Hack di Binance: cosa è successo, cosa fare ora e cosa ti protegge davvero

Se detieni fondi su Binance, parti dall'unica distinzione che la copertura mediatica continua a confondere. Secondo la versione di Binance finora, il furto del 29 ottobre 2026 è avvenuto all'interno dei suoi sistemi. In base a tutto ciò che è stato pubblicato finora, nessuna password che hai scelto, nessun metodo 2FA, nessuna impostazione dalla tua parte vi ha avuto alcun ruolo, e nessuna avrebbe potuto fermarlo: secondo la versione di Binance, i prelievi non autorizzati sono stati inviati dall'interno dei suoi sistemi. Il pericolo per te inizia dopo l'hack, ed è dalla tua parte: truffe sui rimborsi, falsi agenti di supporto, 'portali di richiesta' malevoli e app infettate da trojan che spesso seguono una grande violazione. Questo articolo mette in ordine cosa è successo, cosa è ancora sconosciuto, e ogni misura protettiva in base alla minaccia che ferma davvero. I prelievi sono sospesi al momento della stesura, e Binance prevede di riprenderli entro 48 ore dal suo aggiornamento delle 04:36 UTC. Tutto quanto riportato qui riflette la situazione alle 06:40 UTC del 30 ottobre 2026.

Cosa è successo davvero a Binance?

TRM Labs stima che circa 6,36 miliardi di dollari siano usciti da Binance attraverso dieci blockchain, con la maggior parte in movimento in circa 20 minuti a partire dalle 20:05 UTC del 29 ottobre, seguita da una seconda ondata intorno alle 23:05 UTC. Ethereum ha rappresentato circa 3,79 miliardi di dollari e Bitcoin 18.270 BTC, circa 1,47 miliardi di dollari. Chainalysis ha indicato la cifra di 5,912 miliardi di dollari al momento del furto, e il suo cofondatore ha poi parlato di circa 6,4 miliardi di dollari e di un probabile coinvolgimento di TraderTraitor. Secondo il conteggio di TRM, si tratta di circa quattro volte il furto di 1,5 miliardi di dollari subito da Bybit nel febbraio 2025.

Entro le 21:29 UTC Binance ha dichiarato di essere "a conoscenza di segnalazioni di un potenziale problema di sicurezza" e ha avvertito gli utenti di non fidarsi di link non ufficiali o di richieste di informazioni sul conto. Ha sospeso i prelievi, e nel suo comunicato principale delle 02:25 UTC circa del 30 ottobre ha dichiarato che l'impatto totale stimato "si attesta intorno ai 6,3 miliardi di dollari", con circa 3 miliardi di dollari finora congelati on chain. Secondo Binance, la sua indagine iniziale suggerisce che l'incidente potrebbe coinvolgere il laptop compromesso di un ingegnere DevOps, che ha permesso a un aggressore di raggiungere un container di servizio e inviare transazioni di prelievo non autorizzate. Binance dice di non aver trovato "alcuna prova di una fuga di chiavi private dei wallet" e che l'incidente "deriva da molteplici fattori". Ha promesso un rapporto completo con la causa principale. Binance dice anche che pubblicherà un Proof of Reserves aggiornato una volta completato il ripristino.

Secondo TRM, i fondi sono usciti da hot wallet, i portafogli che un exchange tiene connessi a internet perché i prelievi possano essere firmati rapidamente. La valutazione di TRM è che la "spiegazione più probabile" sia che l'aggressore abbia fatto firmare transazioni al sistema di firma degli hot wallet di Binance, dopo essersi esercitato su wallet di prova. TRM attribuisce l'attacco al gruppo nordcoreano TraderTraitor "con alta confidenza", e anche il cofondatore di Chainalysis indica TraderTraitor. Entrambe sono valutazioni di analisti. L'FBI ha attribuito il furto di Bybit allo stesso gruppo, ma nessun governo si è pronunciato su questo incidente.

Binance dice che coprirà tutte le perdite con il fondo SAFU e i fondi dell'azienda, e che "i fondi degli utenti sono al sicuro". Sono impegni di Binance, dichiarati da Binance. Per dare una misura, CoinDesk riferisce che SAFU detiene circa 1 miliardo di dollari in bitcoin ed è stato creato nel 2018, e che Binance deteneva circa 144 miliardi di dollari prima dell'hack secondo DefiLlama, il che significa che il furto ha sottratto circa il 4% degli asset. Binance.US non sarebbe stata colpita, secondo PTC News.

