Emergono nuovi dettagli sul clamoroso attacco informatico a Binance, avvenuto il 29 ottobre 2026 e costato alla piattaforma circa 6,4 miliardi di dollari in criptovalute. Secondo una nuova indagine pubblicata il 9 novembre dalla società specializzata in analisi delle transazioni blockchain Elliptic, gli hacker riconducibili alla Corea del Nord stanno utilizzando un sistema particolarmente insolito per riciclare parte dei fondi sottratti: la creazione di criptovalute senza valore reale, progettate esclusivamente per rendere più complesso il tracciamento del denaro rubato.
L’operazione rappresenta un’evoluzione delle tecniche di riciclaggio digitale utilizzate dalla criminalità informatica. Gli investigatori hanno individuato almeno sei criptovalute create tra il 5 e il 7 novembre, attraverso le quali sarebbero transitati circa 117.000 token NEAR, equivalenti a circa 430.000 dollari al momento dell’analisi. Una cifra relativamente contenuta rispetto all’ammontare complessivo del furto, ma sufficiente a dimostrare come gli aggressori stiano sperimentando differenti strumenti per trasferire i capitali senza attirare immediatamente l’attenzione dei sistemi di controllo.
Come gli hacker di Binance utilizzano criptovalute create appositamente per riciclare denaro
Il meccanismo individuato da Elliptic sfrutta il funzionamento delle piattaforme di scambio decentralizzate e delle cosiddette riserve di liquidità, utilizzate normalmente per consentire la compravendita di criptovalute senza intermediari tradizionali. Gli aggressori creano un nuovo token, lo associano a una criptovaluta già esistente come NEAR e utilizzano diversi portafogli digitali per simulare operazioni di compravendita apparentemente legittime.
La particolarità consiste nel fatto che gli stessi responsabili controllano sia i portafogli che acquistano sia quelli che vendono le criptovalute appena create. In questo modo, i fondi rubati vengono introdotti in una riserva di liquidità attraverso un primo gruppo di indirizzi, mentre un secondo gruppo effettua operazioni inverse recuperando criptovalute reali. Il risultato è una successione di transazioni che può far apparire i capitali ricevuti come normali guadagni derivanti da attività di scambio.
Il sistema non rende invisibili le operazioni, perché ogni movimento rimane registrato pubblicamente sulla blockchain. Tuttavia, l’utilizzo di numerosi token e indirizzi differenti aumenta il lavoro necessario per ricostruire l’intero percorso del denaro. Secondo gli investigatori, proprio questo rallentamento rappresenta il principale obiettivo degli hacker, che cercano di guadagnare tempo prima che gli indirizzi coinvolti vengano identificati e segnalati agli operatori del settore.
Sei criptovalute create in pochi giorni: spuntano animali ed Elon Musk
L’indagine ha permesso di identificare sei token denominati FUK, OLCCL, MEILI, MMLI, DABI e SINU, tutti creati sulla rete NEAR nell’arco di appena tre giorni. Le criptovalute presentavano caratteristiche tipiche delle monete digitali speculative, con immagini raffiguranti animali, simboli colorati e riferimenti a personaggi famosi. Una di queste utilizzava persino un’immagine di Elon Musk accompagnata da uno slogan relativo alle elezioni presidenziali americane del 2028, senza alcun collegamento documentato con l’imprenditore.
Ogni token sarebbe costato agli aggressori circa 25 NEAR, equivalenti a 90 dollari, una spesa minima rispetto alle somme movimentate. Le criptovalute venivano create, utilizzate per alcune ore attraverso transazioni concentrate e successivamente abbandonate. L’analisi dei movimenti ha mostrato che quasi tutti gli scambi provenivano da portafogli riconducibili alla stessa operazione, mentre gli acquisti effettuati da utenti esterni risultavano praticamente inesistenti.
Un ulteriore elemento riguarda la rapidità con cui gli hacker collegavano le diverse operazioni. In cinque casi, i nuovi token sono stati finanziati utilizzando i proventi delle vendite precedenti, con intervalli compresi tra 2 e 13 minuti. Questa sequenza ha consentito agli analisti di individuare collegamenti tra le criptovalute e ricostruire una parte dei trasferimenti, nonostante il tentativo di frammentare continuamente i movimenti.
