WASHINGTON — Il portatile di un ingegnere, un programma che cancellava le proprie tracce, venti minuti per spostare oltre 6 miliardi di dollari su dieci blockchain. È la ricostruzione, firmata dalla società di analisi TRM Labs e dalla stessa Binance, del furto che giovedì sera ha svuotato i «hot wallet», i portafogli connessi a Internet, della più grande piattaforma mondiale di scambio di criptovalute. Sabato Binance ha annunciato di aver già ricostituito con fondi propri circa il 90% della somma, contro l’80% del giorno prima, e di voler riaprire i prelievi domenica.Per Elliptic, società britannica che traccia le transazioni in criptovalute, «questo incidente è quasi certamente il più grande furto conosciuto di qualunque tipo». Tre società di analisi lo attribuiscono a TraderTraitor, un gruppo di hacker della Corea del Nord. Pyongyang nega da sempre di rubare criptovalute, il presidente americano Donald Trump risponde «non lo sappiamo» e Binance, per ora, non accusa nessuno. «Sarà Binance ad assorbire l’impatto finanziario dei fondi rubati, non i nostri utenti», ha scritto la società in una nota riportata da CNBC.L’attacco è cominciato giovedì 29 ottobre poco dopo le 20 UTC (le 21 in Italia), secondo l’aggiornamento firmato dai due co-amministratori delegati Richard Teng e Yi He. Teng lo ha descritto su X come un’operazione «complessa», non «a un clic»: il portatile compromesso ha dato accesso a un contenitore di servizio da cui sono partite transazioni di prelievo non autorizzate, aggirando il sistema di approvazione. Il software malevolo si autocancellava, «rendendo più difficile tracciare e indagare». L’indagine interna ha trovato «ulteriori punti di violazione» ma nessuna prova di fuga di chiavi private.Il bottino è ricostruito da TRM Labs: «Un aggressore ha spostato circa 6,36 miliardi di dollari fuori dai portafogli di Binance su dieci blockchain, la maggior parte in circa 20 minuti». Tra le catene colpite Bitcoin, Ethereum, Solana e XRP Ledger. Circa 3 miliardi sono stati congelati: Tether ha bloccato oltre 1,5 miliardi della propria stablecoin, Circle altri 800 milioni «in coordinamento con le forze dell’ordine». In mano all’attaccante resterebbero oltre 420.000 ether e 18.270 bitcoin.La pista nordcoreanaTRM Labs attribuisce il colpo «con alta confidenza» a TraderTraitor, unità legata al Lazarus Group, il collettivo che il Tesoro americano ha sanzionato nel 2019 come emanazione dell’intelligence militare di Pyongyang. «Diverse caratteristiche di questo attacco coincidono con precedenti furti legati alla Corea del Nord, compreso l’attacco a Bybit», il colpo da 1,5 miliardi del 2025 che l’Fbi attribuì ufficialmente a Pyongyang. Alla stessa conclusione arrivano Chainalysis e Pangolin Intelligence, società di tracciamento con sede a Singapore. Nel 2025 gli hacker nordcoreani hanno sottratto 2,9 miliardi in quasi 150 attacchi, sempre secondo TRM.Nessuna delle tre voci chiamate in causa conferma. La Corea del Nord, che respinge da anni ogni accusa sui furti di criptovalute, non ha reagito. Trump, interpellato venerdì nello Studio Ovale, ha risposto: «Non lo sappiamo. Ci stiamo guardando». Su Binance: «Dicono che lo recupereranno, che lo garantiscono o qualcosa del genere». E sulle criptovalute: «È stato un hackeraggio. Ho sempre pensato che fosse un po’ pericoloso». Lo stesso Teng ha precisato che «la nostra indagine non ha attribuito la responsabilità a nessun individuo». Fbi e Secret Service hanno confermato di partecipare alle indagini.Binance ha accantonato oltre 6,34 miliardi di fondi propri, di cui 5 già nelle stesse criptovalute rubate, riferisce Reuters. Le risorse vengono dal fondo di emergenza per gli utenti, da parte del fondo assicurativo sui futures e dalla tesoreria. Bitcoin, ether, tether, BNB e altri sei token sono ora «coperti al 100%»; il 10% residuo riguarda monete minori «meno liquide», da ricomprare sul mercato. Una nuova fotografia delle riserve è prevista a mezzanotte UTC, l’una in Italia, e una prova crittografica completa entro il 3 novembre.I mercati hanno retto meglio del previsto. Bitcoin è sceso a 76.368 dollari, minimo di sei settimane, ether a 2.178, minimo di due mesi; il token BNB di Binance ha perso oltre il 6% in 24 ore, poi i prezzi si sono stabilizzati. Il titolo Coinbase, concorrente non toccata dall’attacco, ha ceduto il 4,8%. Per Binance la partita si gioca ora sulla fiducia: la riapertura dei prelievi di domenica, «soggetta a controlli di sicurezza», dirà se gli utenti credono alla copertura.Restano aperte le domande sul bottino ancora in circolazione e sull’identità degli autori, che nessuna autorità ha per ora indicato. «State certi che lavoriamo senza sosta per risolvere questo, per rimborsare gli utenti e per essere all’altezza della vostra fiducia», ha scritto Teng.