Se pensi che nessun bonifico lasci il conto della tua azienda senza la tua firma, l'attacco a Binance è un buon motivo per mettere alla prova questa convinzione oggi stesso. La sera del 29 ottobre 2026 circa 6,3 miliardi di dollari sono usciti dai wallet di Binance, il più grande exchange di criptovalute al mondo, con prelievi non autorizzati, la maggior parte in circa 20 minuti. Il co-CEO dell'exchange ha dichiarato che una parte dell'operazione non è passata dai normali controlli di approvazione. La lezione per la tua azienda non ha nulla a che fare con le criptovalute: elenca ogni percorso in grado di spostare denaro o di modificare il conto di un beneficiario, e fai in modo che ciascuno richieda due persone, due dispositivi e un registro che nessuno possa cancellare.

Cosa è successo a Binance, in numeri

Secondo il secondo aggiornamento ufficiale pubblicato da Binance il 30 ottobre, i suoi hot wallet, cioè i wallet collegati a internet da cui partono i prelievi dei clienti, sono stati compromessi intorno alle 20:05 UTC, con una perdita di circa 6,3 miliardi di dollari. L'exchange ha sospeso i prelievi, ha comunicato che circa 3 miliardi di dollari sono stati congelati sulla blockchain con l'aiuto dei partner e ha accantonato oltre 6,34 miliardi di dollari di fondi propri per coprire le perdite, di cui 5 miliardi detenuti proprio nei token rubati, pari a circa l'80% dell'importo. L'obiettivo era riavviare i prelievi per fasi entro circa 34 ore da quell'aggiornamento, con un rapporto di prova delle riserve entro il 2 novembre.

L'analisi dei dati blockchain di TRM Labs aggiunge dettagli importanti: i fondi sono usciti su 10 reti, la preparazione è iniziata almeno 36 ore prima del furto, l'attaccante ha provato lo strumento su un altro wallet prima di usarlo e ha preparato 50 autorizzazioni firmate in anticipo, così che una di esse fosse valida al momento dell'esecuzione. TRM stima il totale in 6,36 miliardi di dollari, circa quattro volte l'attacco a Bybit da 1,5 miliardi di dollari del febbraio 2025. TRM ed Elliptic attribuiscono l'attacco a TraderTraitor, un gruppo legato alla Corea del Nord, ma Elliptic precisa che nessun governo ha ancora confermato questa attribuzione.

Cosa ha detto Binance su come è avvenuto

L'indagine iniziale ha indicato il laptop compromesso di un ingegnere DevOps, che avrebbe permesso all'attaccante di raggiungere un container di servizio e di inviare transazioni di prelievo non autorizzate. In seguito l'exchange ha dichiarato che l'indagine successiva ha scoperto altri punti di intrusione e di non aver trovato prove di una fuga delle chiavi private dei suoi wallet. Il co-CEO ha affermato che l'attacco non è stato condotto da una sola persona, che l'attaccante ha usato un meccanismo di autodistruzione che cancellava strumenti e tracce durante l'operazione, e che la delega usata su Ethereum non è passata dai normali controlli di approvazione di Binance.

In parole semplici: l'attaccante non ha scassinato il caveau. Ha fatto in modo che fossero i sistemi stessi di Binance a firmare i trasferimenti. Secondo la valutazione di TRM, la spiegazione più probabile è la capacità di far firmare al sistema di firma transazioni scelte dall'attaccante, su reti diverse e con chiavi diverse, nel giro di circa mezz'ora.

Perché riguarda un'azienda che non possiede nemmeno una criptovaluta

Perché ogni azienda gestisce una versione in piccolo di quel sistema di firma: il portale della banca per le imprese, il file dei pagamenti che il contabile esporta dal gestionale contabile e carica in banca, la schermata in cui si modificano le coordinate bancarie di un fornitore, il permesso di rimborso nel tuo gateway di pagamento, il file mensile delle buste paga. Da titolare vedi il percorso ufficiale di approvazione, richiesta, poi responsabile, poi amministrazione, ma l'attaccante cerca il percorso laterale: un account di sistema che carica file in automatico, un amministratore IT che può cambiare un IBAN o una chiave di integrazione presso un fornitore esterno in grado di eseguire un bonifico.

Ci sono altre due lezioni. La prima è la velocità: la maggior parte del denaro è uscita in circa 20 minuti e nessun dipendente può stare dietro a questo ritmo a mano, quindi la protezione deve basarsi su limiti e avvisi che funzionano da soli. La seconda è la preparazione: l'attaccante si è preparato con 36 ore di anticipo e ha testato lo strumento, il che significa che c'erano segnali precoci per chi stava osservando. Abbiamo già scritto di come un solo sito di streaming gratuito su un portatile di lavoro possa consegnare agli attaccanti le password della tua azienda, e il dispositivo di chi detiene i permessi è il bersaglio più prezioso dell'azienda.