Corea del Nord e attacco a Binance: una strategia già utilizzata contro Bybit
Le autorità statunitensi hanno collegato il furto del 29 ottobre al gruppo TraderTraitor, associato alle attività informatiche della Corea del Nord. L’attribuzione si inserisce in un quadro più ampio di attacchi contro piattaforme di scambio e infrastrutture finanziarie digitali, attraverso i quali gruppi specializzati cercano di sottrarre criptovalute e trasferirle rapidamente su reti differenti.
Secondo Elliptic, il sistema basato sulla creazione di token senza valore era già stato osservato dopo il furto da circa 1,5 miliardi di dollari subito da Bybit nel 2025. In quell’occasione, i responsabili avrebbero utilizzato una criptovaluta appositamente creata sulla rete Tron per movimentare almeno 24 milioni di dollari, sfruttando una riserva di liquidità associata a una valuta digitale stabile.
Nel caso di Binance, gli investigatori hanno individuato operazioni simili anche sulle reti Tron e Solana, dove gli aggressori hanno utilizzato criptovalute scarsamente scambiate per complicare la ricostruzione dei trasferimenti. La strategia non dipende quindi da una specifica blockchain, ma dalla possibilità di combinare strumenti finanziari decentralizzati, portafogli temporanei e attività di scambio difficili da distinguere immediatamente dalle normali operazioni degli investitori.
Cosa rischiano gli investitori e perché il riciclaggio può essere individuato
La vicenda solleva interrogativi sulla sicurezza dell’ecosistema delle criptovalute, ma dimostra anche l’importanza degli strumenti di analisi delle transazioni. Nonostante i tentativi di mascheramento, Elliptic è riuscita a seguire il percorso dei fondi attraverso le diverse operazioni, identificando collegamenti tra i portafogli e individuando i token utilizzati per il riciclaggio. Il sistema escogitato dagli aggressori non elimina quindi la possibilità di rintracciare il denaro, ma rende le verifiche più lunghe e articolate.
Per le piattaforme di scambio e gli operatori finanziari, uno dei rischi principali consiste nel considerare automaticamente legittimi i fondi provenienti da una riserva di liquidità decentralizzata. In realtà, anche un portafoglio apparentemente scollegato dall’attacco potrebbe aver ricevuto criptovalute riconducibili a transazioni precedenti. Diventa quindi fondamentale analizzare non soltanto l’indirizzo di provenienza immediato, ma anche la sequenza delle operazioni che hanno preceduto il trasferimento.
Per gli investitori privati, la scoperta evidenzia soprattutto i pericoli legati alle criptovalute appena create e prive di un progetto verificabile, che possono essere utilizzate per finalità completamente differenti dalla normale attività di investimento. La presenza di improvvisi volumi di scambio, immagini accattivanti o rapidi movimenti di prezzo non rappresenta necessariamente un segnale di interesse autentico del mercato. Nel caso individuato da Elliptic, gli scambi erano quasi interamente controllati dagli stessi soggetti che avevano creato i token.
Le indagini proseguono mentre una parte consistente dei capitali sottratti rimane al centro delle attività di monitoraggio. Al momento dell’analisi, circa 11,8 milioni di NEAR, valutati intorno ai 43,7 milioni di dollari, risultavano ancora fermi nei portafogli collegati al furto. La possibilità di seguire questi movimenti attraverso registri pubblici continua a rappresentare uno degli strumenti principali a disposizione degli investigatori per individuare gli indirizzi utilizzati dagli aggressori e ricostruire la destinazione dei fondi.
Disclaimer: Questo articolo ha scopo esclusivamente informativo e non costituisce consulenza finanziaria né sollecitazione all’investimento. Alcuni contenuti o comunicati stampa possono essere forniti da terzi. Effettua sempre le tue ricerche prima di prendere decisioni finanziarie. Il sito declina ogni responsabilità per eventuali perdite o danni.
Trasparenza AI: Ai sensi delle normative vigenti in materia di trasparenza sui contenuti digitali e intelligenza artificiale (EU AI Act), si informa che la presente piattaforma integra sistemi di intelligenza artificiale nei propri processi di assistenza alla scrittura, editing e creazione grafica.
