Un ingegnere del software ha ricevuto quello che sembrava un normale approccio da un recruiter. Il recruiter aveva un'identità plausibile, ha condotto un colloquio video dal vivo e ha presentato un incarico tecnico nel round successivo.
L'incarico conteneva malware.
Binance afferma che il falso processo di reclutamento è stato uno dei diversi presunti punti di ingresso utilizzati prima che gli aggressori prelevassero circa 6,36 miliardi di dollari dai suoi wallet il 29 ottobre 2026. L'FBI ha da allora attribuito il furto alla Corea del Nord e ha identificato l'attività responsabile come TraderTraitor.
L'incidente è descritto come il più grande furto di criptovalute mai registrato. La sua importanza va oltre l'importo rubato. Dimostra che gli operatori nordcoreani utilizzano entrambi i lati del mercato del lavoro: spacciandosi per sviluppatori per entrare nelle aziende tecnologiche e come recruiter per compromettere le persone che già vi lavorano.
Cosa è successo nell'exploit di Binance?
Gli aggressori hanno trasferito circa 6,36 miliardi di dollari dai wallet di Binance su 10 blockchain, secondo la società di intelligence blockchain TRM Labs. La maggior parte dei fondi è stata spostata in circa 20 minuti.
Gli asset interessati includevano token su Bitcoin, Ethereum, Solana, XRP, Arbitrum e altre reti. Binance ha confermato che uno dei suoi wallet attivi collegati era coinvolto, affermando che la maggior parte degli asset dei clienti rimaneva in cold storage offline.
Binance ha dichiarato di aver stanziato oltre 6,34 miliardi di dollari di fondi aziendali per coprire le perdite. L'exchange e i suoi partner blockchain hanno anche bloccato circa 3 miliardi di dollari in asset interessati.
Un blocco impedisce ad alcuni asset di muoversi attraverso le reti, gli emittenti o i servizi partecipanti. Non significa necessariamente che i fondi siano stati recuperati e restituiti. Gli aggressori potrebbero ancora controllare gli asset che sono già stati scambiati, trasferiti o spostati oltre la portata delle organizzazioni partecipanti.
Perché l'FBI ha incolpato la Corea del Nord
L'FBI ha attribuito l'attacco alla Corea del Nord e lo ha collegato a TraderTraitor, un'etichetta utilizzata per attività malevole associate alle operazioni informatiche del paese.
L'ufficio ha avvertito che si prevedeva che gli aggressori continuassero a riciclare gli asset rubati attraverso protocolli di finanza decentralizzata e servizi di scambio istantaneo. Questi strumenti consentono agli utenti di scambiare asset tra token o reti, rendendo potenzialmente più complicata la traccia del denaro.
Le transazioni blockchain rimangono visibili, ma la visibilità non garantisce il recupero. Gli investigatori devono collegare i wallet attraverso diverse reti, determinare quali servizi sono stati utilizzati e identificare le persone che controllano gli indirizzi. Una volta che gli asset raggiungono piattaforme che non collaborano con le sanzioni o le richieste di identità, il recupero diventa più difficile.
TRM Labs ha affermato che le caratteristiche dell'attacco assomigliavano a precedenti furti collegati alla Corea del Nord. Anche Chainalysis ha valutato che TraderTraitor fosse probabilmente responsabile. L'attribuzione dell'FBI conferisce peso ufficiale alla rivendicazione, sebbene il registro forense completo non sia stato reso pubblico.
Il Falso Colloquio Era un Punto di Ingresso
Binance ha dichiarato che uno dei suoi ingegneri è stato contattato a settembre tramite una piattaforma legittima di ricerca di lavoro da qualcuno che affermava di rappresentare un'azienda fittizia.
Durante il primo colloquio, una persona che si spacciava per un rappresentante delle risorse umane è apparsa in una videochiamata dal vivo. Il profilo aveva abbastanza contenuti personali e storia professionale per apparire credibile.
Il secondo round includeva un incarico tecnico. All'ingegnere è stato chiesto di scaricare un repository di codice che era stato modificato per distribuire malware.
