Il 29 ottobre 2026, verso le 16:20 ora della costa orientale degli Stati Uniti, i fondi hanno iniziato a lasciare i wallet caldi di Binance senza che nessuno in Binance li avesse approvati. Quando la polvere si è posata la mattina successiva, Chainalysis ha stimato il furto in circa 6,4 miliardi di dollari e Binance in 6,3 miliardi. Questo lo rende il più grande furto di criptovalute mai registrato, circa quattro volte la dimensione dell'hack di Bybit che deteneva il titolo da febbraio 2025. Il numero principale è brutale. Il numero più interessante è l'altro: quasi 3 miliardi di dollari sono stati congelati on-chain nel giro di poche ore, e quasi tutto ciò è venuto da un'unica fonte. Gli emittenti di stablecoin hanno premuto un pulsante.
Quel pulsante è la parte di cripto di cui i nativi cripto amano lamentarsi. Questa settimana è stata l'unica cosa che ha funzionato.
Cosa è successo nell'hack di Binance?
L'indagine iniziale di Binance punta a un laptop compromesso di un ingegnere DevOps. Da lì, l'attaccante ha raggiunto un container di servizio e ha inviato transazioni di prelievo che il sistema ha trattato come legittime. Binance ha poi dichiarato di aver trovato ulteriori punti di violazione oltre al laptop, e di non aver visto prove di una fuga di chiavi private del wallet..... Un post mortem completo è promesso una volta verificati i fatti. Poi, il co-CEO Richard Teng ha descritto qualcosa di più chirurgico di un colpo e fuga. Ha detto che l'attacco non è stato un'azione "one click", che l'attaccante ha usato un meccanismo di autodistruzione per ripulire le tracce.... E che una delega EIP 7702 ha dato all'attaccante l'autorità di esecuzione su un wallet caldo, aggirando i normali controlli di approvazione. Ido Ben Natan di Blockaid l'ha detto chiaramente: l'upgrade ha dato agli attaccanti "un modo per farlo in un colpo solo". Senza di esso, lo stesso drenaggio avrebbe richiesto molte transazioni separate, ognuna un'occasione per il monitoraggio di scattare.Chainalysis e TRM Labs attribuiscono entrambi il furto a TraderTraitor, l'unità nordcoreana che l'FBI ha nominato per l'hack di Bybit. TRM afferma di avere questa visione con alta fiducia. L'investigatore on-chain ZachXBT e Chainalysis hanno entrambi trovato proventi di Binance mescolati con fondi dall'exploit di Bitget del mese scorso, arrivati allo stesso indirizzo tramite THORChain. Stesso attore, secondo exchange in circa quattro settimane.
Come ha fatto EIP 7702 a rendere il drenaggio più veloce?
EIP 7702 è stato rilasciato con l'upgrade Pectra di Ethereum.. Permette a un normale account di proprietà esterna di delegare la sua esecuzione a codice di smart contract, così un wallet normale può raggruppare transazioni, sponsorizzare il gas o seguire regole di spesa personalizzate. , Secondo la specifica EIP-7702, quella delega è impostata da un'autorizzazione firmata e rimane in vigore fino a quando non viene sostituita o cancellata.
Per gli utenti, è una funzione di comodità. Per un attaccante che ottiene un'autorizzazione valida firmata dall'infrastruttura di un exchange, è una chiave master con un processore batch integrato.. Invece di spingere i prelievi uno alla volta attraverso le code di approvazione, il codice delegato può svuotare un wallet in un unico flusso. Ivo Georgiev di Ambire ha segnalato il rischio successivo: gli ingegneri che riprendono il controllo di un account compromesso potrebbero non rendersi conto che una delega malevola è ancora attaccata ad esso.
Niente di tutto ciò significa che EIP 7702 sia rotto. Significa che l'infrastruttura di firma degli exchange ora ha una nuova classe di permessi da monitorare. E almeno uno dei più grandi operatori del settore non lo stava monitorando abbastanza attentamente.
Chi ha congelato cosa, e quanto velocemente?
