Binance, l’FBI attribuisce a TraderTraitor il furto da oltre 6 miliardi

Il FBI attribuisce alla Corea del Nord e al gruppo TraderTraitor il furto di oltre 6 miliardi di dollari in asset digitali da Binance, avvenuto il 29 ottobre 2026. L’agenzia ha pubblicato gli indirizzi collegati ai fondi e, insieme allo U.S. Secret Service e all’IRS Criminal Investigation, ha chiesto a exchange, servizi DeFi e operatori di infrastrutture crypto di bloccare le transazioni dirette a quegli indirizzi o da essi derivate. La richiesta mira a ostacolare il riciclaggio, ma non significa che tutti gli asset siano stati congelati.

Nel suo avviso ufficiale, il FBI attribuisce l’attacco alla Corea del Nord e pubblica gli indirizzi da monitorare. L’agenzia riferisce di aver osservato conversioni dei fondi rubati soprattutto in Ether. Ulteriori passaggi attraverso servizi di finanza decentralizzata e piattaforme di scambio istantaneo sono presentati come una previsione, non come un’operazione già interamente documentata.

La ricostruzione di Elliptic, società di analisi blockchain, aggiunge una fotografia del movimento dei fondi aggiornata al 2 novembre: il tracciamento riguarda migliaia di portafogli e decine di migliaia di transazioni su più reti. La società stimava in 6,43 miliardi di dollari il valore degli asset sottratti e riferiva di aver verificato 2,85 miliardi di fondi congelati o sequestrati nella fotografia dell’1 novembre. Sono stime di Elliptic, basate sui movimenti on-chain, e non un bilancio ufficiale del FBI.

Che cosa è successo e che cosa si sa dell’attacco

Secondo l’analisi di Elliptic, i prelievi illeciti sono avvenuti il 29 ottobre tra le 20:05 e le 23:56 UTC, coinvolgendo wallet di Binance su 11 blockchain. I primi movimenti individuati dalla società riguardano 233 milioni di XRP inviati da cinque wallet dell’exchange a un indirizzo controllato dagli attaccanti; nei minuti successivi sono stati coinvolti anche altri asset e reti. Elliptic stima che la quota maggiore del valore sottratto fosse su Ethereum, seguita da Bitcoin e stablecoin su Tron.

Binance ha inizialmente indicato come possibile punto d’ingresso il computer portatile compromesso di un ingegnere DevOps. In un successivo aggiornamento, tuttavia, l’exchange ha detto di aver individuato ulteriori punti di compromissione e ha descritto l’incidente come complesso. La società non ha quindi presentato il portatile come spiegazione completa dell’attacco. Le ricostruzioni disponibili riguardano l’accesso ai sistemi e ai wallet dell’exchange: non indicano una compromissione dei protocolli delle blockchain coinvolte.

Questo limite è importante per capire che cosa resta da accertare: l’attribuzione del FBI riguarda i responsabili, mentre il quadro tecnico dell’ingresso e delle modalità operative non è descritto come definitivamente chiarito nei materiali consultati. L’avviso federale non spiega nei dettagli il percorso d’accesso ai sistemi di Binance.

Come si spostano i fondi e perché i blocchi non sono automatici

Elliptic stima che 3,46 miliardi di dollari del totale sottratto fossero in stablecoin, tra cui USDT e USDC. A differenza di asset come Ether e Bitcoin, alcune stablecoin possono essere congelate dagli emittenti. Per questo, secondo Elliptic, gli attaccanti hanno cercato di convertirne una parte in asset senza un emittente in grado di bloccare direttamente i wallet.

Elliptic riferisce che Tether ha congelato i fondi USDT arrivati su un wallet Ethereum 37 minuti dopo il loro trasferimento; prima del blocco, una parte era stata convertita in Ether tramite servizi di scambio decentralizzati. Circle, secondo la stessa ricostruzione, ha congelato gli 823 milioni di USDC sottratti prima che fossero convertiti. Anche altri emittenti e alcuni soggetti che governano specifiche reti hanno bloccato o messo fuori portata parte degli asset.

Il margine d’intervento dipende dunque dal tipo di asset e dal punto in cui si trova. Un emittente può congelare alcuni token; non esiste un’autorità centrale che possa bloccare Ether o Bitcoin su tutta la rete. Exchange, servizi di scambio, bridge e altri intermediari possono invece individuare fondi collegati agli indirizzi segnalati e intervenire quando questi passano dai loro sistemi, secondo le regole e le capacità tecniche applicabili.

Per questo il FBI chiede di bloccare anche le transazioni «derivate» dagli indirizzi elencati: i fondi possono passare attraverso nuovi wallet, conversioni e collegamenti tra blockchain. La pubblicazione di un indirizzo aiuta gli operatori a riconoscere i flussi, ma non congela automaticamente ogni trasferimento successivo né recupera gli asset già spostati.

