Dopo l’attacco da circa 6,3 miliardi di dollari a Binance, la parte in Bitcoin del bottino è rimasta ferma: 18.270 BTC, pari a circa 1,4 miliardi di dollari, sono divisi in 19 indirizzi e non si sono mossi dalla sera di giovedì 29 ottobre 2026. Analisti e società di sicurezza indicano come probabile responsabile un gruppo nordcoreano, ma l’attribuzione non è stata ancora confermata ufficialmente. BitcoinLive24 ha ricostruito la catena dei trasferimenti sui dati pubblici di mempool.space: ecco che cosa si vede, e che cosa no.
Che cosa è successo: 18.270 Bitcoin in 19 indirizzi
Binance stima il danno del furto in circa 6,3 miliardi di dollari, tra Bitcoin, Ether, stablecoin e altri token. Solo la parte in Bitcoin è però tracciabile in modo trasparente, perché la rete Bitcoin è pubblica: ogni spostamento resta nel registro.
Secondo CoinDesk, alle 20:20 UTC di giovedì un portafoglio caldo (hot wallet, cioè collegato a internet) di Binance ha inviato poco più di 18.270 BTC a un unico indirizzo con 11 transazioni, tutte nel blocco 973.732. I dati on-chain confermano il blocco: secondo mempool.space è stato minato alle 20:20:06 UTC del 29 ottobre. Non abbiamo invece modo di verificare in modo indipendente che il mittente fosse il portafoglio di Binance: l’etichetta è quella riportata da CoinDesk.
Quello che abbiamo controllato direttamente è la destinazione. L’indirizzo ricevente ha incassato in totale 18.270,2 BTC e li ha poi spesi tutti, ridistribuendoli a catena. Seguendo ogni passaggio fino alle uscite non ancora spese, risultano 19 indirizzi con un saldo complessivo di 18.270,2 BTC, tutti ancora intatti alle 5 circa (UTC) di venerdì 30 ottobre.
| Indirizzi | Saldo ciascuno | Totale |
|---|---|---|
| 17 indirizzi | 1.000 BTC | 17.000 BTC |
| 1 indirizzo | 832,5 BTC | 832,5 BTC |
| 1 indirizzo | 437,7 BTC | 437,7 BTC |
| Totale | – | 18.270,2 BTC |
Fonte: ricostruzione di BitcoinLive24 su dati mempool.space, 30 ottobre 2026 (esempio: l’indirizzo da 437,7 BTC). Gli ultimi 437,7 BTC sono arrivati nel blocco 973.738, sei blocchi dopo il resto.
Frazionare la somma in tagli da esattamente 1.000 BTC rende più semplice spostarla a lotti, ma da sola questa scelta non dice nulla sulle intenzioni di chi l’ha compiuta. Per confronto, CoinDesk ricorda che nel furto a Binance del 2019 i Bitcoin sottratti erano 7.000: quelli di oggi sono circa 2,6 volte tanti (calcolo di BitcoinLive24).
Chi c’è dietro: le attribuzioni alla Corea del Nord
Le società di analisi blockchain puntano su gruppi legati a Pyongyang, ma con gradi di certezza molto diversi. Secondo CoinDesk, TRM Labs attribuisce il furto al gruppo TraderTraitor, un sottogruppo di Lazarus, con «high confidence» (alta fiducia). L’investigatore ZachXBT parla di «likely Lazarus», cioè probabile, e il CEO di Chainalysis di un’operazione «likely done by DPRK group TraderTraitor». Per Blockaid, società di sicurezza, tattiche e sofisticazione sono «consistent» (coerenti) con operazioni nordcoreane già viste.
| Fonte | Che cosa dice | Livello di certezza dichiarato |
|---|---|---|
| TRM Labs | Attribuisce a TraderTraitor (sottogruppo di Lazarus) | «High confidence» |
| ZachXBT | Probabile Lazarus | «Likely» |
| Chainalysis (CEO) | Probabile TraderTraitor, per un legame con un attacco precedente | «Likely» |
| Blockaid | Metodi coerenti con operazioni nordcoreane | Indicazione generica |
Fonte: CoinDesk, 29 ottobre 2026. Una fonte vicina alle indagini, citata dallo stesso articolo, avverte che l’attribuzione non è ancora definitiva e che i gruppi nordcoreani di solito spostano e riciclano i fondi più in fretta. BitcoinLive24 non ha trovato dati on-chain pubblici a sostegno dell’attribuzione.
