Il furto di criptovalute di Binance sottrae 6,43 miliardi di dollari su 11 blockchain
Il furto di criptovalute ai danni di Binance ha sottratto 6,43 miliardi di dollari in asset virtuali su 11 blockchain, registri digitali condivisi utilizzati per registrare le transazioni. Il Federal Bureau of Investigation (FBI) statunitense ha attribuito il furto a TraderTraitor, un gruppo di hacker legato alla Corea del Nord e monitorato anche con i nomi Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces e UNC4899.
L’FBI, lo U.S. Secret Service e l’unità Criminal Investigation dell’Internal Revenue Service hanno riferito di aver osservato il gruppo convertire gli asset rubati principalmente in ETH, l’asset nativo della rete Ethereum. L’FBI prevede che gli asset verranno trasferiti attraverso la finanza decentralizzata (DeFi), ossia servizi finanziari gestiti tramite software basato su blockchain, e servizi di scambio istantaneo nell’ambito di ulteriori operazioni di riciclaggio. Ha inoltre pubblicato i wallet address, gli identificativi degli account blockchain utilizzati per inviare e ricevere asset, che gli investigatori associano all’attività di riciclaggio.
Binance ha dichiarato di aver avviato la prima fase del ripristino dei prelievi in una finestra compresa tra le 6:00 e le 9:00 UTC, dopo averli sospesi in seguito all’incidente. L’exchange ha affermato che i suoi team hanno introdotto misure precauzionali, effettuato valutazioni di sicurezza e verificato se i servizi interessati fossero pronti per essere riattivati. I prelievi vengono ripristinati progressivamente man mano che tali controlli vengono completati, mentre i servizi di deposito sono rimasti aperti e non sono stati interessati dall’incidente, secondo Binance.
Il furto supera gli 1,46 miliardi di dollari sottratti a Bybit nel febbraio 2025, rendendo quello ai danni di Binance il più grande furto di criptovalute mai registrato. Degli asset rubati su 11 blockchain, l’82% era detenuto su Ethereum e Bitcoin. Elliptic, società di analisi blockchain, ha dichiarato che questo singolo incidente quasi raddoppia l’importo precedentemente attribuito ad attori legati alla Corea del Nord, che secondo le sue stime aveva già superato i 6,5 miliardi di dollari negli ultimi anni.
Una parte degli asset rubati è stata bloccata prima che potesse essere trasferita ulteriormente. Dei 6,43 miliardi di dollari sottratti, 2,85 miliardi sono stati congelati on-chain, ossia direttamente sulle relative reti blockchain, da Tether, Circle, Ripple, Arbitrum e Optimism. Le restanti attività di riciclaggio continuavano a essere monitorate attraverso le conversioni e i wallet address associati.
TraderTraitor è operativo almeno dal 2020 e ha ripetutamente preso di mira il settore Web3.0, termine che indica servizi e applicazioni online costruiti attorno alle blockchain. Le sue attività precedenti hanno incluso furti di criptovalute che hanno coinvolto DMM Bitcoin, Bybit, KelpDAO e Bitget. Una tattica ricorrente consiste nel convincere gli obiettivi a scaricare applicazioni contenenti malware, software progettato per rubare informazioni o consentire a un aggressore di accedere a un dispositivo.
I rapporti di SentinelOne, Zscaler ThreatLabz e Microsoft descrivono il perfezionamento di questo approccio da parte del gruppo tramite Terraform provider compromessi con trojan. Un Terraform provider è un componente software che consente allo strumento infrastrutturale Terraform di gestire piattaforme cloud e altri servizi. In questa campagna, gli aggressori hanno modificato i provider per distribuire malware, utilizzando società di copertura e offerte di lavoro per avvicinare persone impiegate nei settori della cybersecurity, dell’intelligenza artificiale, della blockchain e del recruiting.
Il provider dannoso distribuisce un Bash loader, uno script che esegue comandi e scarica software aggiuntivo. Identifica il sistema operativo della vittima e recupera malware adatto a quella piattaforma. La catena comprende FLATROOF, un implant multipiattaforma che utilizza un information stealer basato su Python per raccogliere dati sensibili, seguito dalla backdoor ROOFDECK, che concede all’aggressore il controllo remoto completo. Il processo può funzionare su macOS, Linux e Windows ed è finalizzato a stabilire un accesso persistente.
Il recruiting rimane centrale per il social engineering. Campagne simili, tra cui Operation Dream Job e Contagious Interview, hanno utilizzato offerte di lavoro o prove di colloquio per convincere gli obiettivi a eseguire codice dannoso. L’attività di TraderTraitor impiega inoltre l’intelligenza artificiale per sviluppare approcci credibili, creare identità false ed evitare il rilevamento. Microsoft ha dichiarato che gli aggressori hanno creato domini e profili social su misura, si sono presentati come recruiter di una società fittizia di intelligence blockchain basata sull’intelligenza artificiale e hanno offerto opportunità nell’ingegneria del software prima di organizzare i colloqui. Ha inoltre osservato attività simili, sostenute da altre due società di copertura nell’arco di un breve periodo.
Per i proprietari di siti web e i team IT, il metodo basato sulla compromissione degli strumenti di sviluppo è particolarmente rilevante, perché un’infezione può iniziare all’interno di un workflow software considerato affidabile e successivamente esporre informazioni sensibili o fornire il controllo remoto del computer di uno sviluppatore. Le organizzazioni che stanno rivalutando le proprie infrastrutture e pratiche di sicurezza possono utilizzare AEU-I per servizi IT, infrastrutturali e di consulenza che mettono la sicurezza al primo posto.
L’incidente combina due rischi distinti: il furto e il riciclaggio immediati di criptovalute e una campagna di più lunga durata che utilizza approcci legati al recruiting e componenti di sviluppo modificati per compromettere persone con accesso a sistemi di valore. Le aziende dovrebbero quindi esaminare sia le protezioni degli account finanziari sia il processo utilizzato per approvare software, esercizi di colloquio e componenti infrastrutturali prima che qualcuno li esegua.