Bitcoin e criptovalute

Attacco a Binance da 6,3 miliardi: cosa deve fare adesso chi ha cripto sull’exchange

Binance stima in circa 6,3 miliardi di dollari l’impatto dell’attacco del 29 ottobre. Dice di averne congelati circa 3 e i prelievi sono fermi. Che cosa si sa, che cosa vale per i clienti in Italia e che cosa fare subito.

Luca Bartolini 30 ottobre 2026 14 min di lettura

Attacco a Binance da 6,3 miliardi: cosa deve fare adesso chi ha cripto sull’exchange

Binance, la più grande piattaforma di scambio di criptovalute al mondo, ha subito il 29 ottobre 2026 un attacco informatico che la stessa società stima in circa 6,3 miliardi di dollari. Binance dice di averne congelati circa 3, i prelievi sono sospesi e la società dichiara che coprirà tutte le perdite. Chi ha fondi sulla piattaforma oggi può fare tre cose: ignorare ogni messaggio che chiede di agire sul conto, salvare saldi e movimenti, decidere con calma dove tenere i fondi quando i prelievi riapriranno. Per chi risiede in Italia c’è un elemento in più. Binance non compare nel registro ESMA dei prestatori autorizzati MiCA, controllato il 30 ottobre 2026, e dal 1° luglio, secondo gli avvisi inviati ai clienti, il prelievo era l’operazione principale rimasta ai residenti italiani.

Situazione aggiornata alla sera del 30 ottobre 2026. I prelievi non risultano ancora riaperti. Le informazioni arrivano in gran parte da Binance e da società di analisi e possono cambiare.

Che cosa è successo a Binance?

La sera di giovedì 29 ottobre dai portafogli di Binance collegati a internet, i cosiddetti hot wallet che servono ai prelievi quotidiani, sono usciti fondi verso indirizzi non autorizzati. Secondo la società di analisi TRM Labs il grosso è uscito in circa 20 minuti, a partire dalle 21:05 ora italiana. Secondo la società di analisi Bitquery l’ultima uscita illecita è delle 00:56, quasi quattro ore dopo l’inizio e oltre un’ora dopo l’annuncio dello stop ai prelievi. Binance ha sospeso i prelievi e poi, per alcune ore, anche i depositi.

La società stima l’impatto totale in circa 6,3 miliardi di dollari, pari a circa 5,6 miliardi di euro, e avverte che la cifra può crescere. Le stime di chi analizza le blockchain sono vicine, tra i 6,3 e i 6,4 miliardi: TRM Labs ne conta 6,36, Chainalysis 6,4 ed Elliptic 6,43. È il più grande furto di criptovalute mai registrato, circa quattro volte quello subito da Bybit nel febbraio 2025. Per la società di analisi Elliptic è quasi certamente il più grande furto di qualsiasi tipo.

Binance indica circa 3 miliardi congelati con l’aiuto di emittenti e partner. I conteggi esterni sono un po’ più bassi, 2,84 miliardi per Elliptic e circa 2,8 per Chainalysis. Secondo TRM Labs, Tether ha bloccato circa 1,77 miliardi di USDT e Circle circa 825 milioni di USDC. Somme minori sono state fermate da Ripple, World Liberty Financial, First Digital e Paxos. Il consiglio di sicurezza della rete Arbitrum ha messo al sicuro altri fondi.

I clienti hanno perso i loro soldi?

Binance dichiara che i fondi degli utenti sono al sicuro e che coprirà tutte le perdite. Ha annunciato di aver riservato oltre 6,34 miliardi di dollari di fondi aziendali, di cui circa 5 miliardi già nei token colpiti, e di star comprando il resto sul mercato. Il conto non comprende i circa 3 miliardi congelati. Binance non ha chiarito quanto peserà il fondo di emergenza SAFU.

Il co-amministratore delegato Richard Teng ha parlato venerdì pomeriggio di circa 40 ore per riaprire i prelievi, sempre entro domenica 1° novembre. Binance non ha indicato un orario e la riapertura dipende dal superamento dei test sul servizio ricostruito. Entro lunedì 2 novembre è atteso il rapporto completo sulla prova delle riserve, cioè il riscontro pubblico che le attività detenute coprono i saldi dei clienti. Teng promette risultati preliminari prima di quella data.

Tre precisazioni aiutano a leggere questi numeri.

