DOSSIER N° 001 DATI AL 02 NOV 2026 · 08:45 UTC

29 OTTOBRE → 2 NOVEMBRE 2026

Binance.
Anatomia di
un furto.

Undici blockchain. Migliaia di wallet.
La traccia dei fondi rubati, ricostruita giorno per giorno con dati documentati e schemi originali.

Segui la cronologia

L’ENTITÀ DEL FURTO

$6,43MILIARDI

di cryptoasset sottratti a Binance

29.10.202620:05 → 23:56 UTC

11 blockchain coinvolteMULTI-CHAIN

44% congelato o sequestratoStima Elliptic

Binance dichiara una perdita di circa $6,3 miliardi. Il valore di $6,43 miliardi è la stima on-chain di Elliptic.

RICOSTRUZIONE DOCUMENTALE5 GIORNI 7 SCHEMI UNA TRACCIA

IL CONTESTO / PRIMA DEI NUMERI

Binance: anatomia
del furto.

Binance è una piattaforma di scambio di cryptoasset. Il 29 ottobre 2026, un attacco ai suoi sistemi ha portato alla sottrazione di fondi su undici blockchain, per un valore stimato da Elliptic in 6,43 miliardi di dollari.

La fonte sul caso Binance

LO SCOPO DI QUESTA ANALISI

Capire il furto.
Seguire il percorso dei fondi.

Questa analisi ricostruisce gli eventi dal 29 ottobre al 2 novembre 2026 e rende leggibili i movimenti successivi al furto: conversioni tra asset, suddivisioni in nuovi wallet e trasferimenti da una blockchain all’altra.

L’obiettivo è distinguere ciò che è stato congelato da ciò che resta in indirizzi collegati, spiegare le tecniche che complicano il tracciamento e chiarire perché spostare o convertire fondi non significa averli incassati.

Il dossier rielabora le fonti citate e il materiale fornito con schemi originali. Non è un’indagine forense autonoma: la traccia on-chain mostra transazioni e indirizzi, non identifica da sola chi li controlla.

FONDI CONGELATI / SEQUESTRATI$2,85 mld

Circa il 44% del valore sottratto

IN INDIRIZZI COLLEGATI$3,24 mld

Prevalentemente ETH e BTC

WALLET UTILIZZATI~12.000

Distribuiti su 11 blockchain

TRANSAZIONI OSSERVATE40.000+

In meno di quattro giorni

01 / LA VISIONE D’INSIEME

Le fasi si sovrappongono.
La traccia cambia blockchain.

Non un unico percorso, ma operazioni parallele. Questo schema mostra in quali giorni ogni fase è stata attiva.

Tutti gli orari sono in UTC

ESPLORA I 7 SCHEMI

02 / LA RICOSTRUZIONE

Giorno per giorno.

29 OTT ──────── 02 NOV 2026

ETHEREUM · TRON · BITCOIN

La corsa contro i congelamenti.

Il furto si sviluppa tra le 20:05 e le 23:56 UTC. Dei $6,43 miliardi sottratti, circa $3,46 miliardi sono stablecoin. La priorità di chi controlla i fondi è convertirle in asset senza un emittente centrale in grado di congelarli, come ETH e TRX.

Su Ethereum, parte degli USDT viene scambiata per ETH e altra parte usata come garanzia su Aave. Tether interviene dopo 37 minuti. Su Tron vengono convertiti 234 milioni di USDT. Circle congela tutti gli 823 milioni di USDC prima di qualsiasi conversione.

20:05 UTC

Inizio delle sottrazioni

37 MINUTI

Congelamento USDT su Ethereum

19 INDIRIZZI

Ripartizione iniziale dei BTC

NOTA SUI DATI

Lo schema considera quattro stablecoin: $776 milioni convertiti o usati come collaterale. Il testo fornito indica circa $786 milioni per l’insieme delle stablecoin. Sono perimetri diversi, non la stessa misura.

L’EVIDENZA DEL FURTO

Transazioni firmate, ma non autorizzate.

Secondo l’analisi Elliptic, l’attaccante ha sfruttato l’infrastruttura di firma di Binance. Su Ethereum, una delegazione EIP-7702 ha consentito a un contratto malevolo di svuotare il wallet Binance 14. Non è una dimostrazione di una violazione della crittografia.

Leggi la ricostruzione dell’attacco

TRON → ETHEREUM

Tron diventa la rotta principale.

Alle 02:19 UTC un singolo wallet di distribuzione inizia a inviare TRX in piccoli importi a centinaia di nuovi indirizzi. I fondi si ramificano poi attraverso circa 7.700 indirizzi.

Nelle successive due ore e mezza compaiono i primi trasferimenti attraverso sei bridge, inizialmente con importi di test. Quasi tutti i TRX in uscita arrivano come ETH su Ethereum. Nel periodo documentato, almeno $147 milioni sono trasferiti fuori da Tron.

1 WALLET220 INDIRIZZI~7.700 INDIRIZZIETHEREUM

Su Ethereum, circa 68.700 ETH vengono distribuiti in circa 850 piccoli indirizzi, molti con 10-100 ETH. I nove indirizzi più grandi, che detengono l’89% degli ETH collegati all’attaccante, restano fermi dal 30 ottobre nel periodo osservato.

TRON · JUSTLEND

Nuovi percorsi. Un ritmo più veloce.

Dalle 03:36 UTC, alcuni TRX vengono scambiati per USDD. Dalle 05:18 UTC, un wallet deposita 128 milioni di TRX nel vault di JustLend. I prelievi raggiungono 16 nuovi indirizzi senza un trasferimento diretto dal wallet iniziale.

Il passaggio attraverso un pool di lending rende la ricostruzione più complessa: bisogna seguire depositi e prelievi del protocollo, non soltanto i trasferimenti tra wallet.

IL SEGNALE DELL’AUTOMAZIONE

L’attività non si ferma di notte.

Il wallet distributivo accelera fino a 37 milioni di TRX l’ora. Alle 08:00 UTC, l’insieme dei wallet Tron collegati al furto registra circa 1.300 transazioni in un’ora.

ATTRIBUZIONE

Il 31 ottobre l’FBI attribuisce il furto a TraderTraitor, gruppo sponsorizzato dalla Corea del Nord, e pubblica gli indirizzi coinvolti. L’identità è un’attribuzione investigativa: la blockchain mostra gli indirizzi e i movimenti, non le persone che li controllano.

BTC · ETH · SOL · NEAR

Tron si ferma. Le altre chain si attivano.

Il wallet distributivo Tron effettua il suo ultimo trasferimento alle 05:33 UTC, dopo 1.113 trasferimenti in circa 51 ore. Dalle 07:00 si muovono i NEAR; dalle 08:19 alcuni ETH ripartono in lotti da circa 10 ETH. Alle 09:38 inizia il movimento di parte dei SOL.

Compaiono anche i primi coinjoin Bitcoin basati sul protocollo WabiSabi. Entro le 06:02 UTC del 2 novembre, circa 28 BTC, pari a $2,2 milioni, passano attraverso 18 coinjoin.