Binance ha anche scoperto un incidente separato in cui un altro ingegnere ha scaricato un installer di software manomesso mentre tentava di configurare uno strumento di codifica AI. Il team di sicurezza ha rilevato quell'installazione, ha sostituito il dispositivo e ha ruotato le credenziali. L'azienda ha in seguito dichiarato che il dipendente e i colleghi potrebbero essere stati comunque esposti.
Binance ha identificato molteplici presunti punti di compromissione. Le prove quindi non supportano la riduzione dell'intero furto a un colloquio o a un dipendente. L'approccio di reclutamento sembra essere stato parte di una campagna più ampia che ha impiegato mesi a prendere di mira persone con accesso a sistemi preziosi.
Perché i Colloqui di Lavoro Funzionano Come Metodo di Attacco
Un colloquio tecnico offre a un aggressore qualcosa che una normale email di phishing non offre: una ragione credibile per chiedere al bersaglio di eseguire codice.
Gli ingegneri del software clonano regolarmente repository, esaminano pacchetti e installano strumenti di sviluppo. Un incarico di colloquio costruito attorno a quelle azioni può apparire coerente con le normali pratiche di assunzione. L'aggressore non ha bisogno di creare panico o promettere una ricompensa implausibile. La richiesta si adatta al contesto.
I candidati potrebbero anche essere più ricettivi a nuovi contatti durante un mercato del lavoro difficile. Un recruiter convincente, un profilo aziendale realistico e diverse conversazioni possono abbassare i sospetti prima che venga scaricato qualsiasi file.
Questa è ingegneria sociale adattata agli sviluppatori. Invece di chiedere direttamente le credenziali, l'aggressore crea una situazione in cui il bersaglio introduce volontariamente software dannoso in un ambiente fidato.
La Corea del Nord Sfrutta Entrambi i Lati del Lavoro Remoto
Il falso reclutamento è solo una parte dell'operazione.
I lavoratori IT nordcoreani hanno anche utilizzato identità rubate e storie lavorative fabbricate per ottenere veri lavori presso aziende tecnologiche e finanziarie. I loro stipendi possono quindi essere trasferiti tramite conti, wallet di criptovalute e intermediari prima di raggiungere organizzazioni collegate al governo nordcoreano.
Un'azione del 28 ottobre da parte del Tesoro degli Stati Uniti ha sanzionato 10 individui e un'entità collegati a questi schemi. Due cittadini russi sono stati accusati di aver convertito circa 5,5 milioni di dollari in criptovalute per reti di lavoratori IT nordcoreani.
Chainalysis ha tracciato un flusso da un wallet che mostrava pagamenti in stablecoin simili a stipendi verso indirizzi di consolidamento sanzionati e poi verso un intermediario russo. I fondi sono stati infine inviati a Garantex, uno scambio russo sanzionato, per la conversione.
L'indagine di Chainalysis ha affermato che la rete più ampia di lavoratori IT potrebbe generare tra 250 e 600 milioni di dollari di entrate annuali per la Corea del Nord, citando stime di un panel delle Nazioni Unite.
Non ci sono prove pubbliche che i russi sanzionati il 28 ottobre abbiano partecipato all'exploit di Binance. I casi rivelano diverse parti della stessa strategia più ampia piuttosto che un gruppo provato di imputati.
L'IA Rende le False Identità Più Credibili
Gli operatori nordcoreani avrebbero utilizzato l'IA generativa per preparare curriculum, scrivere lettere di presentazione e fare pratica per i colloqui tecnici. Immagini del profilo generate dall'IA e video manipolati possono aiutare i candidati a nascondere le loro vere identità durante le chiamate remote.
Gli stessi strumenti possono supportare i falsi recruiter. Un aggressore può creare un'identità aziendale, produrre profili dall'aspetto professionale e mantenere conversazioni scritte convincenti senza gli errori linguistici che un tempo rendevano più facile rilevare le frodi.
