Giovedì sera Binance, la più grande piattaforma di criptovalute al mondo, ha subito un attacco informatico: secondo la stessa società sono in gioco circa 6,3 miliardi di dollari. Circa 3 miliardi risultano congelati secondo Binance, i prelievi sono ancora sospesi e la società dichiara che coprirà tutte le perdite.
La prima spiegazione di Binance indica come possibile punto d’ingresso il portatile violato di un ingegnere, ma l’indagine è ancora aperta. Per questo la notizia interessa anche le aziende che con le criptovalute non hanno a che fare: in ogni azienda c’è un computer da cui si può arrivare alla cassa.
In un Paese di piccole imprese come San Marino vale la pena di chiedersi quale sia quel computer nella vostra azienda.
Come è andata
Il grosso dei soldi è uscito dai portafogli online di Binance in circa 20 minuti, secondo la società di analisi TRM Labs. La piattaforma ha annunciato la sospensione dei prelievi, ma secondo la società di analisi Bitquery le ultime uscite illecite sono arrivate più di un’ora dopo l’annuncio, quasi quattro ore dopo l’inizio.
Tether e Circle, le società che emettono le due principali criptovalute agganciate al dollaro, hanno bloccato circa 2,6 miliardi di dollari, secondo TRM Labs. È la parte più grossa delle somme congelate.
Nella notte Binance ha dato la prima spiegazione. Il portatile violato di un ingegnere potrebbe aver permesso a chi attaccava di raggiungere un componente interno e di inviare prelievi non autorizzati. Poche ore dopo ha aggiunto di aver trovato altre violazioni e di non avere prove di una fuga di chiavi private, i codici che danno accesso ai portafogli.
Il co-amministratore delegato Richard Teng ha precisato che non è bastato un clic, che non sono stati usati solo i permessi di una persona e che l’indagine non dà la colpa a nessuno in particolare. Venerdì ha aggiunto che una delega su un portafoglio online non è passata dalle normali procedure di approvazione e che un meccanismo di autodistruzione ha cancellato le tracce.
La causa definitiva non è ancora stata pubblicata. Per TRM Labs la spiegazione più probabile è che chi attaccava sia riuscito a far firmare al sistema di Binance le operazioni che voleva.
La stessa TRM Labs attribuisce il colpo, con un alto grado di sicurezza, a TraderTraitor, un gruppo legato alla Corea del Nord, e anche Chainalysis ed Elliptic indicano quella pista.
Sono valutazioni di società private: Binance non le conferma e finora nessun governo lo ha fatto. È lo stesso gruppo che l’FBI ha indicato per l’attacco del 2025 alla piattaforma Bybit.
In quel caso, secondo la stessa Safe, il fornitore del portafoglio, il punto di partenza fu il computer di un suo sviluppatore.
È il più grande furto di criptovalute mai registrato, circa quattro volte quello a Bybit. Per Elliptic è quasi certamente il più grande furto di qualsiasi tipo.
L’intelligenza artificiale c’entra?
Per ora nessuna fonte seria dice che sia stata usata in questo attacco.
Un legame però merita attenzione. Il giorno stesso dell’attacco Microsoft ha pubblicato un rapporto sull’intelligenza artificiale usata dai gruppi nordcoreani. Tra i più avanti mette Jade Sleet, il nome con cui indica il gruppo che l’agenzia americana per la cybersicurezza chiama TraderTraitor.
L’uso principale è ingannare le persone, per esempio con finti reclutatori che contattano gli sviluppatori.
Il rapporto non parla di Binance, e Microsoft precisa che a guidare le operazioni restano le persone.
Se avete fondi su Binance
Binance dichiara che i soldi dei clienti sono al sicuro e di aver messo da parte oltre 6,3 miliardi di fondi propri, di cui circa 5 già nei token colpiti. Venerdì Teng ha indicato circa 40 ore per riaprire i prelievi, quindi entro domenica, se i test andranno bene. È un obiettivo, senza un orario ufficiale. La prova completa delle riserve è promessa entro lunedì 2 novembre.
È un impegno dell’azienda, non una garanzia pubblica, e da fuori non si può ancora verificare, perché Binance non pubblica gli indirizzi di quei 5 miliardi. Teng dice che è stato colpito un portafoglio aziendale, ma secondo la testata CoinDesk i portafogli svuotati comparivano nella prova delle riserve del 1° ottobre tra quelli che coprono i saldi dei clienti.
Chi risiede in Italia ha un motivo in più per guardarci.
Nel registro dell’ESMA, l’autorità europea dei mercati, consultato il 30 ottobre, Binance non compare tra i prestatori autorizzati. A giugno la società ha ritirato la domanda presentata in Grecia e ha detto di voler proseguire in un altro Stato membro.
In Italia e negli altri Paesi dove aveva società locali, dal 1° luglio alla maggior parte dei clienti era rimasto soprattutto il prelievo, con differenze che Binance dice dipendere da Paese e tipo di conto.
È proprio l’operazione che ora la società ha sospeso.
Nel frattempo tre regole valgono per tutti. Non cliccate su messaggi o email che chiedono di «mettere al sicuro il conto», perché dopo un attacco i truffatori lavorano a pieno ritmo. Non pagate nessuno per sbloccare o recuperare i fondi. Salvate saldi e movimenti con schermate in cui si veda la data.
Perché riguarda anche le aziende che non hanno criptovalute
Finora Binance non ha spiegato come il portatile sia stato violato, e quello che segue non è una ricostruzione del suo caso. Togliete le criptovalute e resta una domanda che vale per qualsiasi azienda. Se domani qualcuno entra nel computer di chi gestisce i vostri sistemi, quante porte gli restano da aprire prima di arrivare ai soldi?
Un attacco così può colpire anche la più grande piattaforma del settore. Nelle aziende più piccole spesso la porta è una sola. Il tecnico esterno ha le stesse password da anni. La banca online si apre dal computer con cui si legge la posta. Il bonifico lo autorizza una persona sola, dal telefono.
Difficilmente la vostra azienda sarà il bersaglio di un attacco di queste dimensioni. Ma l’allegato infetto e la mail del finto fornitore con l’IBAN cambiato arrivano già, e la domanda è la stessa.
Cosa fare, in pratica
Primo: fare l’elenco di chi può fare cosa. Chi entra nei server, nella posta, nel gestionale, nella banca. Nell’elenco vanno anche i tecnici esterni e chi non lavora più con voi. Se l’elenco non esiste, si comincia da lì.
Secondo: separare i computer. Le operazioni delicate si fanno da un computer dedicato, diverso da quello di tutti i giorni.
Terzo: mai una persona sola sui soldi. Bonifici importanti e cambi di IBAN passano da due persone. Se il computer di una viene violato, la seconda è l’ultima porta.
Quarto: accorgersene in fretta. Servono avvisi sugli accessi strani e sui movimenti fuori dal normale. Se a Binance il grosso dei soldi è uscito in circa 20 minuti, nella vostra azienda chi se ne accorgerebbe, e dopo quanti giorni?
Un computer si può sempre violare. Quello che si può decidere è cosa trova chi entra, e quante porte gli restano da aprire.
Se nessuno sa dirvi chi ha le chiavi della vostra azienda, avete già trovato la prima porta da chiudere.
Osservatorio Strategic.sm
——
Se l’elenco non c’è, lo facciamo noi. Strategic è a disposizione di chi vuole sapere chi ha davvero le chiavi della propria azienda, chiudere gli accessi che non servono e mettere al sicuro i pagamenti.
Basta scriverci da strategic.sm.
