L'attacco hacker a Binance è iniziato con un finto colloquio di lavoro su un portatile aziendale: 6,34 miliardi di dollari e 6 regole per i dispositivi della tua azienda

Se il tuo personale cerca lavoro o prova nuovi programmi sul computer aziendale, questa è esattamente la strada del più grande furto nella storia delle criptovalute. Il 3 novembre 2026 Binance ha pubblicato le sue conclusioni preliminari: l'attacco che il 29 ottobre ha colpito circa 6,34 miliardi di dollari è iniziato con due finti colloqui di lavoro con un ingegnere, conclusi con un test di programmazione che lui ha scaricato sul portatile di lavoro. La lezione pratica per la tua azienda: nessun file di selezionatori esterni sui dispositivi di lavoro, nessun software fuori da un elenco approvato e nessun permesso più ampio di quanto richieda il ruolo. Il 31 ottobre abbiamo scritto di chi può muovere il denaro della tua azienda senza la tua firma; questo articolo parla della porta da cui è entrato l'attaccante.

Che cosa è successo, passo dopo passo?

Secondo il resoconto di Binance sull'indagine preliminare, l'attacco è passato per quattro fasi:

• Giugno 2026: un ingegnere del team dei wallet, cercando uno strumento di programmazione con IA, ha scaricato un installer di Homebrew manomesso contenente malware. Il team di sicurezza lo ha individuato, ha sostituito il dispositivo e rinnovato le sue credenziali, ma le informazioni su di lui e sui colleghi erano già trapelate.
• Settembre 2026: qualcuno che si spacciava per direttore di progetto ha contattato un secondo ingegnere tramite una piattaforma di lavoro e ha condotto due colloqui: una videochiamata con una presunta responsabile delle risorse umane, poi uno con una persona che si presentava come CEO di un'azienda fittizia. Nel secondo colloquio gli è stato chiesto di scaricare un compito di programmazione sul computer di lavoro; il codice malevolo è partito durante l'installazione e gli strumenti di protezione non lo hanno rilevato.
• 20 ottobre 2026: l'attaccante ha usato il computer compromesso e uno strumento di IA interno di Binance per prendere il controllo dei computer di altri due ingegneri.
• 29 ottobre 2026: tra le 17:15 e le 19:56 UTC l'attaccante ha avuto accesso al computer del terzo ingegnere con credenziali rubate al primo, ha distribuito un container e avviato uno script malevolo; i trasferimenti dagli hot wallet sono seguiti tra le 20:05 e le 20:09.

Binance afferma che circa 2,85 miliardi di dollari sono stati congelati o intercettati, che al 31 ottobre aveva reintegrato il 98% degli asset colpiti e che nel 2026 ha rilevato e bloccato 57 casi di minacce sospettate di essere legate alla Corea del Nord. In altre parole, la piattaforma ha respinto decine di tentativi e poi è caduta in uno.

Perché il finto colloquio ha funzionato?

Perché non somiglia per nulla a un'email di phishing. Il dipendente non ha cliccato un link sospetto di un mittente sconosciuto; è entrato in un processo di selezione che sembrava reale: una piattaforma nota, un colloquio video, una responsabile delle risorse umane che ha condiviso contenuti del suo account personale per conquistare fiducia, poi un CEO. Scaricare ed eseguire un progetto è normale nei test per sviluppatori, quindi la richiesta non ha destato sospetti.

La tattica non è nuova. TechCrunch ricorda che un rapporto di CrowdStrike ha attribuito circa la metà delle intrusioni nelle aziende tecnologiche statunitensi dello scorso anno a nordcoreani che si spacciavano per informatici da remoto o selezionatori. Il bersaglio non sono solo le piattaforme di criptovalute, ma chiunque abbia accesso a sistemi o a denaro.

La seconda falla: un programma scaricato dai risultati di ricerca

La storia non è iniziata con il colloquio. Tre mesi prima un altro ingegnere aveva installato un software manomesso mentre cercava uno strumento di IA. Succede ogni giorno in molte aziende: un dipendente sente parlare di un nuovo strumento, lo cerca, clicca sul primo risultato e lo installa con i diritti di amministratore. La lezione più importante è che Binance ha sostituito il dispositivo e cambiato le password, ma le informazioni già trapelate sul team sono rimaste all'attaccante, che le ha usate mesi dopo.