Chainalysis ha cronometrato i primi congelamenti alle 17:14 ora della costa orientale, circa 54 minuti dopo i primi deflussi.... Paolo Ardoino di Tether e Jeremy Allaire di Circle stavano pubblicando i totali dei congelamenti prima ancora che Binance avesse fermato i prelievi.. Ecco cosa hanno riportato gli emittenti e i protocolli.
| Parte congelante | Asset | Importo congelato | Meccanismo di congelamento |
|---|---|---|---|
| Tether | USDT | Più di 1,567 miliardi di dollari | Blacklist dell'emittente nel contratto del token |
| Circle | USDC | Più di 800 milioni di dollari | Blacklist dell'emittente nel contratto del token |
| Arbitrum Security Council | 74...6M ARB e 8.425 ETH | Circa 30,5 milioni di dollari | Azione di governance d'emergenza su Arbitrum |
| World Liberty Financial | USD1 e WLFI | 27 milioni di dollari USD1, 2 milioni di dollari WLFI | Blacklist dell'emittente |
| Ripple | RLUSD | Non divulgato | Blacklist dell'emittente |
| First Digital | FDUSD | Non divulgato | Blacklist dell'emittente |
| Nessuno | ETH su mainnet, BTC | 0 dollari | Non esiste |
Il totale corrente di Binance ha raggiunto circa 3 miliardi di dollari congelati. Chainalysis lo stima più vicino a 2...8 miliardi di dollari, e Elliptic ha stimato che circa il 44 percento degli asset rubati è stato congelato, con le stablecoin che rappresentano quasi tutto questo. Tether e Circle da soli rappresentano circa 2..37 miliardi di dollari. Escludendo gli emittenti di stablecoin, lo sforzo collettivo di congelamento del settore ammonta a qualche decina di milioni di dollari, la maggior parte da un'unica azione d'emergenza dell'Arbitrum Security Council.
Perché gli hacker hanno potuto tenere gli altri 3 miliardi di dollari?
Perché gli altri 3 miliardi di dollari erano, o sono rapidamente diventati, asset che nessuno controlla. ETH nativo e BTC non hanno chiave admin né funzione di blacklist.... Una volta che il valore rubato si trova lì, gli unici strumenti rimasti sono il tracciamento, la cooperazione degli exchange e la fortuna. Certo, gli attaccanti lo sapevano e si sono mossi di conseguenza.... Chainalysis ha tracciato circa 500 milioni di dollari in stablecoin in un wallet costruito per un solo scopo, convertendo asset congelabili in asset non congelabili. In circa 20 minuti, 325 milioni di dollari in stablecoin sono diventati 285 milioni di dollari in ETH. Circa dieci minuti dopo, i restanti 175 milioni di dollari sono stati spinti verso wallet di transito. , TRM Labs afferma che gli attaccanti hanno anche venduto USDT a market maker e preso in prestito ETH contro collaterale in stablecoin.Curiosamente, quest'ultima tattica ha colpito direttamente Aave. Circa 40 minuti prima che i congelamenti arrivassero, l'exploiter ha depositato 60 milioni di USDT e preso in prestito circa 19.762 WETH, del valore di circa 44,6 milioni di dollari..... LlamaRisk ha confermato che la posizione era sovracollateralizzata e non rappresentava alcun rischio per i fornitori. Aave ha comunque congelato 175 riserve V3 su 16 reti e 117 riserve V4 su quattro reti come precauzione, poi ha riattivato prestiti e prestiti il 30 ottobre... La logica del trade è cupamente intelligente: deposita USDT che potrebbe essere congelato, porta via ETH che non può esserlo, e lascia che il protocollo di prestito tenga il sacco di collaterale in blacklist.
La nostra analisi dei dati di flusso di Chainalysis mostra quanto la velocità sia valsa per l'attaccante. Scambiare 325 milioni di dollari di stablecoin in 285 milioni di dollari di ETH è costato circa 40 milioni di dollari, un taglio del 12,3 percento dovuto a slippage ed esecuzione affrettata. Pagare più di un dollaro su otto per sfuggire alla lista di congelamento ti dice quanto seriamente gli operatori nordcoreani prendano i tempi di risposta di Tether e Circle. Chainalysis ha anche segnalato migliaia di transazioni automatizzate, con molti indirizzi nuovi che ricevevano prima esattamente 1 TRX, e Levin ha detto che grandi somme sono state spostate verso indirizzi Tron.
