Binance, rubati 6,3 miliardi in criptovalute in 20 minuti

Binance ha subito il furto di circa 6,3 miliardi di dollari in criptovalute, sottratti giovedì in una sequenza di operazioni durata una ventina di minuti. La piattaforma ha bloccato depositi e prelievi e ha avviato verifiche con le autorità.

Il denaro già congelato

La società ha lavorato insieme ad altri operatori del settore per fermare una parte dei trasferimenti. Le stime disponibili indicano che sono stati messi al sicuro tra 2,8 e 3 miliardi di dollari, pari a circa il 44% del bottino complessivo.

La quota recuperata è composta soprattutto da monete digitali ancorate al valore del dollaro, le cosiddette stablecoin. Per Robinson, cofondatore e responsabile della ricerca di Elliptic, "i restanti 3,3 miliardi di dollari sono per lo più Bitcoin, Ether e XRP, che nessuno può congelare". Questi fondi possono essere fermati soltanto quando approdano su una piattaforma di scambio o su un servizio in grado di intervenire.

Secondo lo stesso ricercatore, una parte delle criptovalute potrebbe essere intercettata nei prossimi mesi, ma è improbabile che la percentuale bloccata aumenti in modo significativo. Gli investigatori devono quindi seguire i passaggi successivi del denaro prima che venga convertito o trasferito attraverso altri indirizzi.

Le tracce portano in Corea del Nord

Tre società che analizzano i movimenti sulla blockchain hanno individuato elementi compatibili con un’operazione condotta da pirati informatici nordcoreani. Elliptic ha definito la responsabilità della Corea del Nord probabile, mentre TRM Labs e Chainalysis hanno collegato il metodo a TraderTraitor, gruppo già associato a precedenti attacchi contro aziende finanziarie e criptovalute.

Per ora Binance e le forze dell’ordine non hanno attribuito ufficialmente l’incursione a TraderTraitor. Il gruppo, tuttavia, è noto per aver preso di mira i dipendenti delle aziende attraverso strumenti e applicazioni contraffatti. L’anno scorso l’FBI gli aveva attribuito un’operazione da 1,5 miliardi di dollari contro Bybit, altra piattaforma per le criptovalute.

Rafe Pilling, responsabile dell’intelligence sulle minacce di Sophos, ha descritto a Wired le capacità del gruppo: "Sono veri e propri artisti quando si tratta di infiltrarsi in organizzazioni di finanza decentralizzata". Secondo il ricercatore, TraderTraitor tende a concentrarsi su operazioni di grande entità e in passato avrebbe creato applicazioni fasulle per penetrare nei sistemi delle vittime.

Come è avvenuta l’intrusione

L’analisi di TRM Labs mostra che i portafogli di Binance presenti su almeno dieci reti blockchain, tra cui Ethereum, Bitcoin, Tron e Solana, sono stati svuotati quasi nello stesso momento. Gli asset sono poi confluiti verso più indirizzi riconducibili a un unico aggressore.

I preparativi sarebbero cominciati almeno 36 ore prima dell’azione. Binance ha spiegato che la prima ricostruzione indicava un possibile coinvolgimento del computer portatile di un ingegnere, ma gli accertamenti successivi hanno fatto emergere altre compromissioni. "Si è trattato di un attacco complesso e stiamo facendo tutto il possibile, in coordinamento con le forze dell’ordine, per risolverlo", ha comunicato l’azienda.

La scelta di colpire un dipendente rientra, secondo gli specialisti, nei metodi già osservati in attacchi attribuiti a TraderTraitor. Non è stato però chiarito quale accesso abbia permesso di raggiungere i portafogli collegati a Binance né se il dispositivo compromesso sia stato l’unico punto d’ingresso.

I tentativi di nascondere i trasferimenti

Chainalysis ha rilevato migliaia di movimentazioni eseguite in rapida successione. La società ha riferito di aver osservato "schemi di riciclaggio di denaro mai visti prima" e ritiene che l’automazione possa essere stata impiegata per rendere più difficile seguire il percorso dei fondi.

La velocità dei trasferimenti complica il lavoro di piattaforme, società di analisi e investigatori. Le criptovalute che non passano da servizi centralizzati non possono essere congelate direttamente: per intervenire è necessario che raggiungano un punto nel quale l’operatore possa identificarle e bloccarle.