Binance punta sul laptop hackerato di un ingegnere nel furto da 6,3 miliardi di dollari

Aggiornamento (30 ottobre, 2:44 UTC): Questo articolo è stato aggiornato con l’indagine preliminare di Binance sulla violazione della sicurezza.

Binance ha dichiarato che la sua indagine iniziale sul furto cripto da diversi miliardi di dollari ha individuato il laptop compromesso di un ingegnere DevOps.

L’exchange ha spiegato che il compromesso del laptop potrebbe aver consentito a un attaccante di accedere a un contenitore di servizio e inviare transazioni di prelievo non autorizzate. Non sono emerse prove di una perdita delle chiavi private dei wallet, sebbene l’indagine sia ancora in corso.

Parlando giovedì mattina con Cointelegraph, Ben-Natan ha affermato che la valutazione preliminare di Blockaid punta anch’essa a un «uso improprio delle chiavi», ovvero attaccanti che ingannano o compromettono un sistema di firma per autorizzare transazioni malevole senza estrarre la chiave privata sottostante.

«Sembra trattarsi… di un compromesso dell’infrastruttura di firma. Non riteniamo che una chiave sia stata divulgata», ha detto.

La valutazione di Ben-Natan si basa sull’esperienza di Blockaid con attacchi simili e sulle sue osservazioni dell’attività onchain.

Binance stima un impatto di 6,3 miliardi di dollari e blocca circa 3 miliardi

Binance ha ora stimato l’impatto complessivo a circa 6,3 miliardi di dollari e ha dichiarato di aver collaborato con partner blockchain per bloccare onchain circa 3 miliardi di dollari di asset coinvolti.

L’exchange ha precisato che coprirà tutte le perdite utilizzando il suo Secure Asset Fund for Users (SAFU) e fondi aziendali, aggiungendo che i fondi degli utenti sono al sicuro. Si è impegnata inoltre a pubblicare un aggiornamento del Proof of Reserves.

Binance ha temporaneamente sospeso depositi e prelievi durante i controlli di sicurezza e ha revocato l’autorizzazione dell’indirizzo compromesso. Sta collaborando con le forze dell’ordine e con partner specializzati in intelligence blockchain per rintracciare e recuperare i fondi.

L’exchange pubblicherà una dettagliata analisi tecnica post-mortem non appena l’indagine sarà conclusa e i fatti pienamente verificati.

Blockaid identifica la delega malevola del wallet

Nell’analisi onchain pubblicata su X, Blockaid ha riferito che l’attaccante ha raggruppato 50 autorizzazioni EIP-7702 in una singola transazione rivolta a Binance 14. Una delle autorizzazioni avrebbe corrisposto al nonce richiesto dall’account, rendendola accettabile.

L’EIP-7702 consente a un account di delegare l’esecuzione al codice di un contratto intelligente. Blockaid ha spiegato che l’account compromesso è stato delegato a un contratto di recupero non verificato, che ha permesso a un operatore designato di svuotare token ed Ether.

Ben-Natan ha detto a Cointelegraph che l’operazione potrebbe aver coinvolto più dispositivi compromessi e movimenti all’interno della rete dell’exchange.

Prima dell’ultimo aggiornamento di Binance, Miguel Morel, CEO di Arkham, aveva detto a Cointelegraph che non vi erano informazioni sufficienti per stabilire se l’attacco avesse coinvolto chiavi rubate o infrastruttura compromessa.

«Secondo quanto possiamo capire, l’attacco sembra essere ancora in corso», disse all’epoca.

Corea del Nord, confronto con Bybit

Interrogato sulla somiglianza tra la manipolazione sospetta delle firme e l’attacco a Bybit del febbraio 2025, Ben-Natan ha definito gli incidenti «molto, molto simili».

In quel caso, l’aggiornamento forense pubblicato da Bybit riferiva che gli attaccanti avevano compromesso le credenziali di uno sviluppatore di Safe, avuto accesso all’infrastruttura del fornitore di wallet ed ingannato i firmatari inducendoli ad approvare una transazione malevola.

Ben-Natan ha inoltre osservato che l’attività assomiglia a operazioni attribuite alla Corea del Nord, citando la familiarità di Blockaid con tali attacchi. Ha evidenziato preparativi onchain sofisticati, ma ha sottolineato che l’attribuzione resta non confermata.

Binance non ha identificato gli attaccanti, precisando di collaborare con le autorità competenti per determinarne l’identità.

Rivista: Tampered Ledger ha riportato la notizia a Singapore un mese prima della diffusione ufficiale: Asia Express