Binance, l’attacco hacker scuote il mondo delle cripto. Gli analisti: “Così si sono infiltrati nel sistema. Ecco come difendersi”

Il maxi-attacco hacker ai danni di Binance, con asset coinvolti per circa 6,3 miliardi di dollari e la maggior parte dei trasferimenti concentrata in appena 20 minuti, ha aperto una serie di interrogativi sulla sicurezza delle piattaforme di criptovalute. Molti analisti lo hanno già definito il “furto del secolo”. Ma come è stato tecnicamente possibile movimentare una cifra così elevata in un intervallo di tempo tanto breve? E quali conseguenze potrebbero esserci per gli investitori e per l’intero mercato crypto? Le voci raccolte tra gli esperti delineano uno scenario complesso: dalla possibile compromissione dei sistemi che autorizzano le transazioni alla necessità di rafforzare le difese degli exchange centralizzati, passando per le difficoltà nel recuperare i fondi sottratti.

L’attacco a Binance: come è stato possibile movimentare miliardi in 20 minuti

Sul piano tecnico, la velocità dell’operazione è uno degli aspetti che hanno maggiormente colpito gli osservatori. Per Salvatore Iannitti, Partner, e Francesco Gelmetti, Legal Consultant – Cybersecurity and Data Privacy di Norton Rose Fulbright, il meccanismo potrebbe essere legato alla compromissione dell’infrastruttura che autorizza le transazioni dei wallet. “Il valore degli asset sottratti senz’altro colpisce, ma la velocità è spiegabile con le caratteristiche stesse delle blockchain: una volta che il sistema è stato violato e si è assunta la capacità di impartire istruzioni valide ai wallet, spostare volumi elevati di asset può avvenire in pochi minuti. Se ho ben compreso dalle prime ricostruzioni, nel caso di specie non sarebbero state rubate direttamente le chiavi private ma sarebbe stata compromessa l’infrastruttura di “signing”, cioè il sistema che autorizza le transazioni dei cosiddetti hot wallet della piattaforma; possibile ipotizzare che gli attaccanti siano riusciti a entrare in possesso di credenziali privilegiate (ad esempio di un amministratore di sistema) e, sfruttandone i privilegi, abbiano avuto accesso a componenti interni delle piattaforme che permettevano di movimentare il denaro. In pratica, mi sia consentito il riferimento al mondo “analogico”, più che rubare il codice della cassaforte, avrebbero compreso come ordinare alla cassaforte di aprirsi”.

Una lettura che invita a non concentrarsi soltanto sui 20 minuti in cui sarebbero avvenuti i trasferimenti. Sergey Lupanin, Chief Information Security Officer di Finom, sottolinea infatti che la preparazione dell’attacco potrebbe essere stata molto più lunga. “Il riferimento ai “20 minuti” è fuorviante: è probabile che gli hacker abbiano impiegato settimane per infiltrarsi silenziosamente nell’infrastruttura, prima di eseguire l’attacco in pochi minuti. Gli investigatori hanno già individuato parallelismi con precedenti attacchi informatici su larga scala attribuiti a gruppi di hacker sostenuti da Stati. I criminali informatici utilizzano sempre più spesso l’intelligenza artificiale per individuare vulnerabilità e automatizzare la preparazione degli attacchi, riducendo drasticamente i tempi e le risorse necessari. Di conseguenza, anche piccoli gruppi possono oggi condurre attacchi sofisticati che in passato avrebbero richiesto operazioni su larga scala, sostenute da ingenti risorse finanziarie. L’unico modo per tenere il passo con gli attacchi potenziati dall’intelligenza artificiale è contrastare l’AI con l’AI. I team di cybersecurity devono adottarla in modo proattivo per automatizzare le attività di routine, migliorare l’efficienza e anticipare le minacce emergenti. Limitarne l’utilizzo non impedirà ai criminali di servirsene: finirà soltanto per mettere chi si occupa di difesa in una posizione di svantaggio”.

Gli investitori e la sicurezza dei fondi: che cosa può succedere adesso

L’attacco pone inevitabilmente il problema della sicurezza degli asset detenuti dagli utenti sulla piattaforma, oltre a quello delle conseguenze sui prelievi, sulla liquidità e sulla fiducia degli investitori. Iannitti e Gelmetti invitano a distinguere tra la preoccupazione legittima per quanto accaduto e il rischio effettivo per la solidità dell’exchange. “È comprensibile essere preoccupati, ma la reazione del sistema sembra essere stata immediata. Binance ha dichiarato che coprirà integralmente le perdite e che i fondi degli utenti sono al sicuro. Al momento ha sospeso temporaneamente i prelievi mentre prosegue l’indagine, prevedendone la riapertura entro uno o due giorni. Secondo i primi analisti finanziari, allo stato attuale l’incidente non sembra configurare un rischio significativo di solvibilità, ma si tratta di una questione che troverà riscontro fattuale nei prossimi giorni”.