Impatto non vuol dire perdita definitiva. I 6,3 miliardi sono la stima di ciò che è uscito. Una parte è bloccata e potrebbe tornare.
Congelato non vuol dire recuperato. I token bloccati restano fermi finché l’emittente non li riemette, di solito dopo un provvedimento delle autorità o di un tribunale. Non esistono tempi standard e possono servire mesi. Binance non ha ancora detto quanto sia tornato sotto il suo controllo.
La copertura è un impegno dell’azienda. Il SAFU è un fondo creato da Binance, non una garanzia pubblica come quella sui depositi bancari. Vale circa 1 miliardo in bitcoin, meno di un quinto del totale. Binance non pubblica gli indirizzi dei 5 miliardi già riservati e la società di sicurezza CertiK ha chiesto più informazioni per verificarli.
Il punto da controllare è la prossima prova delle riserve. Teng dice che è stato colpito un portafoglio aziendale. Secondo CoinDesk i portafogli svuotati comparivano nella prova delle riserve del 1° ottobre tra quelli a copertura dei saldi dei clienti.

Da dove è partito l’attacco?

La prima spiegazione di Binance indica come possibile punto d’ingresso il portatile violato di un ingegnere DevOps, cioè di un tecnico che gestisce l’infrastruttura. Da lì l’attaccante avrebbe raggiunto un «service container», un componente interno dei sistemi, e inviato prelievi non autorizzati. Binance afferma di non aver trovato prove di una fuga di chiavi private.

Quella spiegazione è già stata ampliata. Poche ore dopo Binance ha comunicato di aver trovato altri punti di violazione. Teng ha precisato che l’attaccante non si è limitato a usare i permessi di un ingegnere, che non si è trattato di un’azione da un solo clic e che l’indagine non attribuisce responsabilità a singole persone. Nell’ultimo aggiornamento ha aggiunto che l’attaccante ha preso il controllo di un hot wallet con una delega tecnica, EIP-7702, che non è passata dalle normali procedure di approvazione. Un meccanismo di autodistruzione ha poi cancellato strumenti e tracce. Per gli analisti quella delega ha aiutato a svuotare il portafoglio, ma non è la causa di fondo. Binance ha avviato una revisione su endpoint, cloud, gestione delle chiavi e sistemi di firma.

La società di analisi TRM Labs ha osservato che portafogli su blockchain diverse, con chiavi e schemi di firma differenti, hanno prodotto firme valide per gli attaccanti in circa mezz’ora. Per TRM è il segno di una compromissione dell’infrastruttura di firma. In altre parole, non serve rubare una chiave se si riesce a far firmare il sistema che la usa. Su questo punto la versione di Binance e quella degli analisti non coincidono. La causa definitiva non è stata pubblicata e Binance ha promesso un’analisi tecnica completa a indagine conclusa.

Sugli autori, TRM Labs attribuisce il colpo con un alto grado di sicurezza a TraderTraitor, il gruppo legato alla Corea del Nord che l’FBI ha indicato per l’attacco a Bybit. Chainalysis arriva a una conclusione simile ed Elliptic indica attori legati alla Corea del Nord. Sono valutazioni di società private. Nessun governo e nessuna forza di polizia ha confermato l’attribuzione e Binance non la conferma. L’FBI dice di essere al corrente dell’incidente e di lavorare con i partner.

Il precedente di Bybit è istruttivo. In quel caso, secondo la stessa Safe, il fornitore del portafoglio, il punto di partenza è stato il computer di un suo sviluppatore. I grandi furti di criptovalute raramente rompono la crittografia. Di solito sfruttano i computer e le procedure che stanno intorno alle chiavi.

Chi è in Italia ha qualche tutela in più?

Non quelle del regolamento MiCA, e su questo punto la notizia pesa di più per i clienti europei. Binance non compare nel registro ESMA dei prestatori autorizzati, controllato il 30 ottobre 2026. Il 24 giugno ha ritirato la domanda di autorizzazione presentata in Grecia e ha dichiarato di voler proseguire in un altro Stato membro.

Dal 1° luglio, secondo gli avvisi ai clienti riportati dalla stampa, chi risiede in Italia e negli altri Paesi dove Binance aveva un’entità locale non può più fare depositi né aprire nuovi ordini. Binance ha invitato questi clienti a spostare i fondi su un portafoglio personale o presso un altro prestatore, assicurando che i prelievi restavano disponibili. Dopo l’attacco la società ha sospeso in via temporanea proprio quell’operazione, come misura precauzionale. Altrove nell’Unione molti clienti sono serviti dall’entità di Abu Dhabi, con l’eccezione prevista per chi si rivolge all’operatore di propria iniziativa. L’ESMA e le autorità di Francia, Germania e Grecia stanno esaminando questa pratica.