Il contesto geopolitico: crypto e sanzioni
I furti di criptovalute attribuiti alla Corea del Nord non sono una novità. Nel febbraio 2025 il furto da circa 1,5 miliardi di dollari a Bybit è stato attribuito a un gruppo nordcoreano, ed è il precedente a cui rimandano le analisi di questi giorni. Sul nostro sito avevamo raccontato anche l’attacco a Bitget attribuito alla Corea del Nord e, poco dopo, i 4.098 Bitcoin prelevati alla riapertura.
Il punto geopolitico è che questi furti, se l’attribuzione fosse confermata, finanzierebbero uno Stato sotto sanzioni internazionali. Il Bitcoin non ha un emittente che possa bloccarlo, ma la trasparenza del registro lo rende tracciabile.
Perché i Bitcoin non si congelano come le stablecoin
Qui sta la differenza che conta. Secondo CoinDesk, gli emittenti di stablecoin come Tether e Circle possono mettere in lista nera gli indirizzi dell’attaccante in poche ore, perché controllano i contratti dei loro token. Per il Bitcoin, scrive la testata, «Bitcoin has no issuer to do that», cioè nessun emittente in grado di farlo: le monete possono essere fermate solo quando arrivano a un exchange, a un operatore OTC (compravendite fuori mercato) o a un servizio di conversione.
Binance, secondo Cointelegraph, ha dichiarato che circa 3 miliardi di dollari di asset coinvolti sono stati congelati on-chain con partner del settore, che coprirà le perdite con il fondo SAFU e risorse aziendali e che i fondi degli utenti sono al sicuro. L’exchange indica come punto di partenza il laptop compromesso di un ingegnere DevOps e afferma di non avere prove di una fuga di chiavi private. Depositi e prelievi risultano sospesi. Nessuna delle fonti consultate indica che i Bitcoin ricostruiti sopra siano tra gli asset congelati: restano fermi, ma senza un blocco tecnico.
Le conseguenze per il mercato e per la sicurezza
Sul prezzo l’effetto c’è stato: al momento della stesura Bitcoin vale circa 78.100 dollari secondo CoinGecko, e nella notte è sceso sotto i 77.000 dollari, secondo The Block. I 18.270 BTC valgono circa un quinto del danno stimato da Binance (calcolo di BitcoinLive24, 1,4 su 6,3 miliardi di dollari): la parte maggiore del furto non riguarda il Bitcoin.
Più rilevante è il tema della custodia. Il caso mostra che il punto debole non è il protocollo Bitcoin ma l’infrastruttura che lo circonda: laptop, container, firme. Lo stesso filone ci aveva portato a scrivere sulla custodia MPC di Google Cloud per le banche, tecnologia che spezza le chiavi tra più parti proprio per evitare un singolo punto di compromissione.
Prospettive e scenari
Tre sviluppi sono plausibili nei prossimi giorni, nessuno scontato. Nel primo i 19 indirizzi restano fermi a lungo. Nel secondo i fondi vengono mossi a piccoli lotti verso servizi di conversione, e allora l’analisi on-chain e la collaborazione degli exchange diventeranno decisive. Nel terzo arrivano conferme ufficiali da autorità statunitensi o di altri Paesi, con possibili nuove sanzioni su portafogli e intermediari.
Per seguire l’evoluzione in tempo reale, scarica l’app BitcoinLive24 e segui gli aggiornamenti sulle notizie Bitcoin.
Domande frequenti sul furto di Binance e i Bitcoin rubati
Quanti Bitcoin sono stati rubati a Binance?
Circa 18.270 BTC, per un valore intorno a 1,4 miliardi di dollari, risultano trasferiti dal portafoglio caldo di Binance a 19 indirizzi secondo CoinDesk. Il danno totale dichiarato da Binance è di 6,3 miliardi di dollari su più asset.
Si possono bloccare i Bitcoin rubati?
Non direttamente: nessun emittente può metterli in lista nera come accade con Tether o Circle. Possono essere fermati solo quando passano da exchange, operatori OTC o servizi che collaborano con gli investigatori.
Chi è responsabile dell’attacco a Binance?
Non c’è una conferma ufficiale. TRM Labs lo attribuisce con alta fiducia al gruppo nordcoreano TraderTraitor; altri analisti parlano di probabilità o di coerenza con operazioni note.
Dove sono ora i Bitcoin rubati?
Alle 5 circa (UTC) del 30 ottobre 2026 erano in 19 indirizzi: 17 da 1.000 BTC, uno da 832,5 BTC e uno da 437,7 BTC, tutti con saldo non speso.