Anche Ion Jauregui, analista di ActivTrades, ritiene che l’episodio lascerà il segno, ma non prevede necessariamente una crisi di fiducia paragonabile a quella provocata dal caso FTX. “Non mi aspetto una reazione di questa portata, ma l’episodio lascerà il segno. Questo non è il caso FTX: si tratta di un attacco esterno, non di una frode interna, e Binance si è impegnata a coprire tutte le perdite. Tether e Circle hanno congelato circa 2,4 miliardi di dollari, quindi il danno effettivo potrebbe essere decisamente inferiore alle cifre riportate dai titoli. Ciò che preoccupa tutti è che Binance ha ammesso l’esistenza di ulteriori punti di vulnerabilità, oltre al laptop dell’ingegnere. Il punto sollevato da Check Point è centrale: oggi gli attaccanti non hanno più bisogno di sottrarre le chiavi di accesso ai caveau, ma prendono di mira le persone e i sistemi che possono utilizzarle. È un problema che riguarda l’intero settore, non soltanto Binance”.

Sulla possibilità che la sospensione dei prelievi inneschi una fuga di capitali dagli exchange centralizzati, Jauregui non prevede una migrazione di massa degli utenti. “Ci sarà qualche movimento, ma non una migrazione di massa. Gli utenti non possono prelevare finché non avranno la certezza che l’ambiente sia sicuro. Quando i prelievi verranno riaperti, vedremo se decideranno di diversificare i propri asset o di assumerne direttamente la custodia. Se riusciranno a recuperare il proprio denaro, la maggior parte resterà”.

Exchange centralizzati, fiducia e nuovi standard di sicurezza

L’episodio riporta al centro una questione più ampia: la capacità degli exchange centralizzati di proteggere gli asset degli utenti e di garantire un livello di sicurezza adeguato. Per Iannitti e Gelmetti, l’incidente potrebbe rappresentare un’occasione per rafforzare gli standard tecnici del settore, anche se il danno alla fiducia degli investitori resta un rischio concreto. “Sul versante tecnico, l’incidente potrebbe essere un’occasione per rafforzare gli standard di sicurezza del settore, in particolare per quanto riguarda le procedure di identificazione degli utenti, la segregazione degli asset, i limiti ai trasferimenti degli hot-wallet, il monitoraggio in tempo reale e la separazione tra chi dispone un’operazione e chi può autorizzarla. È tuttavia certamente possibile che investitori istituzionali e utenti valutino delle alternative, anche nello stesso mondo delle criptovalute, che garantiscano la possibilità di congelare i fondi da parte dell’emittente (es., stablecoin). Dal punto di vista del mercato, è possibile che vi sia un impatto sulla fiducia degli utenti, in quanto al rischio tradizionalmente legato all’asset si aggiunge (ancora una volta) un significativo rischio operativo”. Jauregui sottolinea inoltre che il problema non riguarda soltanto Binance, ma l’intero comparto, perché gli attaccanti prendono sempre più spesso di mira le persone e i sistemi in grado di autorizzare le operazioni.

Il recupero dei fondi rubati: tracciamento, congelamento e cooperazione internazionale

Un altro nodo centrale riguarda la possibilità di rintracciare e recuperare gli asset sottratti. La domanda è particolarmente rilevante anche nell’eventualità che venga confermato il coinvolgimento del gruppo di hacker nordcoreano TraderTraitor. La natura pubblica delle transazioni blockchain consente di seguire i movimenti delle criptovalute, ma non garantisce automaticamente la restituzione dei fondi.

