Attacco a Binance: 50 firme EIP-7702 e un laptop

Articolo

Cybersecurity

Consulenza CISO-as-a-service: postura, roadmap di remediation, supporto continuativo.

Scopri →

Il 29 ottobre 2026, a partire dalle 20:05 UTC, dai wallet caldi di Binance sono usciti fondi su più blockchain. Binance stima la perdita in circa 6,3 miliardi di dollari; le società di analisi on-chain arrivano a cifre vicine (6,36 miliardi per TRM Labs, circa 6,4 per Chainalysis). L’exchange ha sospeso depositi e prelievi e ha dichiarato che coprirà le perdite con il fondo SAFU e con fondi propri.

Il quadro che segue è quello del 30 ottobre: Binance non ha ancora pubblicato un’analisi delle cause e le ricostruzioni esterne si basano sulle transazioni visibili on-chain.

Il punto di ingresso secondo Binance

Nei risultati preliminari Binance indica il laptop compromesso di un ingegnere DevOps, dal quale l’attaccante avrebbe raggiunto un container di servizio e inviato transazioni di prelievo non autorizzate. Binance dice di non aver trovato prove di chiavi private sottratte. In un aggiornamento successivo ha però comunicato di aver individuato altri punti di violazione, e il co-CEO Richard Teng ha precisato che l’attaccante non si è limitato ai permessi di un singolo ingegnere. Come sia stato compromesso il laptop e quali siano gli altri punti non è stato reso noto.

Cosa mostrano le transazioni

Su Ethereum, alle 20:20 UTC, una transazione inviata da un wallet dell’attaccante ha portato 50 autorizzazioni EIP-7702, tutte firmate con la chiave del wallet caldo che Fireblocks identifica come Binance 14. Ne basta una valida per attivare la delega: secondo Fireblocks erano 50 perché almeno una risultasse valida al momento dell’elaborazione. EIP-7702, introdotto con l’aggiornamento Pectra, permette a un account controllato da una chiave (EOA) di eseguire il codice di uno smart contract: qui la delega puntava a un contratto dell’attaccante che raccoglie i fondi. Poco più di tre minuti dopo dal wallet sono usciti 167.464 ETH e 63 token, tra cui circa 1,6 miliardi di USDT (dati TRM Labs). Finché resta attiva, la delega consente nuovi prelievi senza altre firme: TRM Labs registra prelievi successivi fino alle 23:56 UTC. Binance ha poi revocato le autorizzazioni sull’indirizzo coinvolto.

Su altre reti, come Bitcoin, i fondi sono usciti con transazioni firmate normalmente, che EIP-7702 non spiega. Per TRM Labs l’attaccante ha ottenuto la capacità di far firmare transazioni al sistema di firma dei wallet caldi. È un’interpretazione coerente con quanto detto da Binance sulle chiavi private, ma l’exchange non l’ha confermata.

Fondi congelati e attribuzione

Emittenti di stablecoin come Tether e altri operatori hanno congelato parte dei fondi: Chainalysis stima circa 2,8 miliardi bloccati in totale. TRM Labs attribuisce l’attacco con alta confidenza al gruppo nordcoreano TraderTraitor e colloca l’inizio della preparazione oltre 36 ore prima. Chainalysis arriva alla stessa conclusione per il mescolamento con i fondi sottratti a Bitget e indica che il wallet operativo dell’attaccante era stato finanziato tramite Tornado Cash. Né Binance né autorità governative hanno confermato l’attribuzione.

Cosa si può già trarre

• Un’autorizzazione EIP-7702 non sposta fondi, ma fa eseguire al wallet il codice di un altro contratto finché resta attiva. Le regole che decidono cosa può essere firmato devono riconoscere questo tipo di operazione e trattarla a parte, non solo i trasferimenti: è anche l’indicazione di Fireblocks.
• Le postazioni di chi gestisce l’infrastruttura sono una strada verso il sistema di firma. Separazione delle reti, accesso privilegiato con approvazione di più persone e limiti per importo e destinazione restringono ciò che si ottiene da una singola postazione compromessa.
• Il monitoraggio deve coprire anche i cambi di stato dei wallet, come una delega di codice, oltre ai deflussi anomali.

Cosa resta incerto

• Come è stato compromesso il laptop e quali sono gli altri punti di violazione.
• Come l’attaccante ha ottenuto le firme sulle reti diverse da Ethereum.
• L’importo definitivo e la quota recuperabile. Da seguire: l’analisi delle cause promessa da Binance, la proof of reserves annunciata, la ripresa dei prelievi ed eventuali conferme dell’attribuzione da parte delle autorità.

Fonti

• TRM Labs, North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History
• Chainalysis, Binance Hack: Tracing the $6.4 Billion Theft to North Korea
• Fireblocks, Deconstructing the Binance Exploit
• BleepingComputer, Binance links $6.3 billion crypto theft to compromised DevOps laptop
• EIP-7702: Set Code for EOAs