Il video deepfake non deve essere perfetto. In un breve colloquio condotto tramite un feed video compresso, piccoli problemi visivi possono sembrare normali problemi di rete. Un candidato o un recruiter può anche incolpare la qualità della fotocamera, la larghezza di banda o le preoccupazioni per la privacy per mantenere lo sfondo sfocato.
L'IA non ha creato lo schema sottostante. Ha ridotto il costo del mantenimento di diverse false identità e ha reso meno affidabile lo screening di base.
Il Precedente Caso di Sanzioni Spiega la Pipeline Finanziaria
Le sanzioni del 28 ottobre forniscono un utile contesto su ciò che accade dopo che gli operatori nordcoreani ricevono pagamenti in criptovalute.
Il Tesoro degli Stati Uniti ha affermato che il cittadino russo Ilya Aleksandrovich Boykov ha convertito circa 3,5 milioni di dollari in criptovalute per Alis, un'azienda sanzionata collegata a lavoratori IT nordcoreani. Vitold Viktorovich Obertas è stato accusato di aver convertito quasi 2 milioni di dollari in criptovalute e di aver elaborato almeno 1,25 milioni di dollari in altre transazioni in valuta per funzionari nordcoreani.
Il Tesoro ha anche sanzionato il First Financial and Technical Development Center, un'organizzazione controllata dalla Corea del Nord operante in Russia. Sei lavoratori collegati all'organizzazione avrebbero generato oltre 750.000 dollari dal 2025.
Queste designazioni mostrano che l'operazione richiede più delle persone che possono superare i colloqui tecnici. Richiede anche manager, fornitori di identità, operatori di laptop, controllori di wallet e intermediari in grado di trasformare asset digitali in fondi utilizzabili.
Sanzionare un wallet può interrompere un percorso. La rete può rispondere cambiando indirizzi, catene, intermediari o servizi di incasso. Ecco perché il monitoraggio delle transazioni deve esaminare relazioni e comportamenti invece di fare affidamento solo su una blacklist statica.
Perché le Aziende di Criptovalute Sono Obiettivi Attraenti
Le aziende di criptovalute combinano il lavoro remoto con l'accesso diretto a valore trasferibile.
Gli sviluppatori possono avere accesso al codice sorgente, agli strumenti di distribuzione, all'infrastruttura cloud o ai sistemi di wallet interni. Gli ingegneri della sicurezza possono lavorare con credenziali che proteggono più reti. Un aggressore che compromette un endpoint può cercare un percorso verso sistemi che detengono asset che possono essere spostati in qualsiasi momento.
I trasferimenti finanziari tradizionali spesso passano attraverso sistemi di compensazione, banche e controlli durante l'orario lavorativo. Una transazione di criptovalute può essere saldata oltre confine in pochi minuti. Quella velocità avvantaggia gli utenti legittimi, ma riduce anche il tempo disponibile per fermare un furto.
L'incidente di Binance dimostra la scala di quel problema. Anche se i partner blockchain hanno bloccato quasi la metà degli asset rubati, miliardi di dollari si sono mossi prima che una risposta coordinata potesse avere effetto.
I Wallet Attivi Rimangono un Confine di Sicurezza Critico
I wallet attivi sono collegati a sistemi online in modo che gli exchange possano elaborare i prelievi. Quella disponibilità li rende più esposti dei wallet freddi, che mantengono le credenziali di firma offline.
Il rapporto AP ha citato un esperto di sicurezza esterno che ha messo in dubbio se un'autorizzazione compromessa possa aver fornito un accesso eccessivamente ampio o duraturo al wallet interessato. Binance non ha pubblicato un resoconto tecnico completo e la sua indagine è ancora in corso.
La questione rilevante non è semplicemente se un exchange utilizza wallet attivi. Ogni piattaforma di trading attiva ha bisogno di un modo per elaborare i prelievi dei clienti. Le domande sono quanta valore viene mantenuto online, come vengono applicati i limiti di transazione e quante approvazioni indipendenti sono richieste per trasferimenti insoliti.
Un sistema di cold storage sicuro può limitare la perdita totale, ma non può proteggere gli asset che sono già stati spostati in un wallet operativo. Il rilevamento e i controlli delle transazioni contano ancora a quel confine.