Hack di Binance vs hack di Bybit: cosa è cambiato?
| Metrica | Bybit (febbraio 2025) | Binance (ottobre 2026) |
|---|---|---|
| Importo rubato | Circa 1,5 miliardi di dollari | Da 6,3 a 6,4 miliardi di dollari |
| Attribuito a | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Punto di ingresso | Macchina sviluppatore compromessa presso un fornitore di wallet | Laptop di un ingegnere DevOps compromesso, più ulteriori punti di violazione |
| Mix di asset rubati | Principalmente ETH e ETH in staking | Grande quota di stablecoin più ETH, BTC e altri token |
| Quota congelata | Una piccola frazione | Circa dal 44 al 48 percento |
| Primi congelamenti degli emittenti | Limitati, pochi asset congelabili | Circa 54 minuti dopo i primi deflussi |
Il contrasto è la storia.. Bybit ha perso quasi interamente ETH non congelabile, e lo sforzo di recupero è stato principalmente un esercizio di osservazione del riciclaggio.. Binance ha perso una pila molto più grande, ma una fetta molto più grande di essa era in token con un emittente dietro. , Più il wallet caldo di un exchange è detenuto in stablecoin emesse centralmente, più di un furto può essere recuperato.... , Questa è una lezione scomoda per chiunque abbia venduto stablecoin come "cripto senza la volatilità" e abbia saltato la parte "con un interruttore di emergenza".
I clienti di Binance sono coperti?
Binance dice di sì. Il co-fondatore Yi He ha detto che l'exchange coprirà tutte le perdite, e Changpeng Zhao ha pubblicato che si aspetta che i fondi degli utenti siano completamente coperti. Binance dice di aver messo da parte più di 6,34 miliardi di dollari in fondi aziendali, circa 5 miliardi dei quali sono già detenuti negli stessi token che sono stati rubati. Sta comprando il resto over-the-counter e sugli exchange, avvertendo che la liquidità sottile potrebbe rallentare alcuni acquisti.
Sorprendentemente, i depositi hanno continuato a funzionare... I prelievi sono stati sospesi alle 18:55 ora della costa orientale il 29 ottobre, e l'ultima guida punta a una ripartenza graduale entro circa 40 ore dall'aggiornamento di Binance del 30 ottobre, che arriva questo fine settimana... Una proof of reserves aggiornata è prevista entro lunedì.. Binance sta presumibilmente lavorando con l'FBI.
Giusto per informazione, le controparti hanno divulgato rapidamente la loro esposizione. Wintermute ha detto che la sua esposizione era inferiore al 20 percento del patrimonio netto, e GSR ha detto inferiore al 5 percento. Bybit ha confermato di non essere stato colpito.
Come ha reagito il mercato cripto?
Male, anche se l'hack è arrivato in una giornata già instabile dopo una pausa della Fed e utili tech deboli.... Entro il 30 ottobre, i dati di CoinGecko mostravano Bitcoin in calo del 4...9 percento nelle 24 ore a circa 76.937 dollari.... Ether è sceso del 5...7 percento a circa 2.211 dollari. BNB è sceso dell'8 percento a circa 693 dollari, AAVE ha perso l'11...3 percento e UNI il 10,7 percento.... L'Indice Paura e Avidità di Bitcoin è sceso a 30, la sua lettura più bassa da agosto.
Cosa significa per chiunque detenga cripto su un exchange
Alcuni consigli pratici, nessuno dei quali nuovo, tutti sottolineati di fresco. Ancora più importante, I saldi degli exchange sono una promessa di pagamento. Binance sembra in grado di assorbire una perdita di 6 miliardi di dollari. Molto pochi operatori al mondo potrebbero.... Le pause dei prelievi accadono anche quando l'exchange è solvibile, e accadono esattamente quando desideri di più le tue monete.I congelamenti delle stablecoin tagliano in entrambe le direzioni. La stessa blacklist che ha salvato circa 2,4 miliardi di dollari qui è quella che può bloccare un wallet innocente che ha ricevuto fondi contaminati. Se ricevi USDT o USDC da una fonte sconosciuta dopo un grande hack, controlla l'indirizzo mittente rispetto ai tracker pubblici prima di spostarlo.
Tieni i fondi inattivi in self-custody. Questo vale sia per i conti di trading che per i saldi di gioco. Piattaforme come CryptoCasino.Vegas che pagano le vincite direttamente al wallet del giocatore rendono il principio facile da seguire: meno tempo le tue monete restano nel wallet caldo di qualcun altro, meno un laptop compromesso a mezzo mondo di distanza può costarti.
La cifra finale di recupero si muoverà mentre il tracciamento continua, e la storia dice che si muove verso il basso, non verso l'alto. Il riassunto di Levin della fase di riciclaggio è quello giusto da ricordare: più i fondi viaggiano, meno sono le opportunità di sequestro... Il pulsante di congelamento ha recuperato quasi la metà in un'ora... Tutto dopo è un inseguimento.