Cosa verificare nella tua azienda questa settimana

  • Mappa ogni percorso da cui può uscire denaro: annota ogni persona e ogni sistema in grado di avviare un bonifico, approvarlo, modificare il conto di un beneficiario o emettere un rimborso, compresi account di sistema, chiavi di integrazione e fornitori esterni.
  • Due persone e due dispositivi per ogni bonifico: chi inserisce un bonifico non lo approva, e l'approvazione avviene da un altro dispositivo. È il principio della separazione dei compiti dei Controlli essenziali di cybersicurezza: completare un'attività richiede più di una persona, ciascuna con privilegi diversi. Collegalo a una matrice delle approvazioni che stabilisca chi firma cosa.
  • Limiti e avvisi immediati: chiedi alla tua banca un limite giornaliero per i bonifici e un avviso immediato sul telefono del titolare per ogni bonifico importante e ogni volta che un beneficiario viene aggiunto o modificato.
  • Permessi di amministrazione commisurati al bisogno: attiva l'autenticazione a più fattori per ogni accesso remoto e ogni account privilegiato, rivedi periodicamente l'elenco di chi ha questi permessi ed elimina gli account degli ex dipendenti e dei fornitori che hanno concluso il lavoro.
  • Un registro che l'attaccante non può cancellare: l'attaccante di Binance ha cancellato le tracce mentre operava. Attiva i registri degli eventi per gli account privilegiati e per gli accessi remoti, conservane una copia fuori dal sistema stesso e mantienila per almeno 12 mesi, come richiedono i controlli.
  • Un piano per i primi minuti: decidi chi chiama la banca per bloccare un bonifico, chi disattiva l'account sospetto e dove si trovano i numeri di emergenza. Nel caso Binance, Tether ha congelato il wallet principale di ricezione dell'attaccante 37 minuti dopo il prelievo più grande, ed è stata questa rapidità a salvare una parte consistente del denaro.

Cosa dicono i controlli sauditi?

I Controlli essenziali di cybersicurezza ECC-2:2024 emanati dall'Autorità nazionale per la cybersicurezza (NCA) sono obbligatori per gli enti governativi e le entità collegate, e per le aziende del settore privato che possiedono, gestiscono od ospitano infrastrutture nazionali critiche, e la NCA incoraggia vivamente tutte le altre entità del Regno a utilizzarli. Corrispondono direttamente alle lezioni di Binance: autenticazione a più fattori per gli accessi remoti e gli account privilegiati (2-2-3-2), i principi della necessità di sapere, del privilegio minimo e della separazione dei compiti (2-2-3-3), la gestione degli accessi privilegiati (2-2-3-4), la revisione periodica di identità e diritti di accesso (2-2-3-5), e i registri degli eventi per gli account privilegiati e gli accessi remoti, monitorati in modo continuo e conservati per almeno 12 mesi (2-12-3).

Il punto di vista di Origami

Leggiamo l'attacco a Binance come una lezione sui percorsi di approvazione, non sulle criptovalute. La maggior parte delle aziende progetta l'approvazione per il percorso ufficiale e dimentica quelli laterali: l'account di sistema che carica il file dei pagamenti, l'utente che può modificare un IBAN, la chiave di integrazione che può eseguire. Questi percorsi laterali sono la prima cosa che un attaccante cerca.

Quando realizziamo un sistema su misura che tocca il denaro, come un sistema per il ciclo degli acquisti o un portale per i pagamenti ai fornitori, consigliamo di rendere l'approvazione parte del progetto fin dal primo giorno: due persone diverse per inserire e approvare, limiti sugli importi e un registro di ogni modifica ai dati dei beneficiari. Se ti serve un software di contabilità pronto all'uso anziché un sistema su misura, dai un'occhiata a Fahim.

Conclusione

Non serve un wallet di criptovalute per imparare dal più grande furto di criptovalute mai registrato. Riserva due ore questa settimana con il tuo contabile e il responsabile IT: scrivete ogni percorso da cui può uscire denaro, separate l'inserimento dall'approvazione su due dispositivi, chiedete alla banca limiti e avvisi, verificate chi ha diritti di amministratore e conservate i registri fuori dalla portata di chi gestisce il sistema. Se vuoi una verifica dei percorsi di approvazione nei tuoi sistemi, contattaci o scopri i nostri servizi.

Fonti