L'operazione, afferma Binance, è iniziata con discreti tentativi esplorativi a giugno, quando gli aggressori hanno preso di mira il suo team dei wallet e un ingegnere ha scaricato una versione manomessa di un popolare strumento software. Il successivo stratagemma di reclutamento era studiato per risultare credibile: un presunto direttore di progetto ha contattato un ingegnere software attraverso una piattaforma di lavoro a settembre, seguito da due colloqui, tra cui una videochiamata con un falso rappresentante delle risorse umane. L'“incarico” finale conteneva malware che i sistemi di sicurezza di Binance non hanno rilevato.¹

Il 20 ottobre, gli aggressori hanno usato quel computer compromesso e uno strumento di IA interno di Binance per assumere il controllo delle macchine di lavoro di due ingegneri del team dei wallet. Uno degli ingegneri aveva l'autorità di distribuire software. Nove giorni dopo, quell'accesso ha aperto un servizio di firma delle transazioni; gli aggressori hanno quindi svuotato gli hot wallet—fondi tenuti pronti per i prelievi dei clienti—nell'arco di quasi quattro ore. La schietta valutazione di Binance: “Questo non sarebbe dovuto accadere.”¹

L'exchange afferma che bloccare i prelievi da solo non avrebbe potuto fermare il furto perché gli aggressori avevano ottenuto il controllo parziale di un account Binance su Ethereum, dove tale accesso era registrato al di fuori dei sistemi di Binance stessa. Con il controllo distribuito tra diversi sistemi, gli ingegneri hanno dovuto ideare una soluzione alternativa anziché limitarsi a revocare l'accesso.²

La violazione supera il precedente record di furto di criptovalute, circa 1,5 miliardi di dollari sottratti a Bybit nel febbraio 2025. L'FBI ha attribuito l'attacco a Binance a TraderTraitor, un'unità di hacker nordcoreana; la Corea del Nord nega l'accusa. Binance afferma di aver bloccato quest'anno altri 57 tentativi sospetti nordcoreani.¹

Binance afferma che circa 2,85 miliardi di dollari sono stati congelati o intercettati, il 98% dei token interessati è stato reintegrato e i clienti saranno rimborsati integralmente. Ha ricostruito i sistemi compromessi, sostituito i computer interessati e prevede una revisione esterna della sicurezza—rimedi che affrontano le conseguenze, non l'imbarazzo centrale: un falso processo di assunzione ha raggiunto il cuore del più grande exchange del mondo.²