Il più grande furto nella storia del settore, senza chiavi private rubate. Cosa insegna a banche, SGR, family office e consulenti

Il 29 ottobre 2026 Binance ha perso circa 6,3 miliardi di dollari in cripto-attività, secondo la stima dello stesso exchange: è il furto più grande mai registrato, circa quattro volte quello subito da Bybit nel febbraio 2025. Gli attaccanti non hanno sottratto chiavi private. Sono entrati dal laptop compromesso di un ingegnere e hanno fatto partire dai sistemi interni richieste di prelievo che i wallet hanno firmato ed eseguito. Per chi affida cripto-attività a un terzo, la lezione è che proteggere le chiavi non basta: bisogna sapere chi, e con quali controlli, può ordinare un trasferimento.

In sintesi

  • Importo: circa 6,3 miliardi di dollari secondo Binance, tra 5,9 e 6,36 miliardi secondo Chainalysis e TRM Labs, su 10 blockchain.
  • Causa iniziale, secondo Binance: un dispositivo compromesso ha dato accesso a un servizio interno che ha inviato prelievi non autorizzati. Nessuna prova di chiavi private sottratte.
  • Fondi congelati: circa 2,7-3 miliardi di dollari, quasi tutti in stablecoin. Bitcoin ed ether sottratti non si possono bloccare e restano nella disponibilità dell'attaccante.
  • Binance ha dichiarato che coprirà le perdite degli utenti con il fondo SAFU e con risorse proprie.
  • Per un intermediario, la scelta del custode richiede verifiche precise su segregazione dei fondi, controlli sui trasferimenti e responsabilità in caso di perdita. MiCAR fissa già le regole di riferimento.

Cosa è successo il 29 ottobre?

L'attacco è iniziato alle 20:05 UTC con un primo trasferimento dai wallet di Binance sull'XRP Ledger. Nei minuti successivi sono partiti fondi da Solana, Optimism, Tron, Bitcoin ed Ethereum, e una seconda ondata ha colpito Avalanche e Polygon intorno alle 23:05. Secondo TRM Labs l'operazione era in preparazione da almeno 36 ore.

Dato Valore Fonte
Importo sottratto circa 6,3 miliardi di USD Binance
Stime indipendenti 5,9 miliardi (Chainalysis); 6,36 miliardi (TRM Labs) Chainalysis, TRM Labs
Blockchain coinvolte 10 TRM Labs
Fondi congelati circa 2,7 miliardi, di cui 1,77 miliardi in USDT e 825 milioni in USDC TRM Labs
Fondi ancora in mano all'attaccante oltre 420.000 ETH e 18.270 BTC, circa 2,4 miliardi TRM Labs
Attribuzione TraderTraitor, gruppo legato alla Corea del Nord (alta confidenza); non confermata da Binance TRM Labs
Copertura delle perdite fondo SAFU (circa 1 miliardo in BTC) e risorse aziendali Binance

Dati aggiornati al 30 ottobre 2026.

Binance ha sospeso i prelievi. La co-CEO Yi He ha dichiarato che l'exchange coprirà tutte le perdite causate dall'attacco, e il fondatore Changpeng Zhao ha scritto che i fondi degli utenti sono al sicuro. Il giorno dell'attacco, secondo CoinDesk, bitcoin ha perso il 4,8% scendendo sotto i 77.000 dollari, ether il 5,7% e il token di Binance, BNB, l'8%.

Come si rubano 6 miliardi senza rubare le chiavi?

Per anni la sicurezza di un custode è stata misurata soprattutto su un punto: dove e come sono conservate le chiavi private. Questo attacco mostra un altro punto debole. L'attaccante ha compromesso il laptop di un ingegnere DevOps, ha raggiunto un servizio interno e da lì ha inviato richieste di prelievo. I sistemi di firma le hanno trattate come legittime.

