è trattato di un'azione «con un clic».
Su Ethereum, secondo gli investigatori, l'aggressore ha usato EIP-7702, una funzione dell'aggiornamento Pectra che consente a un normale wallet di eseguire temporaneamente codice di smart contract. Secondo Hypernative, l'aggressore ha ottenuto un'autorizzazione valida che delegava uno dei principali hot wallet di Binance, etichettato Binance 14, a un contratto «sweeper» da lui controllato alle 20:20 UTC, svuotando poi circa 167.464 ETH e 63 token in un'unica chiamata. Binance ha revocato la delega alle 00:10 UTC del 30 ottobre. Sulle altre nove blockchain i fondi sono usciti con normali trasferimenti firmati: secondo TRM ciò indica una compromissione dell'infrastruttura di firma degli hot wallet e non un bug in uno smart contract.
TRM ha inoltre rilevato che la preparazione era iniziata almeno 36 ore prima: il wallet operativo dell'aggressore è stato finanziato tramite Tornado Cash il 28 ottobre e il codice dello sweeper è stato testato e provato su altri wallet prima di essere usato contro Binance.
Su un punto il messaggio di Binance è rimasto costante: la perdita non ricadrà sui clienti.
«In sintesi: i vostri soldi sono al sicuro e copriamo ogni perdita.» — Richard Teng, co-CEO di Binance, su X
Binance ha detto che coprirà le perdite con il fondo di emergenza SAFU e con fondi propri, e il 30 ottobre ha annunciato di aver messo a disposizione 6,34 miliardi di dollari. Il 31 ottobre Teng ha affermato che il 90% degli asset rubati era stato reintegrato. Al 1° novembre Binance dichiarava di averne coperto circa il 95%; il restante 5% è costituito da token meno liquidi che richiedono più tempo per essere reperiti, secondo CNBC.
Teng ha anche detto che l'indagine «non ha attribuito la responsabilità ad alcuna persona» e ha promesso «un post-mortem tecnico dettagliato una volta conclusa l'indagine e verificato ogni fatto».
Fai trading senza cedere la custodia
Binance ha iniziato a ripristinare i prelievi per fasi alle 06:00 UTC di domenica 1° novembre. Alle 12:36 UTC la prima fase, con 15 reti e asset, era attiva e i test proseguivano per le altre. The Block ha riferito che Cardano, Chainlink, Hyperliquid, Litecoin e NEAR erano tra le reti ancora in test in quel momento.
Nelle prime nove ore e mezza Binance ha dichiarato di aver elaborato 4,65 miliardi di dollari di prelievi e 1,01 miliardi di depositi: un deflusso netto di circa 3,64 miliardi, pari al 2,1% dei 171 miliardi di asset indicati nella proof of reserves del 28 ottobre. Secondo Binance i volumi di prelievo «si stanno stabilizzando come previsto» dopo un picco iniziale. I dati di terze parti divergono: la dashboard di DefiLlama mostrava deflussi netti più elevati, un dato contestato da Binance.
Binance ha annunciato una proof of reserves aggiornata basata su uno snapshot del 31 ottobre e calcolata con prove a conoscenza zero. Al momento della stesura non è ancora stata pubblicata ed è il principale punto aperto per valutare il bilancio dell'exchange dopo l'hack.
Sulla base degli elementi disponibili, Binance sembra in grado di assorbire la perdita. Sean Farrell di Fundstrat ha detto a CNBC che l'attacco non sembra creare un rischio di solvibilità significativo, e il deflusso netto alla riapertura è stato di circa il 2% degli asset. Agli utenti non è stato chiesto di condividere la perdita.
Le domande aperte riguardano la sicurezza, non la solvibilità. La causa principale non è pubblica, la spiegazione iniziale è già stata rivista e, secondo il conteggio di TRM del 30 ottobre, circa 2,4 miliardi di dollari in ETH e BTC restavano nei wallet dell'aggressore. Se Binance sia «sicuro» dipenderà da ciò che mostrerà il post-mortem e dalla tenuta delle correzioni.
Questo hack non è un fallimento delle criptovalute in sé, e nessuno dovrebbe festeggiarlo. Una squadra sostenuta da uno Stato ha passato giorni a preparare un attacco contro una delle strutture di sicurezza meglio attrezzate del settore, e finora la risposta di Binance ha protetto i suoi utenti. Va riconosciuto.
Mostra però un fatto strutturale. Quando tieni asset su un exchange centralizzato, possiedi un credito verso l'exchange, non le monete. La tua sicurezza dipende dai suoi hot wallet, dai sistemi di firma, dai dispositivi del personale e dal bilancio. Questa volta il bilancio è bastato a coprire 6,3 miliardi di dollari. Nel 2025 Bybit ha coperto una perdita da 1,5 miliardi. In entrambi i casi i clienti non hanno potuto muovere i propri fondi mentre l'exchange gestiva l'incidente.
La self-custody elimina questo livello. Con un wallet non custodial nessun hot wallet di un exchange detiene i tuoi fondi e non esiste un fondo comune che un singolo attacco possa svuotare. Non è privo di rischi: diventi responsabile delle tue chiavi e dei tuoi dispositivi, le stesse tecniche di phishing che colpiscono il personale degli exchange colpiscono anche i privati, e le piattaforme on-chain hanno i propri rischi legati a smart contract e bridge. Ma nessun exchange può sospendere i tuoi prelievi, e una violazione dei sistemi di firma di un exchange non raggiunge chiavi che detieni solo tu.
Dexly è un'app di trading non custodial costruita su Hyperliquid. Fai trading di perpetual e spot da un wallet che controlli tu, e Dexly non detiene mai i tuoi fondi. Provala su dexly.trade.
Avviso di Rischio: Il trading di futures perpetui comporta un rischio significativo di perdita. Fai trading solo con capitale che puoi permetterti di perdere. Dexly è un'interfaccia non-custodial; sei responsabile dei tuoi fondi e delle tue decisioni di trading.
Fai trading senza cedere la custodia