Cosa non è ancora confermato?

Parecchio. Tratta quanto segue come domande aperte, non come fatti accertati.

• La causa principale. La spiegazione del laptop è l'ipotesi iniziale di Binance, e Binance stessa dice che sono stati coinvolti molteplici fattori. Che un solo computer compromesso spieghi firme su dieci chain non è dimostrato.
• La perdita finale. Le cifre di Binance, TRM e Chainalysis differiscono e sono ancora in evoluzione.
• Quanto tornerà indietro. Congelato significa che un emittente come Tether, o in un caso il consiglio di sicurezza di una chain, ha bloccato il movimento on chain dei token rubati; restituito significa che il denaro è tornato da dove è partito, e nessuna restituzione è stata segnalata. TRM stima che gli emittenti abbiano congelato circa 2,67 miliardi di dollari, tra cui circa 1,77 miliardi di USDT da parte di Tether e 825 milioni di USDC da parte di Circle. Ma TRM stima anche che oltre 420.000 ETH e 18.270 BTC, circa 2,4 miliardi di dollari, siano "fuori dalla portata di qualsiasi emittente". CoinDesk riferisce che i bitcoin sono stati suddivisi in 19 wallet che nessuno può congelare, nessuno dei quali aveva mosso monete alle 04:23 UTC. Anche se ogni token congelato tornasse indietro, resterebbero circa 3,3 miliardi di dollari, e il miliardo di dollari circa di SAFU ne copre meno di un terzo, con Binance che dice che i fondi aziendali coprono il resto.
• L'attribuzione. TRM e Chainalysis indicano TraderTraitor; non esiste alcuna dichiarazione governativa per questo incidente.
• Utenti e dati. Nessun comunicato di Binance fornisce un numero di utenti colpiti, dice che singoli conti siano stati compromessi, o si pronuncia sui dati personali in un senso o nell'altro.
• Tempistiche. Binance ha dichiarato alle 04:36 UTC che prevede che i prelievi "riprendano entro 48 ore" mentre si completa una revisione della sicurezza del servizio di prelievo.
• Depositi. C'è una contraddizione evidente nelle stesse parole di Binance. I suoi comunicati delle 00:13 UTC e delle 02:25 UTC circa dicevano che depositi e prelievi erano temporaneamente sospesi. Il suo aggiornamento delle 04:36 UTC diceva: "I depositi restano inalterati e continuano a funzionare normalmente." Binance non ha spiegato la differenza.

Cosa dovresti fare subito se usi Binance?

Nessuno di questi passi avrebbe impedito l'hack. Tutti riducono ciò che un aggressore o un truffatore può fare a te da qui in avanti.

1. Usa solo i canali ufficiali. Binance ha chiesto agli utenti di affidarsi solo ai canali ufficiali di Binance per gli aggiornamenti. Prima di fidarti di qualsiasi link, indirizzo email, numero di telefono o account social, incollalo in Binance Verify. I consigli di sicurezza di Binance dicono che non ti chiamerà mai né ti scriverà su WhatsApp o altri social media. Imposta il codice anti-phishing in modo che le email autentiche di Binance contengano una frase che solo tu conosci.
2. Tratta ogni messaggio di rimborso, richiesta o sblocco come una truffa. Secondo Binance, non contatta proattivamente gli utenti attraverso canali non ufficiali per offrire omaggi o modi per sbloccare un conto, e non chiederà mai fondi tramite comunicazioni private. I servizi di recupero sono la stessa trappola in giacca e cravatta. Come dice Revoke.cash, "Non esiste alcun processo di recupero legittimo che richieda la tua seed phrase." Non pagare mai una commissione anticipata a chi promette un recupero.
3. Controlla le tue chiavi API. Se hai mai collegato un bot di trading o un tracker di portafoglio, rivedi le chiavi. La guida API di Binance dice di usare una whitelist di IP su tutte le chiavi e di evitare di abilitare tutti i permessi su una singola chiave. Una chiave senza whitelist di IP non può avviare prelievi, e le chiavi inattive senza whitelist vengono eliminate dopo 30 giorni. Elimina tutto ciò che non riconosci.
4. Attiva la whitelist dei prelievi. Con questa attiva, secondo Binance, puoi prelevare solo verso indirizzi nella tua whitelist, aggiungerne uno richiede la 2FA, e modificare la whitelist può sospendere i prelievi per 24, 48 o 72 ore. Il Whitelist Withdrawal Limit ritarda inoltre gli indirizzi appena aggiunti. Quel periodo di attesa è il punto: ti fa guadagnare tempo se qualcuno entra nel tuo conto.
5. Controlla i tuoi dispositivi e la cronologia degli accessi. Binance tiene un registro dei tentativi di accesso. Rivedilo e rimuovi qualsiasi dispositivo o sessione che non riconosci.
6. Password e 2FA, onestamente. I comunicati di Binance non hanno chiesto agli utenti di cambiare le password e non dicono nulla sui dati personali in un senso o nell'altro. Cambia la tua comunque se la riutilizzi su un altro sito, se hai cliccato un link da un messaggio sull'hack, o se hai mai letto un codice a qualcuno. E aggiorna il tuo secondo fattore: Binance supporta una passkey o un'app di autenticazione "come alternativa alla verifica via SMS". Non sono equivalenti, come spiegato più avanti.