TRM Labs aggiunge un dettaglio tecnico. Su Ethereum l'attaccante ha usato EIP-7702, una funzione introdotta con l'aggiornamento Pectra del maggio 2025 che permette a un wallet di delegare le proprie operazioni a uno smart contract. Una sola transazione con 50 autorizzazioni pre-firmate è bastata a far eseguire al wallet il codice dell'attaccante, che lo ha svuotato in pochi minuti. Sulle altre nove blockchain i fondi sono usciti con normali transazioni firmate: per TRM è il segno che l'attaccante controllava l'infrastruttura di firma.

In altre parole, le chiavi erano al loro posto. Il problema era che qualcuno, dall'interno, poteva chiedere ai sistemi di usarle.

Cosa prevede MiCAR per chi custodisce cripto-attività per conto dei clienti?

In Europa la custodia di cripto-attività per conto terzi è un servizio riservato agli operatori autorizzati ai sensi del regolamento MiCAR. L'articolo 75 fissa obblighi precisi.

  • Politica di custodia. Il custode deve adottare regole e procedure che riducano al minimo il rischio di perdita per frode, minacce informatiche o negligenza. Su richiesta, deve fornirne una sintesi al cliente.
  • Registro delle posizioni. Ogni cliente ha una posizione registrata a suo nome, aggiornata a ogni movimento.
  • Segregazione. Le cripto-attività dei clienti vanno tenute separate da quelle del custode, sia sul registro distribuito sia sul piano giuridico. In caso di insolvenza del custode, i suoi creditori non possono rivalersi su di esse.
  • Responsabilità. Il custode risponde della perdita di cripto-attività dovuta a un incidente a lui attribuibile, fino al loro valore di mercato al momento della perdita.
  • Sub-custodia. Se il custode si appoggia a un altro operatore, questo deve essere a sua volta autorizzato, e il cliente deve esserne informato.

A questi obblighi si aggiunge il regolamento DORA sulla resilienza operativa digitale, che impone agli operatori autorizzati la gestione del rischio informatico, i test e la segnalazione degli incidenti gravi.

A giugno Binance ha annunciato di aver ritirato la domanda di autorizzazione MiCAR presentata in Grecia e di aver sospeso, dal 1° luglio 2026, la prestazione di servizi relativi alle cripto-attività nei confronti degli utenti UE interessati, mantenendo disponibili le operazioni strettamente necessarie alla gestione e al trasferimento delle posizioni esistenti e al prelievo degli asset.

L'autorizzazione non rende un operatore immune da un attacco. Rende però verificabili, trasparenti e soggette a vigilanza le regole con cui protegge i fondi dei clienti e definisce chi ne risponde se qualcosa va storto.

Quali domande fare al proprio custode?

Per un intermediario, l'attacco a Binance pone in evidenza l'importanza di predisporre una lista di verifiche coerenti con i presidi MiCAR, da fare prima di affidare cripto-attività a un terzo, o da ripetere oggi con il custode che si usa già, tra cui:

  1. È autorizzato? Il custode deve risultare nel registro ESMA dei prestatori autorizzati ai sensi di MiCAR, per il servizio di custodia e amministrazione.
  2. I fondi dei clienti sono separati? Va chiesto come è garantita la segregazione on-chain e cosa succede ai fondi in caso di insolvenza del custode.
  3. Si può leggere la politica di custodia? È un diritto del cliente. Chi esita a fornirne la sintesi dà già una risposta.
  4. Come si approva un trasferimento? Gli standard di sicurezza indicano come presidio minimo l'approvazione congiunta e la separazione dei compiti.
  5. I sistemi di firma verificano cosa firmano? Liste di indirizzi autorizzati, limiti di importo e controlli sulle autorizzazioni insolite riducono il danno anche se un sistema viene compromesso.
  6. Quanta parte dei fondi è in hot wallet? I wallet sempre collegati servono per l'operatività quotidiana e sono i più esposti. La quota deve essere limitata e dichiarata.
  7. Chi custodisce davvero? Se c'è un sub-custode, va conosciuto per nome e deve essere autorizzato e quindi soggetto ai medesimi presidi.

