L’FBI attribuisce ufficialmente a pirati informatici sostenuti dallo stato nordcoreano il record di furto di criptovalute subito dalla piattaforma Binance. L’agenzia chiede all’industria delle criptovalute di aiutarla a impedire il riciclaggio dei fondi rubati.
- L’FBI attribuisce il furto di Binance alla Corea del Nord.
- Il furto vale circa 6,3 miliardi di dollari e coinvolge più punti di compromissione.
- Il riciclaggio sembra automatizzato e passa per molte blockchain.
- L’FBI chiede al settore di bloccare le transazioni legate a 608 indirizzi Ethereum.
L’attacco è avvenuto il 29 ottobre. I pirati hanno svuotato i wallet caldi di Binance, portafogli digitali connessi a internet, su diverse blockchain, e hanno trasferito la maggior parte dei fondi in poco meno di 20 minuti. Binance stima l’impatto in circa 6,3 miliardi di dollari, il che lo renderebbe il più grande furto di criptovalute mai registrato.
Nelle ore successive, le società di analisi della blockchain TRM Labs e Chainalysis hanno collegato l’attacco al gruppo nordcoreano TraderTraitor. Binance aveva inizialmente indicato che l’intrusione poteva essere iniziata dal laptop compromesso di un ingegnere DevOps, e si era impegnata a coprire tutte le perdite.
Un’attribuzione formalizzata dall’FBI
L’FBI ha pubblicato il suo avviso il 31 ottobre, due giorni dopo il furto. «L’FBI, con i partner del USSS e dell’IRS-CI, ha osservato che attori di TraderTraitor stanno convertendo gli asset rubati principalmente in Ethereum (ETH). Si prevede che questi asset vengano poi riciclati convertendoli tramite servizi DeFi e exchange istantanei, in vista delle fasi successive di riciclaggio», indica l’agenzia.
L’avviso elenca 608 indirizzi Ethereum, 19 indirizzi Bitcoin e un indirizzo Solana che detengono attualmente, o hanno detenuto, il prodotto del furto. Con il Secret Service e l’IRS-CI, l’FBI chiede agli operatori di nodi THORChain e di nodi RPC, agli exchange istantanei, ai servizi DeFi e alle società di analisi della blockchain di rifiutare le transazioni legate a questi indirizzi. L’agenzia aveva già attribuito allo stesso gruppo il furto di 1,5 miliardi di dollari subito da Bybit nel febbraio 2025.
Binance parla di un attacco più ampio di un solo computer
Binance ha successivamente precisato le sue prime osservazioni. In un comunicato, il co-direttore generale Richard Teng afferma: «La nostra indagine iniziale suggeriva che l’incidente di sicurezza potesse coinvolgere un laptop compromesso, ma la nostra indagine successiva ha rivelato ulteriori punti di compromissione.» Descrive un attacco complesso, che «non è stato condotto da una sola persona», e indica che l’attaccante ha utilizzato una funzionalità di delega di Ethereum, l’EIP-7702, che «non è passata attraverso i nostri consueti controlli di approvazione». Binance non ha ancora dettagliato questi ulteriori punti di compromissione e promette un’analisi tecnica post-mortem una volta verificati i fatti. Secondo Richard Teng, l’attaccante ha anche dispiegato un meccanismo di autodistruzione che ha cancellato i suoi strumenti e le sue tracce, il che complica l’indagine. I prelievi sono ripresi gradualmente a partire dal 1° novembre, iniziando dalla rete Bitcoin. Domenica a metà mattina, l’exchange indicava di aver processato circa 4,6 miliardi di dollari di prelievi e 1 miliardo di dollari di depositi. Afferma di aver sostituito circa il 95% dell’importo rubato con fondi propri e di acquistare il resto dei token, meno liquidi, sul mercato e over-the-counter.
Un riciclaggio che sembra automatizzato
La società Elliptic quantifica il furto in 6,43 miliardi di dollari distribuiti su 11 blockchain, di cui 2,85 miliardi di dollari sono stati congelati o sequestrati sulla catena. Secondo i suoi ultimi dati, l’attaccante controlla ancora circa 3,25 miliardi di dollari di asset che nessun emittente può congelare, distribuiti su oltre 800 indirizzi, tra cui circa 584.000 ETH, 18.327 BTC e 233 milioni di XRP. Elliptic sottolinea che il riciclaggio «non dorme», a differenza degli schemi di lavoro umano osservati durante il furto contro Bybit.
Il principale portafoglio che distribuiva i fondi su Tron ha continuato a effettuare pagamenti ogni ora per più di un giorno. Quando un ponte cross-chain ha rifiutato i depositi, il sistema ha reindirizzato il denaro verso la stessa destinazione tramite portafogli appena creati. Fine ottobre, circa 196 milioni di dollari erano transitati da questo portafoglio verso una quarantina… verso circa altri 200 portafogli, con THORChain come principale via di uscita, per circa 31 milioni di dollari. Elliptic non può stabilire se l’automazione si basi su agenti di IA o su script classici, e si aspetta un riciclaggio distribuito su diversi mesi, come dopo il furto contro Bybit. Chainalysis rileva da parte sua schemi di riciclaggio che indicano automazione, in particolare migliaia di transazioni in poco tempo e molti indirizzi recenti il cui primo trasferimento era esattamente di 1 TRX.
