Come è iniziato l'attacco a Binance: un finto download e un finto colloquio di lavoro

Quando abbiamo raccontato l'attacco a Binance del 29 ottobre, una domanda era ancora aperta: come sono entrati gli aggressori? Il 3 novembre Binance ha pubblicato il suo primo resoconto dettagliato. Secondo quel resoconto, l'attacco non è partito da codice difettoso, ma da un finto download e da un finto colloquio di lavoro. Ecco cosa dice Binance e cosa può imparare chiunque.

In breve: come è iniziato l'attacco a Binance?

• Binance parla di una «campagna durata mesi», non di un errore di una sola persona.
• A giugno un ingegnere che cercava un noto strumento di programmazione con IA ha scaricato una versione manomessa.
• A settembre finti selezionatori hanno dato a un altro ingegnere un test di programmazione con malware nascosto.
• Gli aggressori si sono poi spostati tra i computer dei dipendenti fino al sistema che approvava le transazioni dei wallet.
• Questo è soprattutto il resoconto di Binance. Una società di sicurezza esterna lo sta esaminando.
• Gli stessi trucchi colpiscono le persone comuni: finti download, finte offerte e fiducia mal riposta.

Come sono entrati gli aggressori?

All'inizio Binance ha detto che l'incidente «potrebbe riguardare il laptop compromesso di un ingegnere DevOps». Il co-CEO Richard Teng ora respinge l'idea di un unico punto debole e dice che gli aggressori «hanno passato mesi a costruirsi la strada per entrare». Secondo CNBC e The Record, Binance descrive quattro fasi:

• Giugno: un finto download. Un ingegnere di Binance ha scaricato un programma di installazione manomesso «per installare un noto strumento di programmazione con IA dopo averlo cercato su un motore di ricerca». Binance se n'è accorta, ha sostituito il computer e cambiato le credenziali. Ma dice che gli aggressori avevano già scoperto il ruolo dell'ingegnere e i suoi colleghi del team wallet.
• Settembre: un finto colloquio di lavoro. Gli aggressori «si sono finti selezionatori e hanno condotto una serie di colloqui con un altro ingegnere», ha detto Teng a CNBC. Il tutto si è concluso con un esercizio di programmazione contenente «malware nascosto progettato per eludere la sicurezza».
• Entro il 20 ottobre: movimenti interni. Gli aggressori si sono estesi ad altri computer dei dipendenti, ha riferito The Record. Teng dice che, attraverso strumenti interni di IA, hanno raggiunto «il sistema che autorizzava le nostre transazioni dei wallet».
• 29 ottobre: il furto. Per i primi trasferimenti è stato usato un servizio interno di firma delle transazioni, ha riferito The Record, seguito da un trasferimento di bitcoin da 1,4 miliardi di dollari e da altre 50 transazioni. Binance calcola il totale in 6,34 miliardi di dollari.

Binance aveva già detto di non aver trovato prove di una fuga di chiavi private dei wallet. Una chiave privata è il codice segreto che controlla un wallet. Secondo questo resoconto, quindi, gli aggressori non hanno dovuto rubare le chiavi. Sono entrati nel sistema autorizzato a usarle.

Che cosa non si sa ancora?

Gran parte di queste informazioni viene da Binance stessa. La società dice di aver ricostruito i sistemi colpiti e di aver incaricato una società di sicurezza di esaminare l'incidente; l'esame non è stato pubblicato. L'FBI afferma che la responsabile è la Corea del Nord. La Corea del Nord lo nega, e Teng non ha indicato personalmente alcun aggressore. Binance dice di aver reintegrato il 98% degli asset colpiti con fondi propri.

Perché ti riguarda anche se non sei un ingegnere?

Non gestisci un sistema di wallet. Ma i primi passi di questo attacco funzionerebbero con quasi chiunque, perché colpiscono le abitudini e non la tecnologia:

• Fidarsi di un risultato di ricerca. La Federal Trade Commission statunitense (FTC) avverte che i truffatori «pubblicano annunci falsi di software sui social media e sui motori di ricerca».
• Fidarsi di un'opportunità. Un'offerta di lavoro, una prova o uno strumento di investimento possono spingerti ad aprire un file che altrimenti ignoreresti.
• Fidarsi nel tempo. Non tutte le truffe ti mettono fretta. Questi aggressori hanno prima condotto una serie di colloqui.

Come riconoscere un'e-mail o un messaggio di phishing?

