Nella notte tra il 29 e il 30 ottobre il più grande exchange del mondo ha perso circa 6,3 miliardi di dollari, secondo le sue stesse stime: il furto di cripto più grande mai registrato, quattro volte Bybit 2025. Ma la parte che vale la pena capire non è la cifra. Nessuna chiave privata è stata violata, nessun algoritmo è stato rotto. Qualcuno ha ottenuto che i sistemi di Binance firmassero transazioni scelte da lui.

Dieci blockchain, venti minuti

Secondo TRM Labs l’attacco è iniziato alle 20:05 UTC sulla XRP Ledger: cinque wallet Binance hanno inviato 233,46 milioni di XRP a un unico indirizzo. Poi Solana, Optimism, Tron, Arbitrum, Avalanche, Polygon, Base. Alle 20:20 un hot wallet Bitcoin ha mandato 18.270 BTC, circa 1,4 miliardi di dollari, spezzati in pochi minuti in 19 wallet — diciassette con esattamente 1.000 BTC ciascuno. Alle 04:23 di venerdì nessuno dei 19 aveva mosso una moneta.

Il cuore tecnico è su Ethereum: con una delega EIP-7702, lo strumento introdotto con Pectra, l’attaccante ha trasformato un hot wallet in uno «sweeper» sotto il proprio controllo, presentando in un’unica transazione cinquanta autorizzazioni pre-firmate. Il wallet processa prelievi continui e il suo contatore avanza: cinquanta firme consecutive garantivano che una fosse ancora valida. Ne è bastata una: 167.464 ETH uscirono in una sola transazione.

Di chi è la colpa

TRM attribuisce l’operazione a TraderTraitor, l’unità hacker nordcoreana, «con alta confidenza»; Chainalysis parla di 6,4 miliardi; ZachXBT ha mostrato che i fondi Binance e quelli del precedente exploit Bitget si sono ricongiunti sullo stesso indirizzo dopo THORChain. Binance indica una pista più prosaica: il portatile compromesso di un ingegnere DevOps, che avrebbe aperto un container e permesso prelievi non autorizzati, senza fuga di chiavi private.

Cosa si ferma e cosa no

Gli emittenti di stablecoin si sono mossi in ore: Tether, Circle, Ripple e World Liberty Financial hanno congelato circa 2,7 miliardi tra USDT, USDC e RLUSD, e il Security Council di Arbitrum ha spostato d’autorità 8.426 ETH. Binance parla di 3 miliardi congelati. Il resto no: 420.000 ETH e 18.270 BTC sono fuori dalla portata di chiunque, perché il bitcoin non ha un emittente che possa mettere una blacklist.

L’exchange coprirà tutte le perdite con il fondo SAFU e con fondi propri. Ma i dati di proof of reserves mostrano una frizione: i wallet svuotati comparivano a bilancio come copertura dei saldi dei clienti, e i 204.500 ETH sottratti lasciano la copertura in ether al 94 per cento. Il SAFU, secondo CoinDesk, vale circa un miliardo in bitcoin: meno di un sesto del buco.

Intanto il mercato ha reagito senza panico — bitcoin intorno ai 78.500 dollari, BNB a 716 — ma gli investitori istituzionali stanno spostando asset fuori dagli exchange. La lezione non è che il bitcoin sia insicuro: è che la sicurezza di una piattaforma si gioca dove una macchina chiede a un’altra di firmare, e lì un portatile, un container, un’autorizzazione di troppo pesano più di qualsiasi curva ellittica.

Fonti verificate: TRM Labs, «North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History» (29 ottobre 2026); Binance Support, «Security Incident Update» (30 ottobre 2026, 02:23); Cointelegraph, «North Korea’s TraderTraitor linked to $6.3B Binance hack» (30 ottobre 2026); CoinDesk, «Binance hacker splits $1.4 billion of bitcoin into 19 wallets that no one can freeze» e «Binance says customer money is safe after huge hack drains key reserve wallets» (30 ottobre 2026); Bloomberg (29-30 ottobre 2026); BBC (30 ottobre 2026); CNBC (30 ottobre 2026); TechCrunch (29 ottobre 2026); The Block (29 ottobre 2026).