Sicurezza delle hot wallet degli exchange crypto dopo l’attacco a Binance

Binance ha dichiarato che gli aggressori hanno ottenuto accesso a un servizio interno di firma dei wallet, trasferendo asset al di fuori della normale procedura di prelievo dell’exchange, secondo Cointelegraph. Richard Teng, co-CEO di Binance, ha affermato che l’incidente ha coinvolto una hot wallet di proprietà dell’exchange, mentre la maggior parte degli asset dei clienti era custodita offline in cold storage e trasferita nelle hot wallet quando serviva liquidità per i prelievi.

TRM Labs ha tracciato circa $6.36 billion in uscita da wallet attribuiti a Binance su dieci blockchain. Secondo TRM, la maggior parte di questo valore è stata trasferita in circa 20 minuti, a partire dalle 20:05 UTC del 29 ottobre 2026.

La questione centrale per la sicurezza non è soltanto quanto fosse depositato in una singola hot wallet, ma quali operazioni potesse autorizzare il servizio di firma compromesso e con quale rapidità fosse possibile ripristinare la liquidità. Si tratta di un’inferenza basata sulla descrizione fornita da Binance dei trasferimenti da cold wallet a hot wallet e sulle questioni ancora irrisolte individuate da Cointelegraph.

TRM Labs ha riferito che, nella fase su Ethereum, sono stati utilizzati una delega EIP-7702 e un lotto di 50 autorizzazioni pre-firmate. Secondo TRM Labs, una delle autorizzazioni corrispondeva al nonce corrente della hot wallet e ha consentito di svuotarla ripetutamente.

I dati pubblici della blockchain possono mostrare i movimenti degli asset, ma non permettono di ricostruire l’architettura interna di firma di un exchange, le sue regole di autorizzazione o i limiti di transazione applicati in modo indipendente, come osservato da Cointelegraph.

Per un trader, quindi, l’istantanea del saldo di un wallet non basta a definire l’esposizione massima a una perdita. Restano da chiarire la presenza di limiti di transazione, allowlist, verifiche indipendenti delle policy o approvazioni manuali nel servizio di firma, oltre al valore complessivo che questo poteva autorizzare mentre veniva ripristinata la liquidità delle hot wallet.

Coinbase afferma che più del 99% degli asset presenti sulla sua piattaforma è custodito in cold wallet e che i saldi eccedenti delle hot wallet vengono continuamente riallocati in cold storage. Coinbase dichiara inoltre di applicare rate limit ai trasferimenti da cold wallet a hot wallet, di esaminare i prelievi anomali prima dell’esecuzione delle transazioni e di poter disattivare le chiavi di firma mediante kill switch crittografici.

Gate ha comunicato che, nell’istantanea del 4 novembre 2026, l’88.26% degli asset totali era in cold storage e l’11.74% in hot wallet, con un rapporto di copertura della cold storage dichiarato dalla società pari al 104.58% rispetto agli asset degli utenti. Gate definisce idonei alla cold storage gli asset custoditi offline o da depositari indipendenti, non utilizzati direttamente per depositi e prelievi ordinari e trasferibili solo previa autorizzazione di più parti.

La ricerca fornita non dimostra che queste informative siano state verificate in modo indipendente utilizzando definizioni, basi patrimoniali e periodi di rilevazione comparabili.

Chi valuta la custodia centralizzata rispetto alla self-custody può partire da questa violazione per porre domande più precise, anziché considerare la percentuale di cold storage una risposta esaustiva sulla sicurezza. La ricerca fornita lascia aperte le seguenti verifiche:

• I limiti di transazione e le allowlist degli indirizzi di destinazione sono applicati indipendentemente dall’applicazione wallet?
• I trasferimenti da cold wallet a hot wallet richiedono controlli separati delle policy o un’approvazione manuale?
• I controlli di emergenza possono disattivare le chiavi di firma quando viene rilevata un’attività anomala?
• Il sistema di firma ricostruito è stato sottoposto a un audit indipendente e i risultati saranno pubblicati?
• Quali controlli possono bloccare firme valide ma ottenute con finalità malevole dopo la compromissione dell’applicazione che le richiede?

La self-custody cambia chi controlla il wallet, ma non elimina la necessità di verificare i permessi di firma e le richieste di conferma delle transazioni.