6 regole per i dispositivi del tuo personale questa settimana

• Nessun file di selezione esterno sui dispositivi di lavoro: ogni test, progetto o file inviato da terzi si apre su una macchina separata senza accesso ai sistemi aziendali. È lo stesso consiglio degli esperti citati da TechTarget: tenere il codice dei colloqui lontano da qualsiasi macchina vicina alla produzione.
• Solo software da un elenco approvato: togli al personale i diritti di amministratore locale e fai passare le installazioni dal tuo responsabile IT, dal sito ufficiale del produttore, mai da un annuncio nei risultati di ricerca.
• Privilegio minimo: chi può muovere denaro o modificare sistemi sensibili lo fa da un account e da un dispositivo dedicati, non dalla macchina con cui naviga e prova strumenti.
• Permessi ristretti per gli strumenti di IA interni: in Binance uno strumento di IA interno è stato il ponte tra i dispositivi. Ogni strumento che raggiunge i dispositivi del personale o i tuoi sistemi ha bisogno di permessi limitati e di un registro di tutto ciò che fa.
• Rilevare non chiude l'incidente: se un dispositivo è compromesso, non basta sostituirlo. Dai per scontato che il suo contenuto sia trapelato, rinnova tutte le password, chiavi e token legati a esso e al suo team, e sorveglia gli account dei colleghi.
• Forma il team sul phishing tramite offerte di lavoro: un'offerta allettante che chiede di scaricare un file o eseguire codice è un campanello d'allarme, e cercare lavoro da un dispositivo aziendale espone l'intera azienda. Se assumi da remoto, verifica l'identità del candidato prima di concedere qualsiasi accesso.

Che cosa dicono i Controlli essenziali di cybersicurezza?

I Controlli essenziali di cybersicurezza ECC-2:2024 dell'Autorità nazionale per la cybersicurezza saudita (NCA) sono obbligatori per gli enti pubblici e per le entità che possiedono, gestiscono o ospitano infrastrutture nazionali critiche, e la NCA raccomanda vivamente a tutte le altre entità di utilizzarli. Tre di essi coprono direttamente questo incidente:

• Controllo 1-10-3: il programma di sensibilizzazione copre l'uso sicuro della posta elettronica e il phishing, la navigazione in internet e l'uso dei social media.
• Controllo 2-2-3-3: autorizzazioni basate sui principi di necessità di sapere e di usare, privilegio minimo e separazione dei compiti.
• Controllo 2-3-3-1: protezione di postazioni di lavoro e server da virus, programmi sospetti e malware con tecnologie moderne.

Il punto di vista di Origami

Nelle aziende saudite vediamo lo stesso schema che ha fatto cadere Binance: un unico dispositivo che il dipendente usa per lavorare, navigare, cercare opportunità e provare ogni nuovo strumento, con pieni diritti di amministratore perché è più comodo. Un attaccante non ha bisogno di un exploit sofisticato se è il dipendente stesso a eseguire il file.

La soluzione non è impedire al personale di imparare o provare strumenti di IA, ma lasciarglieli provare in un ambiente che non raggiunga denaro e dati. Quando costruiamo sistemi per i clienti, separiamo fin dall'inizio gli account di uso quotidiano da quelli privilegiati e registriamo ogni accesso.

Conclusione

Una violazione da 6,34 miliardi di dollari non è iniziata con una vulnerabilità di un server, ma con un colloquio di lavoro e un'app scaricata da una ricerca. Dedica un'ora questa settimana con il tuo responsabile IT: togli i diritti di amministratore locale al personale, scrivi l'elenco dei software approvati, separa i dispositivi con accessi sensibili e comunica al team che nessun file di un selezionatore si apre su un dispositivo di lavoro. Se vuoi una revisione dei permessi dei tuoi sistemi, contattaci o scopri i nostri servizi.

Fonti

• Binance — Security incident investigation update, 3 novembre 2026: la cronologia di giugno, settembre, 20 e 29 ottobre, i due colloqui, gli importi congelati e reintegrati e i 57 casi di minacce.
• Autorità nazionale per la cybersicurezza (NCA) — Essential Cybersecurity Controls ECC-2:2024: ambito e controlli 1-10-3, 2-2-3-3 e 2-3-3-1.
• TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 novembre 2026: il dato di CrowdStrike e gli avvertimenti precedenti.
• TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 novembre 2026: i consigli degli esperti sui dispositivi degli sviluppatori.
• Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, novembre 2026: l'attribuzione alla Corea del Nord da parte dell'FBI.