Il più grande furto di criptovalute di cui si abbia notizia è cominciato con un’offerta di lavoro. Binance ha pubblicato il 3 novembre 2026 il rapporto sull’attacco del 29 ottobre, che ha sottratto circa 6,34 miliardi di dollari in asset digitali: secondo la piattaforma, il punto d’ingresso è stato un suo ingegnere software che ha eseguito un esercizio di programmazione infetto durante un finto colloquio. La ricostruzione è stata riportata da BleepingComputer.
La catena dell’attacco
- Settembre: l’ingegnere viene contattato su una piattaforma di ricerca lavoro reale da un sedicente project director di un’azienda inesistente. Il suo profilo citava l’esperienza in Binance.
- Primo colloquio: videochiamata con un finto responsabile delle risorse umane, che condivide un profilo social con foto e video personali per risultare credibile.
- Secondo colloquio: un falso CEO, su un’app di chat, chiede di scaricare un compito di programmazione da un repository di codice.
- Infezione: il codice contiene un malware su misura che Binance definisce zero-day, non rilevato dagli strumenti di protezione. Su macOS sostituisce l’eseguibile pyenv nella cartella di Homebrew e apre una shell controllata dagli attaccanti.
- Entro il 20 ottobre: dal portatile compromesso, sfruttando anche uno strumento AI interno, gli attaccanti colpiscono due colleghi del team che gestisce i wallet e ottengono credenziali e un token di deployment.
- 29 ottobre: uno script malevolo raggiunge il servizio di firma dei wallet e sposta fondi su più blockchain. L’abuso del meccanismo EIP-7702 di Ethereum permette di continuare anche dopo la sospensione dei prelievi.
Chi c’è dietro e quanto è stato recuperato
L’FBI attribuisce l’operazione a TraderTraitor, gruppo legato allo Stato nordcoreano e noto anche come Lazarus o APT38. Binance non collega formalmente l’adescamento a una campagna specifica, ma lo schema ricalca quelli documentati come Contagious Interview e Operation Dream Job. Al 3 novembre risultavano congelati o intercettati circa 2,85 miliardi di dollari; Binance dichiara di aver reintegrato al 31 ottobre il 98% degli asset colpiti, oltre ad aver ricostruito i sistemi, sostituito i dispositivi e revocato le credenziali. La società sostiene che il malware fosse rimasto invisibile ai sistemi di protezione installati in quel momento.
Cosa significa per chi lavora nel settore
La lezione non riguarda solo le borse di criptovalute. Il bersaglio non era un server, ma una persona in cerca di lavoro, convinta da settimane di contatti credibili. Per sviluppatori e tecnici valgono regole semplici: nessun «test tecnico» va eseguito sulla macchina di lavoro, il codice di uno sconosciuto si apre in una macchina virtuale o in un container usa e getta, e l’accesso agli strumenti più sensibili va protetto con chiavi hardware o passkey, come spiegato nella nostra https://hardwarfare.it/ai-software/sicurezza/passkey-phishing-guida-attivazione/. Per le aziende il punto è la segmentazione: un portatile compromesso non dovrebbe bastare per arrivare ai sistemi di firma. Altri casi sono nella categoria https://hardwarfare.it/category/ai-software/sicurezza/.
La nostra lettura
Lo zero-day è il dettaglio che fa titolo, ma è la parte meno interessante: senza un colloquio ben recitato non sarebbe mai stato eseguito. Il caso mostra che i gruppi nordcoreani investono più nella sceneggiatura che nel codice, e che le difese basate sul riconoscimento del malware non bastano più. Il fatto che un’azienda di queste dimensioni abbia permesso a un singolo dispositivo di aprire la strada fino ai wallet è la vera falla, e non è un problema solo di Binance.
