11 min di lettura
L’attacco a Binance attribuito alla Corea del Nord ha sottratto circa 6,36 miliardi di dollari all’exchange il 29 ottobre 2026, quasi tutto in circa 20 minuti, secondo TRM Labs. L’FBI indica come responsabile l’unità di hacker nordcoreana TraderTraitor, Pyongyang parla di «retorica assurda» e Binance dice che coprirà le perdite degli utenti con fondi propri. Se detieni criptovalute su qualunque piattaforma, il caso ti riguarda: mostra come gli hacker di Stato entrano in un exchange, che fine fa il denaro dopo e chi paga quando sparisce.
Punti chiave
- Circa 6,36 miliardi di dollari sono usciti dai wallet di Binance su dieci blockchain il 29 ottobre 2026, quasi tutti in circa 20 minuti (TRM Labs).
- Secondo l’FBI il colpo porta la firma della Corea del Nord, attraverso l’unità che chiama TraderTraitor. Pyongyang nega tramite l’agenzia di Stato KCNA.
- Binance dice di coprire le perdite con fondi propri, il fondo assicurativo dei futures e una parte di SAFU, e che con i partner ha congelato circa 3 miliardi di dollari.
- È circa quattro volte il miliardo e mezzo sottratto a Bybit nel febbraio 2025, un attacco che l’FBI ha attribuito anch’esso alla Corea del Nord.
Cosa è successo nell’hack di Binance, passo dopo passo
L’attacco è stato rapido e ampio. Il 29 ottobre 2026 un aggressore ha spostato circa 6,36 miliardi di dollari dai wallet di Binance su dieci blockchain diverse, e secondo TRM Labs la maggior parte è uscita in circa 20 minuti. NPR e CBS News arrotondano la cifra a 6,3 miliardi. Per PBS NewsHour è probabilmente il più grande furto di criptovalute di sempre.
Binance è uno dei maggiori exchange di criptovalute al mondo, una piattaforma dove si comprano, vendono e custodiscono monete digitali. Anche i giorni successivi al furto sono stati rapidi.
| Data | Cosa è successo | Fonte |
|---|---|---|
| 29 ott 2026 | Circa 6,36 miliardi di dollari escono dai wallet di Binance su dieci blockchain, quasi tutti in circa 20 minuti | TRM Labs, NPR, CBS |
| 31 ott 2026 | Binance dice di aver ripristinato la copertura per il 90% degli asset coinvolti e di voler riaprire i prelievi domenica | CNBC |
| 31 ott – 1 nov 2026 | L’FBI afferma che la responsabile è la Corea del Nord, tramite TraderTraitor | NBC News, PBS, Bloomberg |
| 2 nov 2026 | Kim Yo Jong respinge le accuse Usa come «retorica assurda», via KCNA. Il co-CEO di Binance dice che i deflussi sono tornati alla normalità | Reuters via US News, ABC News |
| In corso | Le società di analisi blockchain ricostruiscono il riciclaggio dei fondi, e i prelievi sono ripresi | Elliptic via Crypto Times, Gizmodo |
Perché l’FBI dice che dietro l’hack di Binance c’è la Corea del Nord
L’attribuzione ha due livelli, e non pesano allo stesso modo. Il primo è ufficiale. L’FBI ha dichiarato che la responsabile è la Corea del Nord, che avrebbe agito tramite l’unità di hacking che chiama TraderTraitor, secondo NBC News, PBS e Bloomberg, che hanno riportato la dichiarazione tra il 31 ottobre e il 1° novembre 2026.
Che cos’è TraderTraitor e che rapporto ha con Lazarus?
TraderTraitor è il nome che l’FBI dà a un gruppo legato allo Stato nordcoreano che prende di mira le società di criptovalute. Lazarus Group è l’etichetta più vecchia e più ampia che i ricercatori di sicurezza usano da anni per gli hacker del governo nordcoreano. TraderTraitor si può immaginare come una squadra che opera sotto l’ombrello più grande di Lazarus.