La fotografia del tracciamento: dati datati e stime distinte

Le cifre sul furto non sono tutte la stessa misura. Il FBI parla di oltre 6 miliardi di dollari; Binance, secondo gli aggiornamenti citati da Elliptic, ha stimato un impatto di circa 6,3 miliardi; Elliptic valuta gli asset sottratti in 6,43 miliardi. Il dato di Elliptic dipende dai trasferimenti identificati e dai valori attribuiti agli asset, mentre quello del FBI è una soglia arrotondata nell’avviso.

Nella fotografia on-chain dell’1 novembre, Elliptic indicava 2,85 miliardi di dollari congelati o sequestrati, pari a circa il 44% del totale stimato. La società descriveva inoltre fondi che continuavano a passare attraverso wallet, servizi di scambio e bridge. Il 2 novembre ha aggiornato la ricostruzione: indica circa 12.000 wallet e oltre 40.000 transazioni in meno di quattro giorni, con una parte dei flussi distribuita su migliaia di indirizzi Tron e successivamente trasferita anche verso altre reti. Questi numeri descrivono il tracciamento condotto da Elliptic e possono cambiare con l’identificazione di nuovi indirizzi o movimenti.

L’aggiornamento più recente di Elliptic riferisce anche che circa 28 BTC, per un valore stimato di 2,2 milioni di dollari, erano stati inseriti in transazioni di tipo coinjoin, che aggregano trasferimenti per rendere più difficile seguire il percorso dei singoli fondi. La società precisa che una parte del denaro convertito potrebbe non essere ancora stata incassata: cambiare asset o spostarlo tra wallet non equivale a convertirlo in denaro spendibile fuori dalla blockchain.

Il dato dei fondi congelati non va confuso con il recupero dell’intera somma né con la copertura delle perdite dichiarata dall’exchange. Binance ha detto che coprirà l’impatto con risorse proprie e il fondo SAFU. In un distinto articolo del giornale abbiamo ricostruito la prova di riserve pubblicata da Binance dopo l’attacco e i limiti dello snapshot: la copertura dichiarata dalla società e il blocco o recupero degli asset sottratti sono questioni diverse.

Il precedente Bybit e il ruolo di TraderTraitor

Il caso richiama il furto ai danni dell’exchange Bybit del febbraio 2025. Allora il FBI attribuì alla Corea del Nord il furto di circa 1,5 miliardi di dollari e usò il nome TraderTraitor per descrivere la specifica attività informatica nordcoreana. Nel successivo avviso, l’agenzia riferì che i fondi erano stati convertiti in Bitcoin e altri asset e dispersi su migliaia di indirizzi; anche in quel caso invitò gli operatori a bloccare le transazioni collegate.

Elliptic stima il furto da Binance in oltre quattro volte quello da Bybit. La società afferma che, dopo l’attacco del 2025, fu riciclata in dieci giorni una quantità di 499.000 ETH, mentre l’incasso dei fondi richiese mesi. La comparazione aiuta a distinguere due fasi: la dispersione e conversione degli asset possono essere rapide, ma la loro trasformazione in denaro tramite intermediari può lasciare occasioni successive di individuazione e blocco. I tempi del caso Bybit non garantiscono che il percorso attuale sarà identico.

Il nome TraderTraitor non è una nuova etichetta inventata per questo episodio: il FBI l’aveva già usato nel 2025 per attività attribuite alla Corea del Nord. Elliptic aveva indicato quel gruppo come probabile responsabile del furto da Binance prima dell’annuncio federale; si tratta di una valutazione della società distinta dall’attribuzione ufficiale del FBI, arrivata il 31 ottobre.

Che cosa può succedere adesso

La priorità per le autorità e gli operatori è seguire gli indirizzi già pubblicati e quelli collegati ai trasferimenti successivi, aggiornando i controlli mentre i fondi passano tra asset e reti. Secondo Elliptic, il punto più difficile sarà impedire l’incasso tramite exchange centralizzati o intermediari fuori dalla blockchain: le tracce pubbliche possono aiutare a riconoscere i movimenti, ma non mostrano da sole chi controlla ogni wallet né se i fondi siano già stati convertiti fuori dai circuiti tracciabili.

Per ora, i dati disponibili descrivono un’indagine in corso e un appello alla collaborazione del settore, non un recupero definitivo. Restano da seguire gli aggiornamenti delle autorità, le eventuali nuove congelazioni e la ricostruzione tecnica dell’attacco da parte di Binance. Le stime di Elliptic sul percorso dei fondi andranno lette con la data e l’ora a cui si riferiscono.