Secondo la ricostruzione di Binance, l'attacco è iniziato ben prima che il denaro venisse spostato. A giugno, gli hacker stavano già sondando il team dei wallet; a settembre, qualcuno che si spacciava per direttore di progetto ha contattato un ingegnere del software tramite una piattaforma di lavoro.¹

La proposta di assunzione era costruita per sembrare autentica. Dopo due colloqui — incluso una videochiamata con un presunto rappresentante delle risorse umane — l'ingegnere ha scaricato un “incarico” su un computer di lavoro. Conteneva codice dannoso che gli strumenti di sicurezza di Binance non hanno rilevato.¹ In seguito, l'azienda ha dichiarato senza mezzi termini: “Questo non sarebbe dovuto accadere.”¹

Il 20 ottobre, gli aggressori hanno usato quella macchina compromessa e uno strumento di IA interno di Binance per assumere il controllo dei computer di due ingegneri del team wallet. Uno degli ingegneri poteva distribuire software. Nove giorni dopo, gli intrusi hanno usato quell'accesso per raggiungere un servizio di firma delle transazioni e hanno svuotato gli hot wallet — fondi tenuti disponibili per prelievi rapidi — nell'arco di quasi quattro ore.¹

La ricostruzione più dettagliata di Binance afferma che la semplice sospensione dei prelievi non poteva fermare immediatamente il furto: gli aggressori avevano acquisito il controllo parziale di un account Ethereum, il cui accesso era registrato sulla blockchain anziché esclusivamente nei sistemi di Binance. Gli ingegneri hanno dovuto elaborare una soluzione alternativa perché la configurazione di sicurezza distribuita dell'account rendeva difficile una revoca rapida.²

Sabato l'FBI ha dichiarato che TraderTraitor, un'unità di hacker nordcoreana, ha compiuto l'attacco. La Corea del Nord ha negato l'accusa. Binance afferma di aver bloccato quest'anno altri 57 sospetti tentativi di hacking nordcoreani, descrivendo la violazione come parte di una pressione costante piuttosto che come un fallimento isolato.¹

L'exchange afferma che circa 2,85 miliardi di dollari sono stati congelati o intercettati, che i clienti saranno interamente risarciti e che il 98% dei token interessati è stato reintegrato. Ha ricostruito i sistemi compromessi, sostituito i computer coinvolti e prevede una revisione esterna della sicurezza — una costosa prova per stabilire se la sua soluzione possa eguagliare la pazienza dei suoi aggressori.²