Venerdì 30 ottobre Binance ha comunicato di aver riservato oltre 6,34 miliardi di $ di fondi aziendali per coprire le perdite degli utenti dopo l'hack di giovedì, il più grande furto nella storia delle crypto. La cifra non include gli asset già congelati.
Cosa ha annunciato Binance
In un post su X, Binance ha spiegato che 5 miliardi di $ di questo importo sono già in custodia, negli stessi token che sono stati rubati. Il resto viene acquistato tramite canali di mercato e OTC, un processo che "può richiedere più tempo perché alcuni token potrebbero avere bassa liquidità".
- I fondi riservati non includono gli asset congelati dopo l'attacco
- Binance afferma di aver già iniziato a recuperare gli asset colpiti per gli utenti
- L'exchange collabora con le forze dell'ordine, gli emittenti di stablecoin e le società di blockchain intelligence per tracciare e congelare altri fondi
"Supereremo questa tempesta", ha dichiarato Binance.
Cosa è stato sottratto e su quali chain
Secondo TRM Labs, l'attaccante ha spostato circa 6,36 miliardi di $ dai wallet di Binance su dieci blockchain, in gran parte in circa 20 minuti a partire dalle 20:05 UTC del 29 ottobre. È circa quattro volte l'hack di Bybit da 1,5 miliardi di $ del febbraio 2025.
Chain | Asset sottratti | Valore |
|---|---|---|
Ethereum | 200.630 ETH + 185 token, tra cui 1,875 miliardi di USDT e 823 milioni di USDC | 3,79 miliardi di $ |
Bitcoin | 18.270 BTC | 1,47 miliardi di $ |
Tron | 612,7 milioni di USDT + 46,4 milioni di TRX | 628 milioni di $ |
XRP Ledger | 233,46 milioni di XRP | 296 milioni di $ |
Solana | 970.500 SOL | 96 milioni di $ |
Come è stato eseguito l'attacco
Su Ethereum l'attaccante ha usato una delega EIP-7702 con 50 autorizzazioni prefirmate per trasformare un hot wallet di Binance in uno sweeper contract richiamabile solo da lui. Sulle altre nove chain i wallet di Binance hanno inviato fondi con normali trasferimenti firmati, il che secondo TRM indica una compromissione dell'infrastruttura di firma degli hot wallet di Binance.
Sia TRM sia Chainalysis attribuiscono l'attacco a TraderTraitor, gruppo nordcoreano che l'FBI ha indicato come responsabile dell'hack di Bybit. Chainalysis afferma di aver osservato in tempo reale i fondi di Binance mescolarsi con i proventi dell'exploit di Bitget del mese scorso, anch'esso attribuito ad attori nordcoreani.
Cosa è stato congelato e cosa resta all'attaccante
TRM conta circa 2,7 miliardi di $ congelati onchain alle 00:30 UTC del 30 ottobre:
- Tether: circa 1,77 miliardi di USDT
- Circle: circa 825 milioni di USDC
- Ripple: 40,5 milioni di RLUSD
- World Liberty Financial: 27,8 milioni di USD1
- Arbitrum Security Council: 8.426 ETH e 74,6 milioni di ARB
Nelle prime ore l'attaccante ha venduto circa 325 milioni di USDT a market maker tramite UniswapX e altri contratti basati su intent, ottenendo circa 122.300 ETH, con uno sconto di oltre il 10% rispetto al mercato. Altri 60 milioni di USDT sono stati depositati su Aave per prendere in prestito circa 19.760 ETH, prima che il protocollo congelasse i mercati interessati.
L'attaccante detiene ora oltre 420.000 ETH e 18.270 BTC, circa 2,4 miliardi di $ in asset fuori dalla portata di qualsiasi emittente. Secondo Chainalysis, migliaia di transazioni in una finestra ristretta indicano un riciclaggio automatizzato, con molti indirizzi che ricevono esattamente 1 TRX prima di inoltrare i fondi.