L’incidente subito da Binance smonta uno dei dogmi più radicati nella custodia istituzionale di asset digitali: la convinzione che blindare le chiavi private equivalga a mettere in sicurezza i capitali. Basti pensare che in questo incidente i moduli hardware di sicurezza non sono stati violati, né alcuna chiave crittografica è mai stata sottratta. Gli attaccanti hanno invece colpito il piano di controllo, sfruttando la compromissione di una workstation per muoversi lateralmente fino ai container di produzione autorizzati a istruire i sistemi di prelievo. L’infrastruttura di firma ha validato le transazioni malevole semplicemente perché provenivano da un servizio interno ritenuto attendibile. Dal punto di vista architetturale, siamo di fronte al fallimento del modello di fiducia implicita nelle comunicazioni tra servizi interni. Per tale motivo nessuna enclave crittografica può compensare un perimetro operativo permeabile. In questo caso è mancato infatti un paradigma rigoroso di controllo che si interponesse fra le postazioni privilegiate e i nodi di firma.
****
L’aspetto tecnicamente più critico dell’incidente risiede nel modo in cui una funzionalità progettata per evolvere l’operatività degli utenti sia stata convertita in un vettore di esfiltrazione su larga scala. Sulla rete Ethereum, gli attaccanti hanno infatti sfruttato una specifica, introdotta nel maggio 2025, per alterare il funzionamento del principale portafoglio operativo di Binance. Tale specifica consente ai portafogli standard di delegare temporaneamente la propria logica esecutiva a uno smart contract. Ciò ha permesso di trasferire in un’unica transazione miliardi di dollari tra Ether e più di sessanta diversi token, mantenendo poi attiva la delega per quasi quattro ore così da drenare sistematicamente anche i nuovi depositi in ingresso. L’episodio dimostra come ogni aggiornamento dei protocolli blockchain introduca superfici d’attacco inedite, rendendo indispensabile per gli istituti finanziari l’adozione di policy restrittive che permettano di bloccare qualsiasi nuova tipologia di firma non strettamente necessaria.