Il phishing è un messaggio che finge di arrivare da qualcuno di cui ti fidi, per farti cliccare, pagare o rivelare un segreto. I consigli della FTC e dell'agenzia statunitense per la cybersicurezza CISA si riducono a questi segnali:

• Pressione: toni urgenti o gravi conseguenze se non rispondi subito.
• Richiesta di segreti: il tuo accesso, i dati di pagamento, i dati personali o un codice.
• Un indirizzo strano: un mittente o un link con una lettera cambiata, oppure un link abbreviato.
• Una sorpresa: un problema con l'account, una fattura, un rimborso o un premio che non aspettavi.
• Un allegato che non hai chiesto: la FTC avverte che può installare malware, software creato per fare danni.

Un testo senza errori non dimostra nulla: la CISA ricorda che l'IA può scrivere messaggi impeccabili. E, con le parole della FTC, «le aziende legittime non invieranno e-mail o SMS con un link per aggiornare i tuoi dati di pagamento».

Cosa fare e cosa non fare?

• Scarica dalla fonte. Usa lo store ufficiale di app o digita tu l'indirizzo del sito. Non cliccare sugli annunci di software.
• Non aprire e non eseguire file di sconosciuti, nemmeno per una prova di lavoro, uno «strumento comodo» o un foglio di investimento condiviso.
• Controlla per un'altra via. Se un messaggio potrebbe essere vero, ignora i suoi link e numeri. Apri l'app ufficiale o cerca i contatti sul sito ufficiale.
• Tieni aggiornati i dispositivi e imposta l'aggiornamento automatico del software di sicurezza.
• Usa una password diversa per ogni account e attiva l'autenticazione a due fattori (2FA), un secondo controllo oltre alla password. La CISA raccomanda le versioni «resistenti al phishing».
• Non condividere mai la frase di recupero, le chiavi private o i codici monouso. Nessuno in buona fede ne ha bisogno.

E se hai già cliccato?

Agisci in fretta e non vergognarti: questi trucchi hanno ingannato dei professionisti. I consigli della FTC sul malware sono:

1. Smetti di accedere agli account online.
2. Aggiorna il software di sicurezza o installane uno.
3. Esegui una scansione e rimuovi ciò che trova.
4. Cambia le password e attiva la 2FA.

Se un account crypto può essere stato colpito, contatta il fornitore tramite l'app o il sito ufficiale. Diffida di chi si offre di recuperare il tuo denaro: l'IC3 dell'FBI definisce queste offerte «un inganno per colpire di nuovo chi ha già perso denaro».

Cosa chiedere a qualsiasi fornitore di crypto?

Che tu usi un'azienda o custodisca da solo le chiavi, gli attacchi puntano alle persone e ai sistemi attorno alle chiavi. Prima di fidarti di un fornitore, chiedi:

• Chi detiene le chiavi: questa azienda o un custode separato?
• Quanto resta online e chi può approvare un prelievo?
• È autorizzato dove vivi, e da chi?
• Che fine fa il tuo denaro dopo un attacco o un fallimento?

Nessuna risposta elimina il rischio. Nell'attacco a Bybit del 2025 gli aggressori sono entrati dal computer di uno sviluppatore di un fornitore esterno di software per wallet. Usare un'altra azienda sposta il rischio, ma non lo elimina. Approfondisci nel nostro articolo su dove un exchange tiene le tue cripto.

Cosa portarsi a casa

La società di analisi TRM Labs lo definisce il più grande furto di cripto mai registrato. Secondo Binance, è iniziato con un risultato di ricerca e un'offerta di lavoro. La difesa è raramente complicata: rallenta, controlla per un'altra via e non eseguire né condividere mai ciò che ti manda uno sconosciuto.

Cosa puoi fare ora

• Costruisci buone abitudini con la nostra introduzione alla sicurezza.
• Esercitati su esempi reali in riconosci la truffa.
• Scopri come funzionano wallet e chiavi in conservare le criptovalute.

Le domande dei lettori

L'attacco a Binance è stato causato da un solo dipendente?

Binance dice di no. Descrive mesi di lavoro attraverso i computer di diversi ingegneri e strumenti interni, e non ha incolpato nessuno.

Le truffe sul lavoro sono un rischio per le persone comuni?

Sì. Se ti chiedono di installare un software o aprire un file per una «prova», verifica prima l'azienda per conto tuo.

Un testo senza errori significa che il messaggio è vero?

No. La CISA avverte che l'IA può scrivere messaggi impeccabili, quindi controlla piuttosto il mittente e la richiesta.

I prezzi delle cripto possono salire e scendere bruscamente e potresti perdere in parte o del tutto il denaro investito. Le cripto non sono coperte dalla garanzia sui depositi. Questo articolo ha scopo educativo e non è una consulenza finanziaria.