La differenza è concreta. L’articolo 75 del regolamento MiCA rende il prestatore autorizzato che custodisce cripto-attività responsabile verso i clienti per le perdite dovute a un incidente a lui imputabile, fino al valore di mercato delle attività perse. In una dichiarazione del 23 giugno, che non nomina singole società, l’ESMA ha ricordato che i clienti di prestatori non autorizzati non beneficiano delle tutele MiCA, comprese quelle sugli asset. Per chi si trova in questa situazione restano l’impegno dichiarato dall’azienda e il contratto, non quell’obbligo.

La situazione del singolo conto dipende anche dalla società che presta il servizio, perché Binance stessa ha spiegato che le limitazioni variano secondo giurisdizione, stato del conto ed entità. L’unica autorità che finora si è espressa sull’attacco è la FSRA di Abu Dhabi, che ha rilasciato la licenza principale di Binance e dice di seguire il caso da vicino. Non risultano prese di posizione di ESMA, Consob o Banca d’Italia. Il primo controllo è leggere chi firma il contratto, con il metodo spiegato nell’articolo su come verificare un exchange autorizzato. Va ricordato anche che MiCA non prevede una garanzia paragonabile a quella sui depositi bancari, nemmeno presso un prestatore autorizzato.

Che cosa deve fare adesso chi ha fondi su Binance?

Queste indicazioni riguardano sicurezza e procedure, non l’opportunità di comprare o vendere.

Ignorare messaggi, email e chiamate. Binance stessa invita a non fidarsi di link, messaggi o richieste non ufficiali. Dopo un attacco circolano comunicazioni false che chiedono di «verificare il conto» o di «mettere al sicuro i fondi». Si entra solo dall’app ufficiale o digitando l’indirizzo a mano.
Non pagare nessuno per sbloccare o recuperare i fondi. I «costi di sblocco» e le finte società di recupero sono tra gli schemi di truffa più diffusi.
Salvare saldi e movimenti. Bastano schermate dei saldi in cui si veda la data e lo storico delle operazioni. Servono per qualsiasi contestazione e al commercialista.
Controllare la sicurezza del conto. Conviene verificare l’autenticazione a due fattori, preferendo un’app agli SMS, attivare l’elenco degli indirizzi autorizzati se disponibile e revocare le chiavi API non più usate.
Preparare la destinazione, se si vuole spostare i fondi. Binance stessa ha invitato i clienti interessati a farlo prima del 1° luglio. Un conto presso un prestatore autorizzato o un portafoglio personale va predisposto e provato prima della riapertura, senza decidere sull’onda del momento.
Alla riapertura, fare prima una prova. Si invia un piccolo importo, controllando rete e indirizzo, e solo dopo il resto. Possono esserci code, quindi è bene mettere in conto tempi più lunghi del solito.

Conviene togliere tutto dagli exchange e passare all’autocustodia?

In queste ore nel dibattito pubblico torna una tesi diffusa, quella di lasciare gli exchange per la finanza decentralizzata. Da sola non basta, perché sposta il rischio senza eliminarlo.

Prestatore autorizzato MiCA. Le chiavi le controlla il prestatore. Il rischio è un attacco o una crisi del prestatore, con i prelievi bloccati. Servono il controllo nel registro ESMA e un limite per ogni piattaforma.
Piattaforma fuori dal registro ESMA. Le chiavi le controlla la piattaforma. I rischi sono gli stessi, senza le tutele MiCA. Serve un’uscita ordinata, come raccomanda l’ESMA.
Portafoglio personale. Le chiavi le controlla il titolare. I rischi sono la perdita della frase di recupero, la firma di una transazione ingannevole, gli eredi senza accesso. Servono procedure scritte, copie separate e una prova di ripristino.
Protocolli DeFi. Le chiavi le controlla il titolare, ma i fondi dipendono dal codice del protocollo. I rischi sono le falle del protocollo e i firmatari ingannati. Servono competenze tecniche e importi proporzionati.

I fatti recenti lo confermano. Nel caso Bybit i firmatari di un portafoglio multifirma sono stati ingannati da un’interfaccia manipolata, che mascherava l’operazione da approvare. Ad aprile 2026 KelpDAO ha perso 292 milioni di dollari e Drift 285 milioni, in attacchi che TRM Labs collega a gruppi nordcoreani, precisando che per Drift l’attribuzione specifica è ancora in fase di indagine. Nel caso Drift i firmatari del consiglio di sicurezza sono stati indotti a pre-autorizzare transazioni.