Florent Gilain, Chief Information Security Officer di iBanFirst, evidenzia proprio la differenza tra tracciamento e recupero. “È proprio qui che risiede la difficoltà. La tecnologia rende relativamente semplice tracciare le criptovalute rubate attraverso wallet e transazioni. La maggior parte delle operazioni effettuate su blockchain viene registrata su un registro pubblico (public ledger), consentendo agli investigatori di seguire il trasferimento dei fondi da un portafoglio digitale all’altro, spesso in tempo reale. Anche gli strumenti specializzati di blockchain analytics possono aiutare a individuare schemi transazionali sospetti e a monitorare i fondi mentre transitano attraverso diverse piattaforme. Tuttavia, tracciare gli asset sottratti e riuscire effettivamente a recuperarli sono due cose molto diverse. Gli ostacoli principali sono due. In primo luogo, gli hacker possono trasferire o convertire i fondi rubati con estrema rapidità, potenzialmente prima che gli exchange o altri intermediari abbiano il tempo di congelarli. In secondo luogo, anche in presenza di un’ampia cooperazione internazionale tra le forze dell’ordine, permangono significative lacune normative e giurisdizionali. I criminali informatici sono particolarmente abili nello sfruttare queste debolezze, anche attraverso il trasferimento dei fondi tra diverse piattaforme e giurisdizioni, talvolta caratterizzate da limitata cooperazione con le autorità investigative internazionali. In definitiva, il fattore determinante non è la capacità di tracciare i fondi rubati, ma la rapidità con cui le autorità riescono a congelarli prima che diventino irraggiungibili. In assenza di conferme definitive sulla dinamica dell’incidente e sulla sua eventuale attribuzione a TraderTraitor, è prematuro formulare stime sulla possibilità di recuperare gli asset eventualmente sottratti. L’esperienza passata, tuttavia, offre alle vittime ben pochi motivi per essere ottimiste”.

Sul ruolo degli operatori e delle autorità intervengono anche Iannitti e Gelmetti, che richiamano gli strumenti di cooperazione disponibili per bloccare i fondi e coordinare le indagini. “Gli operatori del settore hanno a disposizione strumenti di cooperazione per richiedere il congelamento dei fondi all’interno dei circuiti di criptovalute e difatti (se le prime notizie sono corrette) 3 miliardi risultano già congelati. Analogamente, le autorità hanno a disposizione lo strumento della rogatoria internazionale per coordinare le indagini e trovano in molti casi applicazione anche le sanzioni internazionali, le quali fanno espressamente riferimento alle transazioni in cryptocurrency. Le crypto non costituiscono in altri termini una zona franca rispetto alle sanzioni internazionali, ma le procedure di recupero sono rese più complesse dalla struttura decentralizzata delle blockchain, dalla difficoltà di individuare gli indirizzi sospetti e dalla circostanza che questi fondi possono passare per piattaforme di exchange e giurisdizioni poco regolamentate o poco collaborative”.

Bitcoin dopo l’attacco: il quadro tecnico e i livelli da osservare

Le conseguenze dell’attacco si inseriscono in una fase delicata anche per il mercato delle criptovalute. Bitcoin è sceso sotto i 78.000 dollari nelle immediate conseguenze dell’episodio, mentre sono state segnalate liquidazioni per oltre un miliardo di dollari. Per Ion Jauregui, il quadro tecnico ha assunto una connotazione difensiva e alcuni livelli di prezzo saranno determinanti per capire l’evoluzione delle prossime sedute. “Oggi il quadro tecnico ha assunto una connotazione chiaramente difensiva. Sul grafico a 4 ore, BTC ha perso la fascia 80.000-85.000 dollari, all’interno della quale si era mantenuto per tutto ottobre, e ora si trova al di sotto di tutte e tre le medie mobili (80.430 / 81.291 / 82.633). Il MACD è negativo e continua a scendere. La fascia 81.300-82.600 dollari, dove si concentrano le medie mobili insieme al Point of Control del profilo dei volumi, rappresenta ora una resistenza. Al di sotto, i volumi sono esigui fino al minimo di 74.885 dollari, il che significa che prima di quel livello ci sono pochi supporti. Anche l’indicatore Crypto Fear & Greed è coerente con questo scenario. È sceso a 35 e le ultime barre sono rosse: secondo la tua interpretazione, questo significa che il denaro sta uscendo da BTC, dirigendosi verso le altcoin oppure fuori dal mercato crypto. Si tratta di un nuovo segnale di deflusso di capitali, non di una semplice flessione del sentiment. Nel breve termine, l’RSI orario, vicino a 24, segnala condizioni di ipervenduto molto marcate, rendendo plausibile un rimbalzo. A una precedente sequenza di barre rosse, a metà ottobre, era seguito un recupero: il rosso, da solo, non è quindi una sentenza definitiva. Tuttavia, finché BTC resterà al di sotto della fascia 81.000-82.000 dollari, i rialzi incontreranno pressioni di vendita. Il recupero di quest’area sarebbe determinante per contenere i danni in vista del 2026. Una perdita del livello di 74.885 dollari aprirebbe invece la strada a un’ulteriore fase ribassista”.