Bloccare 3 Miliardi di Dollari Non Pone Fine al Processo di Recupero
Il blocco segnalato di circa 3 miliardi di dollari è significativo. Lascia anche una quantità sostanziale irrisolta.
Alcuni emittenti di blockchain possono bloccare i token a livello di contratto. Gli exchange possono bloccare depositi collegati a indirizzi identificati. Validatori, bridge e società di analisi possono distribuire rapidamente avvisi quando gli asset rubati iniziano a muoversi.
Altri asset sono più difficili da fermare. Gli aggressori possono scambiare token attraverso pool decentralizzati, muoversi tra catene, utilizzare strumenti di privacy o instradare fondi attraverso servizi situati in giurisdizioni che non collaborano con le autorità statunitensi.
L'FBI ha specificamente avvertito che la DeFi e i servizi di scambio istantaneo potrebbero apparire nel processo di riciclaggio. Quell'avvertimento non significa che quei servizi abbiano partecipato consapevolmente. Gli strumenti senza permesso possono essere utilizzati sia da clienti legittimi che da attori sanzionati.
Il recupero dipenderà dalla rapidità con cui gli investigatori identificheranno nuovi indirizzi e da quanto denaro rimanente raggiungerà servizi in grado di bloccarlo.
Cosa Dovrebbero Imparare le Aziende dall'Attacco
Il caso Binance mostra perché la sicurezza del reclutamento non può appartenere solo a un dipartimento HR.
Un contatto di lavoro dall'aspetto credibile può diventare un percorso verso i sistemi di produzione. Il codice ricevuto durante un colloquio dovrebbe essere trattato come software non attendibile, anche quando proviene da una piattaforma di lavoro riconosciuta. Testarlo su un dispositivo isolato o in un ambiente temporaneo può impedire a una normale conversazione di carriera di raggiungere le credenziali aziendali.
Anche i controlli dell'identità devono continuare dopo l'assunzione. Un'azienda che verifica i documenti il primo giorno ma ignora accessi remoti insoliti, posizioni dei dispositivi o modifiche ai pagamenti potrebbe perdere i segnali che qualcun altro ha preso il controllo dell'account.
La guida dell'FBI sui lavoratori IT nordcoreani raccomanda di verificare in modo indipendente la storia lavorativa, esaminare le incongruenze nell'identità e prestare molta attenzione ai dispositivi aziendali inviati a indirizzi di terze parti. Avverte anche di software di accesso remoto non autorizzato e di "fattorie di laptop" con sede negli Stati Uniti utilizzate per nascondere la vera posizione di un lavoratore.
Per le aziende di criptovalute, i controlli di reclutamento, la sicurezza dei dispositivi, le autorizzazioni dei wallet e lo screening delle sanzioni devono funzionare come un unico sistema. Gli aggressori li trattano già in questo modo.
Tapbit pubblica analisi di mercato ed educazione sulle criptovalute per i lettori che seguono le forze che plasmano i mercati degli asset digitali. Esplora le ultime coperture su Tapbit, accedi a un account esistente tramite Tapbit Login, o registrati con Tapbit per saperne di più sulla piattaforma.
Domande Frequenti
Chi ha hackerato Binance nell'ottobre 2026?
L'FBI ha attribuito il furto alla Corea del Nord e lo ha associato a TraderTraitor. TRM Labs e Chainalysis hanno raggiunto valutazioni simili basate sul comportamento dell'attacco e sui collegamenti a incidenti precedenti.
Quanto è stato rubato da Binance?
Circa 6,36 miliardi di dollari in asset crypto sono stati trasferiti dai wallet di Binance su 10 blockchain. È stato descritto come il più grande furto di criptovalute mai registrato.
Binance ha perso fondi dei clienti?
Binance ha dichiarato di aver stanziato oltre 6,34 miliardi di dollari di fondi aziendali per coprire le perdite e si è impegnata a proteggere gli utenti. La società ha riferito che la maggior parte degli asset dei clienti rimaneva in cold storage offline.