Quali truffe seguono un hack come questo?

Le ore successive a una violazione famosa sono un momento di grande attività per gli impostori, perché la paura fa cliccare le persone. Chainalysis riferisce che le truffe di impersonificazione sono cresciute di oltre il 1400% nel 2025 rispetto al 2024, con il pagamento medio per truffa salito da 782 dollari nel 2024 a 2.764 dollari nel 2025. Aspettati queste forme:

• L'email di rimborso. "Richiedi la tua compensazione prima della scadenza." Il link porta a una falsa pagina di accesso che raccoglie in tempo reale la tua password e il codice 2FA.
• La chiamata del supporto. Qualcuno che si spaccia per la sicurezza di Binance dice che il tuo conto è a rischio e ti guida attraverso una 'verifica'. Binance dice che non ti chiamerà mai.
• L'esperto di recupero. Dopo che hai perso denaro, uno sconosciuto disponibile si offre di rintracciarlo, a pagamento, o chiede la tua seed phrase per 'sincronizzare' il tuo wallet. Entrambe le richieste finiscono allo stesso modo.
• Il servizio di sblocco. Con i prelievi sospesi, aspettati offerte di un canale speciale per far uscire i tuoi fondi in anticipo. Binance dice che non offre modi per sbloccare un conto attraverso canali non ufficiali.

Perché l'urgenza funziona? Perché, come osserva la FTC, i pagamenti in criptovaluta in genere non sono reversibili, ed è probabile che tu scopra che nessuno può intervenire per aiutarti a recuperare fondi da un wallet rubato. A un truffatore serve una sola transazione firmata, una volta sola.

Come si proteggono le criptovalute in generale?

Parti dal compromesso. Tenere le monete su un exchange ti espone a violazioni lato exchange come questa, e in cambio la piattaforma può impegnarsi a risarcirti, come ha fatto Binance. Detenere le proprie chiavi elimina del tutto l'exchange dall'equazione, e mette ogni rischio restante su di te. Chainalysis ha contato 158.000 compromissioni di portafogli individuali e 80.000 vittime uniche nel 2025, con 713 milioni di dollari rubati a privati, in calo rispetto al picco di 1,5 miliardi di dollari del 2024. Nessun impegno in stile exchange copre quelle perdite. Non ti stiamo dicendo dove tenere i tuoi soldi; ti stiamo dicendo che il rischio si sposta insieme a loro.

Qualunque combinazione tu scelga, queste abitudini reggono:

• Sappi cosa fa davvero un hardware wallet. Tiene le chiavi private su un dispositivo separato e vi firma le transazioni, così un computer compromesso non le possiede mai, ma devi comunque leggere sul suo schermo ciò che approvi.
• Tieni la tua seed phrase offline. Scritta su carta o metallo, mai fotografata, mai digitata su un sito web, mai condivisa. Chiunque te la chieda ti sta prendendo il wallet, comunque chiami il procedimento.
• Preferisci passkey e chiavi hardware rispetto ai codici. Una passkey è legata al sito web reale: secondo lo standard WebAuthn, le credenziali sono vincolate a un'unica relying party e non possono essere usate da un dominio simile. Un'app di autenticazione è buona, ma una pagina di phishing convincente può ritrasmetterne i codici in tempo reale. L'SMS è l'opzione più debole: le linee guida del NIST trattano la verifica via SMS e voce come limitata. Dicono anche chiaramente: "Le password non sono resistenti al phishing."
• Metti in whitelist gli indirizzi di prelievo su qualsiasi exchange che lo supporti, così le sole credenziali rubate non possono reindirizzare le tue monete.
• Revoca le vecchie approvazioni di token. Se usi la DeFi, le approvazioni "danno a uno smart contract il permesso di spendere i tuoi token per tuo conto" e, secondo Revoke.cash, restano attive a tempo indeterminato. Rivedile con Revoke.cash o con la pagina delle approvazioni di token di Etherscan ed elimina quelle che non ti servono più.
• Usa un indirizzo email separato per i conti sugli exchange, uno che non usi da nessun'altra parte, così una fuga di dati presso un servizio estraneo non consegna agli aggressori il tuo accesso alle criptovalute.
• Scarica le app dei wallet solo da fonti ufficiali. Non è un'ipotesi per il gruppo indicato dagli analisti. L'avviso su TraderTraitor della CISA descrive messaggi di spearphishing a dipendenti di aziende crypto che "imitano un'attività di reclutamento e offrono lavori ben pagati" e spingono le vittime a scaricare applicazioni di criptovalute infettate da trojan su Windows o macOS. Lo stesso copione, puntato sui privati, è un falso aggiornamento del wallet.

Per le basi più generali, dai password manager alla disciplina degli aggiornamenti, consulta il nostro hub sulla sicurezza online e il riepilogo della settimana della cybersicurezza di ottobre 2026.

Quale protezione ferma quale minaccia?

Questa è la tabella che vale la pena conservare. Leggi prima la colonna delle violazioni lato exchange.

Guarda la colonna delle violazioni lato exchange. Contro una violazione lato exchange, quasi ogni riga dice No, perché, secondo la versione di Binance finora, l'attacco si è svolto all'interno dei suoi sistemi. L'unico Sì è detenere le monete da soli, e quella riga ha il suo costo: le 158.000 compromissioni di wallet contate da Chainalysis nel 2025 sono avvenute in portafogli personali, non sugli exchange. Non c'è una riga che vinca in ogni colonna. Ecco perché la mossa sensata è stratificare, non sceglierne una sola.

Dove aiuta davvero una VPN?

Una VPN occupa una colonna di quella tabella e ne tocca una seconda. Le VPN cifra il traffico tra il tuo dispositivo e il server VPN, il che significa che qualcuno sulla stessa rete del bar o dell'aeroporto non può leggere il tuo traffico, e il tuo ISP non vede quali servizi usi. Se controlli mai un exchange o un wallet fuori casa, questo conta; vedi la nostra guida alla sicurezza sul Wi-Fi pubblico. Threat Protection (Blocca minacce online su Windows e Android), un interruttore nelle app attuali, aggiunge il blocco basato su DNS dei domini malevoli noti, che può impedirti di raggiungere un sito di phishing segnalato, anche se una pagina registrata un'ora fa potrebbe non essere ancora in nessuna lista. Il Data Breach Scanner, incluso con un servizio attivo, controlla l'indirizzo email del tuo account Le VPN rispetto alle fughe di dati note e ti scrive via email se vi compare.

Ed ecco cosa una VPN non fa. Non ferma il malware già presente sul tuo dispositivo. Non può bloccare una pagina di phishing che nessuno ha segnalato. Non avrebbe avuto alcun effetto su questa violazione, poiché, secondo la versione di Binance, è avvenuta all'interno dei sistemi di Binance. Non cambia i termini di servizio di un exchange né i Paesi che un exchange serve. E connettersi da un nuovo indirizzo IP può attivare controlli di sicurezza aggiuntivi su un exchange, quindi aspettati una richiesta in più. Per un quadro più completo di dove si inserisce lo strumento in una configurazione crypto, leggi il nostro articolo su VPN e sicurezza delle criptovalute.

Finché Binance non pubblicherà il suo post-mortem, i fatti su questo hack provengono dai suoi account ufficiali e da analisti citati per nome. Chiunque altro ti contatti al riguardo, via email, telefono, messaggio diretto o pop-up, vuole qualcosa da te.