Cosa hanno trovato gli investigatori della blockchain
Il secondo livello arriva dalle società private che seguono il denaro sulle blockchain pubbliche (i registri aperti che annotano ogni transazione crypto). TRM Labs, Chainalysis ed Elliptic collegano l’attacco a TraderTraitor e a Lazarus, secondo NPR, CNBC e CoinDesk. Queste società confrontano schemi dei wallet, percorsi di riciclaggio e tecniche con casi precedenti. Le loro conclusioni sono analisi, non una sentenza, e al momento della stesura non risultavano accuse penali annunciate.
Come sono entrati gli hacker in Binance? Cosa si sa finora
Qui i fatti si fanno più sottili, e ogni dettaglio va considerato provvisorio. NPR scrive che molti particolari restano poco chiari.
L’ipotesi tecnica principale, avanzata da TRM Labs, indica una compromissione dell’infrastruttura di firma degli hot wallet di Binance. Un hot wallet è il portafoglio collegato a internet che un exchange usa per i prelievi di ogni giorno, e ogni trasferimento in uscita richiede una firma crittografica. Secondo TRM, gli aggressori avrebbero ottenuto le firme in anticipo e poi le avrebbero eseguite in un’unica raffica. Questo spiegherebbe la velocità di 20 minuti: il lavoro duro era già stato fatto prima che qualcuno se ne accorgesse.
La prima spiegazione di Binance è stata un laptop di un dipendente compromesso, e rapporti successivi hanno descritto altri punti di compromissione, secondo NPR e TRM Labs. Fortune ha scritto che operativi nordcoreani avrebbero usato LinkedIn e finti colloqui di lavoro per ingannare un ingegnere di Binance. È una ricostruzione riportata, non un accertamento, ma il metodo corrisponde a uno schema documentato da tempo: un finto selezionatore invia un «test di programmazione» o un documento che installa un malware sul computer della vittima.
La Corea del Nord nega l’hack di Binance: cosa ha detto la KCNA
Pyongyang respinge l’accusa. Kim Yo Jong, sorella del leader Kim Jong Un e alta funzionaria che spesso diffonde dichiarazioni rivolte a Washington e Seul, ha definito le accuse Usa «retorica assurda e niente di nuovo». Secondo l’agenzia di Stato KCNA, ha detto che dimostrano l’ostilità di Washington, come riportato da Reuters via US News e ABC News.
La KCNA, Korean Central News Agency, è il megafono ufficiale del governo nordcoreano: le sue dichiarazioni sono la posizione del governo, non informazione indipendente. La Corea del Nord ha negato con regolarità il coinvolgimento nei furti informatici che le vengono attribuiti. Da una parte c’è dunque un’attribuzione dell’FBI sostenuta da analisi blockchain private, dall’altra una smentita netta dello Stato.
Gli utenti di Binance hanno perso denaro? Come vengono coperte le perdite
Finora Binance dice che le perdite non ricadranno sui clienti. L’exchange ha dichiarato che coprirà le perdite degli utenti con risorse proprie, una parte del fondo assicurativo dei futures e una parte del Secure Asset Fund for Users (SAFU), secondo CNBC. Il SAFU è una riserva di emergenza che Binance ha creato anni fa proprio per eventi di questo tipo.
Quanto è stato ripristinato o congelato?
Nell’aggiornamento del 31 ottobre Binance ha detto di aver ripristinato la copertura per il 90% degli asset coinvolti e di voler riaprire i prelievi domenica, ha riferito CNBC. Binance ha aggiunto di aver lavorato con partner blockchain per congelare circa 3 miliardi di dollari degli asset coinvolti, secondo PBS NewsHour. Congelare di solito significa che l’emittente di un token, o un altro exchange che riceve fondi rubati, blocca quelle monete in modo che non possano essere spostate né convertite in contanti.
Quanto arriva dal SAFU?
I resoconti non coincidono. Uno dice che Binance sta usando metà dei bitcoin del SAFU. Un altro sostiene che il SAFU copra circa un quinto della perdita. Finché Binance non pubblica un quadro completo, entrambe le versioni vanno considerate non confermate.
Il 2 novembre il co-CEO di Binance ha detto che i deflussi erano tornati alla normalità e che la società godeva di una «salute finanziaria molto solida», secondo Reuters via US News. Separatamente, Quartz ha scritto che il direttore finanziario Kaiser Ng lascia l’incarico e che gli subentra Justin Yek.