C’è poi un paradosso. La parte più consistente del denaro congelato è stata fermata da due società, Tether e Circle, che possono bloccare i propri token in qualunque indirizzo. Il blocco copre però meno della metà del furto, il 44% secondo Elliptic. Contro i ladri è un vantaggio. Significa però che USDT e USDC in un portafoglio personale non sono fuori dalla portata di chi li emette.

La domanda giusta non è exchange o autocustodia. È quanto tenere in ciascun posto e con quali procedure. Una regola di prudenza è separare ciò che serve per operare, da tenere presso un prestatore autorizzato, da ciò che resta fermo a lungo, da tenere in autocustodia solo con procedure provate. In ogni caso nessuna soluzione funziona se gli eredi non sanno dove sono i fondi, come spiegato nell’articolo su criptovalute ed eredità.

Che cosa cambia per le imprese?

Per un’impresa che detiene cripto-attività questo attacco è un buon motivo per rileggere le proprie regole.

Una politica di custodia scritta che dica dove stanno i fondi, quanto si tiene su ogni controparte e chi decide.
La doppia autorizzazione su prelievi e cambi di indirizzo.
Un piano per l’indisponibilità che dica che cosa succede se i fondi restano fermi per una settimana.
Computer separati per le operazioni delicate, diversi da quelli con cui si naviga e si legge la posta.

Qualunque sia l’esito dell’indagine su Binance, il tema vale per ogni azienda, con o senza criptovalute. Un computer si può sempre violare. Conta quante barriere restano tra quel computer e il denaro, ed è il tema della consulenza sulla sicurezza informatica.

In sintesi

Binance stima in circa 6,3 miliardi di dollari l’impatto dell’attacco del 29 ottobre 2026 e dice di averne congelati circa 3.
La società dichiara che coprirà tutte le perdite e di aver riservato oltre 6,34 miliardi. È un impegno dell’azienda, non una garanzia pubblica.
Binance ha indicato come possibile punto d’ingresso il portatile violato di un ingegnere e ha poi comunicato di aver trovato altri punti di violazione. La causa definitiva non è stata pubblicata.
Binance non compare nel registro ESMA controllato il 30 ottobre 2026. L’ESMA ricorda che i clienti dei prestatori non autorizzati non hanno le tutele MiCA.
Oggi si ignorano i messaggi, non si paga nessuno, si salvano saldi e movimenti e si decide con calma dove tenere i fondi.
L’autocustodia sposta il rischio sul titolare. Contano quanto si tiene in ogni posto e con quali procedure.

Domande frequenti

Binance è ancora operativa?

Sì. La piattaforma è operativa, i prelievi sono sospesi e Binance dichiara di avere i fondi per coprire l’intero impatto.

Quando riaprono i prelievi?

L’obiettivo indicato da Binance è riaprire entro domenica 1° novembre, a condizione che il servizio ricostruito superi i test. L’ultimo aggiornamento parla di circa 40 ore, senza un orario ufficiale. La ripresa può essere graduale e non è una data garantita.

L’attacco è stato fatto con l’intelligenza artificiale?

Per ora nessuna fonte seria lo sostiene. Il 29 ottobre Microsoft ha pubblicato un rapporto sull’uso dell’intelligenza artificiale da parte dei gruppi nordcoreani, soprattutto per ingannare le persone con finti reclutatori. Tra i più avanti indica Jade Sleet, il nome con cui chiama il gruppo noto come TraderTraitor. Il rapporto non parla di Binance e precisa che a guidare le operazioni restano le persone.

Un portafoglio personale è stato colpito dall’attacco?

Non risulta, perché l’attacco riguarda i sistemi di Binance. Attenzione però ai messaggi che chiedono di «collegare» o «verificare» il portafoglio: è il modo classico per svuotarlo.

Se i fondi sono su un’altra piattaforma c’è da preoccuparsi?

Questo attacco riguarda Binance. È comunque il momento giusto per controllare che la propria piattaforma sia nel registro ESMA e che il contratto sia con la società autorizzata.

Conviene vendere?

È una scelta personale che dipende dalla propria situazione e non rientra nel nostro lavoro. Qui si parla di dove stanno i fondi e di come sono protetti, non di quanto conviene tenerne.

Rivedere custodia, procedure e controparti è il lavoro descritto nella pagina sulla consulenza su Bitcoin e criptovalute: un lavoro su sicurezza e procedure, che non prevede mai l’accesso ai portafogli né indicazioni di investimento o fiscali.