Binance: furto da 6,3 miliardi, CFO in uscita e verifiche
Binance cambia direttore finanziario dopo un attacco che, secondo le ricostruzioni disponibili, avrebbe sottratto asset per oltre 6,3 miliardi di dollari. Kaiser Ng lascerà l’incarico, ma la società dichiara che la successione era preparata da circa sei mesi e non dipende dall’incidente. La vicinanza temporale non dimostra quindi che l’uscita sia una conseguenza del furto.
Il quadro disponibile al 10 novembre 2026 documenta soprattutto misure di contenimento finanziario: sospensione e successiva riapertura dei prelievi, promessa di copertura delle perdite e congelamento di parte degli asset sottratti. Non identifica invece il componente tecnico compromesso, versioni vulnerabili o patch correttive. La distinzione è centrale: ripristinare l’operatività non equivale a dimostrare la rimozione dell’accesso iniziale degli attaccanti.
Binance cambia CFO, ma il nesso con l’attacco non è provato
Le fonti collocano l’avvicendamento tra il 7 e l’8 novembre. Secondo la posizione aziendale riportata da Criptovaluta.it, la transizione era già pianificata e Ng lascerebbe per nuove iniziative o opportunità professionali. Presentare le dimissioni come risposta accertata alla crisi contraddirebbe questa ricostruzione, senza prove alternative nei materiali disponibili.
Resta inoltre una discrepanza sul successore: una fonte indica Justin Yek, un’altra Justin Rex; entrambe lo descrivono come ex dirigente di Airwallex. Non è possibile risolvere il conflitto sulla base delle informazioni fornite. Il nome richiede conferma, mentre la conseguenza organizzativa è già leggibile: la funzione finanziaria deve garantire continuità durante la gestione delle perdite e dei deflussi.
La promessa di rimborsare integralmente gli utenti va distinta dalla disponibilità immediata di liquidità. Anche qualora le perdite siano assorbite dalla società, rimangono da verificare tempi, modalità e capacità di sostenere i prelievi. Il cambio al vertice non dimostra, da solo, né un cedimento né un rafforzamento dei controlli interni.
Attacco nordcoreano: attribuzione e superficie esposta restano distinti
Una delle ricostruzioni riferisce che Binance avrebbe attribuito l’attacco al gruppo nordcoreano TraderTraitor, in collaborazione con l’FBI. Un’altra parla più generalmente di hacker di Stato nordcoreani. Nei materiali non sono però presenti un rapporto investigativo primario, indicatori di compromissione o una descrizione verificabile della catena d’intrusione.
Il brief richiama l’ingegneria sociale contro dipendenti, ma non documenta account coinvolti, autorizzazioni ottenute, eventuali dispositivi compromessi o passaggi di approvazione aggirati. Non si può quindi stabilire se il punto debole fosse un’applicazione, una sessione autenticata, un’integrazione o un processo operativo. L’attribuzione dell’autore non identifica automaticamente la vulnerabilità.
Non sono forniti CVE, punteggi CVSS, intervalli di versioni interessate o release correttive. Il caso non consente dunque di costruire una matrice di patch né di indicare un aggiornamento risolutivo. È riportato un furto effettivo; non è documentato un exploit software riproducibile che permetta di dedurre l’esposizione di altre installazioni.
Meme coin e pool di liquidità: cosa spiega il riciclaggio
Il dettaglio tecnico più concreto riguarda una fase successiva al furto. Secondo un’analisi di Elliptic riportata da Punto Informatico, gli attaccanti avrebbero usato sei meme coin sulla blockchain NEAR per movimentare circa 430.000 dollari dei fondi sottratti, attraverso scambi con altri asset in un pool di liquidità su un exchange decentralizzato.
Il meccanismo aggiunge passaggi tra token, wallet e scambi, aumentando il lavoro necessario per ricostruire il percorso economico dei fondi. Non cancella però le transazioni dalla blockchain pubblica: la tecnica descritta rallenta il tracciamento, non dimostra che gli asset siano diventati irrintracciabili. Inoltre, i 430.000 dollari riguardano una porzione del furto, non una spiegazione dell’intero riciclaggio.
Criptovaluta.it riferisce che circa metà dei fondi rubati sarebbe stata congelata da Tether e Circle. Mancano tuttavia dettagli sufficienti su asset, indirizzi, tempi e condizioni del blocco. Fondi congelati non significa necessariamente fondi recuperati e restituiti: il contenimento limita la movimentazione, mentre il recupero richiede ulteriori passaggi non documentati.
Presunto data breach: l’annuncio non prova una seconda intrusione
Punto Informatico riporta anche un annuncio su un forum per la presunta vendita dei dati di 335 milioni di utenti Binance, attribuito a ShinyHunters, con una richiesta di 900.000 dollari. Binance nega il data breach e afferma di non aver trovato prove di compromissione dei propri sistemi, dei dati di identificazione KYC, delle credenziali o delle informazioni sull’infrastruttura interna.
La smentita delimita quanto l’azienda dichiara di avere verificato, ma non costituisce una garanzia universale sull’origine di qualsiasi dato circolante. La società cita, come possibile spiegazione di casi analoghi, malware infostealer sui dispositivi degli utenti. Non è però dimostrato che questa sia l’origine del materiale annunciato. Furto di asset e presunta vendita di dati devono restare due eventi distinti, finché mancano prove del collegamento.
Contenimento e verifiche: le azioni difensive applicabili
In assenza di un advisory tecnico, non è giustificato prescrivere aggiornamenti, riavvii o modifiche applicative specifiche. Le verifiche immediatamente sostenibili riguardano invece esposizione finanziaria e continuità operativa:
- Inventariare fondi, account e processi che dipendono dall’exchange, distinguendo disponibilità contabile e possibilità effettiva di prelievo.
- Riconciliare saldi e movimentazioni con i registri disponibili, documentando eventuali anomalie senza attribuirle automaticamente all’attacco.
- Verificare attraverso i canali ufficiali condizioni dei prelievi, copertura delle perdite ed eventuali istruzioni di sicurezza, evitando procedure basate su annunci non autenticati.
- Per i sistemi integrati, attendere indicazioni tecniche verificabili prima di considerare una modifica locale come rimedio all’incidente della piattaforma.
La priorità è accertare accessibilità dei fondi e dipendenze operative, non dedurre la sicurezza dalla sola riapertura dei prelievi. Il congelamento degli asset può ridurre il danno e la copertura promessa può proteggere economicamente gli utenti; nessuna delle due misure dimostra, da sola, che il percorso d’intrusione sia stato chiuso. Il vincolo irrisolto resta una validazione tecnica pubblicamente documentata del contenimento e della bonifica.