Cosa significa per chi gestisce un portafoglio?

Nell'articolo sulle stime di J.P. Morgan per bitcoin abbiamo visto quanto pesa la volatilità sulla componente crypto di un portafoglio. L'attacco a Binance ricorda che c'è un secondo rischio, separato dal prezzo: quello di controparte. Una posizione in cripto-attività vale quanto la solidità di chi la custodisce.

C'è anche una differenza tra asset. Quasi tutti i fondi congelati erano stablecoin, che gli emittenti possono bloccare. Su bitcoin ed ether nessuno ha questo potere: una volta usciti, recuperarli è molto più difficile. Per questi asset la protezione si gioca prima che i fondi escano.

Hodli è autorizzata dalla Consob, sentita la Banca d'Italia, a prestare servizi per le cripto-attività ai sensi del Regolamento (UE) 2023/1114 (MiCAR), ed è iscritta nell'Albo dei prestatori di servizi per le cripto-attività. Gestisce portafogli di cripto-attività sulla base di un mandato individuale con ciascun cliente e presta il servizio di custodia e amministrazione per conto dei clienti, avvalendosi di sub-custodi a loro volta autorizzati.

Aggiornamento al 2 novembre 2026

Domenica 1° novembre Binance ha riaperto i prelievi per fasi: prima bitcoin, ether, USDT, USDC, BNB e XRP, poi gli altri asset man mano che superano i controlli di sicurezza su ciascuna blockchain. L'exchange dichiara di aver già reintegrato con fondi propri circa il 95% delle cripto-attività sottratte e conferma che le perdite non ricadranno sugli utenti.

L'FBI ha attribuito l'attacco al gruppo nordcoreano TraderTraitor, lo stesso ritenuto responsabile del furto a Bybit. Circa 3 miliardi di dollari restano congelati, ma non sono ancora stati recuperati. Binance non ha ancora pubblicato il rapporto tecnico completo e ha indicato che, oltre al laptop compromesso, l'attacco potrebbe aver sfruttato altri punti di accesso. Dopo la riapertura dei prelievi, secondo i dati di DefiLlama citati da Bloomberg, l'exchange ha registrato deflussi netti per 2,5 miliardi di dollari.

Domande frequenti

Quanto è stato rubato a Binance?

Circa 6,3 miliardi di dollari secondo Binance; le stime di Chainalysis e TRM Labs vanno da 5,9 a 6,36 miliardi. È il furto più grande nella storia delle cripto-attività.

Come è avvenuto l'attacco?

Da un laptop compromesso l'attaccante ha raggiunto un servizio interno e ha inviato prelievi non autorizzati, che i sistemi di firma hanno eseguito. Binance non ha trovato prove di chiavi private sottratte.

Gli utenti di Binance perderanno i loro fondi?

Binance ha dichiarato che coprirà le perdite con il fondo SAFU e con risorse aziendali. Circa 2,7-3 miliardi di dollari, quasi tutti in stablecoin, sono stati congelati dagli emittenti.

Cosa prevede MiCAR se un custode perde le cripto-attività dei clienti?

L'articolo 75 rende il custode responsabile delle perdite dovute a incidenti a lui attribuibili, fino al valore di mercato delle cripto-attività al momento della perdita.

Come si sceglie un custode di cripto-attività affidabile?

Verificando che sia autorizzato ai sensi di MiCAR, chiedendo la sintesi della politica di custodia e controllando come sono segregati i fondi e come vengono approvati i trasferimenti.

Fonti e avvertenze

Contenuto a scopo informativo, rivolto a investitori professionali. Non costituisce consulenza in materia di investimenti o consulenza legale né raccomandazione all'acquisto o alla vendita di strumenti o cripto-attività. Le cifre sull'attacco provengono da Binance e da società di analisi indipendenti e possono essere aggiornate. Le cripto-attività sono ad elevata volatilità e il loro valore può subire significative oscillazioni, con conseguenti possibili perdite del capitale investito.