Come la Corea del Nord ricicla le criptovalute rubate
Rubare miliardi è la parte facile. Trasformarli in denaro utilizzabile senza farsi prendere è più lento, e le società di analisi blockchain lo osservano in pubblico.
Elliptic ha riferito che gli hacker hanno riciclato parte dei fondi attraverso meme token su NEAR, una rete blockchain, secondo Crypto Times del 10 novembre 2026. Anche Gizmodo ha parlato di riciclaggio tramite memecoin. I meme token sono monete nate per scherzo o per hype, con scambi scarsi e caotici. Passare i fondi rubati dentro e fuori da questi token può confondere le tracce e far sembrare monete tracciabili una normale speculazione.
La sequenza tipica nei casi collegati alla Corea del Nord è questa:
- Dividere il bottino su molti wallet e molte blockchain, come è successo qui su dieci reti.
- Scambiare i token che un emittente può congelare con altri più difficili da bloccare.
- Saltare da una blockchain all’altra con bridge e servizi di swap.
- Incassare lentamente tramite broker ed exchange con controlli d’identità deboli.
Ognuno di questi passaggi lascia una traccia pubblica. Per questo i 3 miliardi congelati contano: ogni moneta congelata è una moneta che gli aggressori non possono spendere.
Hack di Binance contro hack di Bybit: il 2026 a confronto con il 2025
Prima di questo caso il riferimento era Bybit. Nel febbraio 2025 quell’exchange ha perso circa 1,5 miliardi di dollari in un attacco che l’FBI ha attribuito anch’esso alla Corea del Nord, secondo NBC News. Il furto di Binance è circa quattro volte più grande.
| Punto di confronto | Bybit (feb 2025) | Binance (ott 2026) |
|---|---|---|
| Importo sottratto | Circa 1,5 miliardi di dollari | Circa 6,36 miliardi di dollari (TRM Labs), o 6,3 miliardi (NPR, CBS) |
| Attribuzione dell’FBI | Corea del Nord | Corea del Nord, tramite TraderTraitor |
| Velocità e diffusione | Vedi la copertura di NBC News | Dieci blockchain, quasi tutto in circa 20 minuti |
| Punto d’ingresso segnalato | Vedi la copertura di NBC News | Compromissione della firma degli hot wallet (TRM Labs), laptop di un dipendente (Binance), finti colloqui di lavoro (Fortune) |
| Chi copre le perdite | Vedi la copertura di NBC News | Binance: fondi aziendali, fondo assicurativo dei futures, parte del SAFU |
Il punto è lo schema che si ripete. In entrambi i casi è stato colpito un exchange di primo piano, l’FBI ha indicato la Corea del Nord e il denaro è stato disperso in fretta. Se gli aggressori continueranno a salire di scala dipende in parte da quanto di questo bottino resterà congelato.
Perché il furto di criptovalute conta per il regime nordcoreano
La Corea del Nord vive sotto pesanti sanzioni internazionali legate ai programmi nucleare e missilistico, che la tagliano fuori dalla maggior parte del commercio e dei circuiti bancari normali. Funzionari Usa e gli ispettori delle sanzioni delle Nazioni Unite accusano da tempo il Paese di usare i furti informatici per procurarsi valuta forte che le sanzioni altrimenti bloccherebbero. Le criptovalute si prestano allo scopo: attraversano i confini in pochi minuti, non richiedono una banca, e pochi operatori esperti possono prendere in un pomeriggio più di quanto molte linee di export legali rendano in anni.
Per questo i governi trattano questi furti come un problema di sicurezza e non solo come un reato ai danni di un’azienda. Se vuoi il contesto più ampio su come l’economia isolata del Nord differisca da quella del Sud, leggi la nostra guida sulle differenze tra Corea del Nord e Corea del Sud.
Cosa significa l’hack di Binance per chi usa criptovalute all’estero
Per gli utenti comuni, la lezione pratica riguarda dove tieni le tue monete. Le monete custodite su un exchange dipendono dalla sicurezza di quell’exchange e dalla sua capacità di rimborsare dopo una perdita. Binance dice di poter coprire questa. Piattaforme più piccole potrebbero non avere una riserva di quelle dimensioni.
Tre segnali pratici da seguire:
- Prelievi: Binance ha detto di voler riaprirli e da allora sono ripartiti. Ritardi o limiti sarebbero un campanello d’allarme su qualsiasi exchange.
- Trasparenza: una ripartizione pubblica e chiara di come vengono finanziate le perdite, compresa la quota contestata del SAFU, ispira più fiducia di dichiarazioni rassicuranti.
- Sicurezza delle persone: l’ipotesi dei finti colloqui di lavoro mostra che nel mirino ci sono i dipendenti, non solo il codice.
Per i mercati, l’affermazione del co-CEO che i deflussi sono tornati normali suggerisce che gli utenti non abbiano innescato una corsa prolungata, ma i prezzi dei singoli token dipendono da molto più di un solo attacco. Questo articolo spiega i fatti e non è un consiglio di investimento.
FAQ
La Corea del Nord ha hackerato Binance?
L’FBI sostiene che la responsabile è la Corea del Nord, che ha agito tramite l’unità TraderTraitor. Anche le società di analisi blockchain TRM Labs, Chainalysis ed Elliptic collegano l’attacco a hacker nordcoreani. Pyongyang nega tramite la KCNA e al momento della stesura non risultavano accuse penali annunciate.
Quanto è stato rubato nell’hack di Binance?
TRM Labs parla di circa 6,36 miliardi di dollari, spostati su dieci blockchain il 29 ottobre 2026. NPR e CBS riportano 6,3 miliardi. Binance dice che con i partner ha congelato circa 3 miliardi di dollari degli asset coinvolti.
I clienti di Binance hanno perso i loro soldi?
Binance dice di coprire le perdite degli utenti con fondi propri, parte del fondo assicurativo dei futures e parte del SAFU. Il 31 ottobre ha dichiarato di aver ripristinato la copertura per il 90% degli asset coinvolti. Controlla il tuo conto solo tramite l’app o il sito ufficiale di Binance.
Che cos’è TraderTraitor?
TraderTraitor è il nome che l’FBI dà a un’unità di hacker legata allo Stato nordcoreano che prende di mira le società di criptovalute. Viene comunemente associata al più ampio Lazarus Group, l’etichetta usata dai ricercatori per gli hacker del governo nordcoreano.
Come sono entrati gli hacker?
Il punto d’ingresso esatto non è ancora chiaro. TRM Labs indica una compromissione del sistema di firma degli hot wallet di Binance, Binance ha citato per prima cosa il laptop compromesso di un dipendente, e Fortune ha scritto che operativi nordcoreani avrebbero usato LinkedIn e finti colloqui di lavoro per ingannare un ingegnere.
L’hack di Binance è più grande di quello di Bybit?
Sì. Bybit ha perso circa 1,5 miliardi di dollari nel febbraio 2025 in un attacco che l’FBI ha attribuito anch’esso alla Corea del Nord. Il furto di Binance, circa 6,3 miliardi, è circa quattro volte più grande, e per PBS è probabilmente il più grande furto di criptovalute di sempre.
Cosa seguire dopo l’hack di Binance
Restano aperte tre domande. La prima è il punto d’ingresso esatto: un rapporto completo di Binance sull’incidente chiarirebbe se tutto è partito da un laptop, da un finto colloquio o da più violazioni insieme. La seconda è la cifra finale recuperata: osserva quanti dei 3 miliardi congelati restano bloccati e se se ne recupera altro mentre Elliptic, Chainalysis e TRM Labs continuano a tracciare il riciclaggio. La terza è la risposta di Washington: se il Dipartimento di Giustizia Usa annuncerà accuse o il Tesoro aggiungerà sanzioni su wallet e persone coinvolte. Per gli aggiornamenti, segui la pagina degli annunci ufficiali di Binance, le dichiarazioni pubbliche dell’FBI e i blog di ricerca delle società di analisi blockchain, e leggi qualsiasi risposta della KCNA per quello che è: l’affermazione del governo nordcoreano.
Da leggere anche
Fonti trmlabs.com · npr.org · cbsnews.com · pbs.org · cnbc.com · k-korea.blog · usnews.com · qz.com
Prezzi, orari e disponibilità cambiano. Controlla la pagina ufficiale prima di comprare o partire.