Una parte dei fondi rubati a Binance è entrata per la prima volta nei coinjoin, transazioni collettive che spezzano il legame visibile tra le monete in ingresso e quelle in uscita. Secondo l’analisi di Elliptic (società di tracciamento delle blockchain), aggiornata alle 07:30 UTC del 2 novembre 2026, circa 28 BTC (2,2 milioni di dollari) sono passati in 18 coinjoin dopo il furto da 6,43 miliardi di dollari del 29 ottobre. È il primo mixing dei fondi sottratti, mentre i 18.270 BTC finiti in 19 indirizzi risultano ancora fermi.
Coinjoin sui fondi Binance: cosa ha rilevato Elliptic
Elliptic ha osservato che dalle 05:55 UTC del 1° novembre 2026 una parte dei bitcoin arrivati dai fondi transitati su Tron è entrata in coinjoin basati su WabiSabi, il protocollo usato da Wasabi Wallet e da portafogli simili. Più tardi, nello stesso giorno, una quota dell’ETH parcheggiato è stata scambiata in bitcoin e la maggior parte di quei bitcoin ha preso la stessa strada. Alle 06:02 UTC del 2 novembre il totale era di circa 28 BTC in 18 coinjoin, ciascuno con un numero di input compreso tra 101 e 491.
Un coinjoin combina i bitcoin di molti utenti in un’unica transazione, così da rendere difficile collegare chi ha messo le monete a chi le ha ricevute. Nel caso di Binance Elliptic lo elenca tra le tattiche con cui l’attaccante rende più faticoso il tracciamento, insieme alla divisione dei fondi su migliaia di indirizzi, ad almeno sette ponti tra blockchain (bridge) e agli scambi su exchange decentralizzati.
Secondo Elliptic i 28 BTC provengono dai fondi passati su Tron e dall’ETH convertito; la società non li collega ai 19 indirizzi dei 18.270 BTC. Nostra lettura: il confronto tra le due cifre è solo di ordine di grandezza.
I 18.270 Bitcoin fermi: cosa dicono i dati
Elliptic indica che i 18.270 BTC rubati sono stati divisi in 19 indirizzi nella stessa mezz’ora in cui l’attaccante convertiva le stablecoin prima dei congelamenti, e che da allora non si sono più spostati. Complessivamente, secondo la società, restano circa 3,24 miliardi di dollari in indirizzi collegati all’attacco, soprattutto in ETH e BTC, e probabilmente una quantità trascurabile è stata già incassata.
Un controllo di BitcoinLive24 su mempool.space, al blocco 974.252, non ha rilevato alcuna spesa su sei indirizzi discendenti da quello che aveva ricevuto il furto, descritto nel nostro articolo del 30 ottobre sui 18.270 Bitcoin rubati (cinque da 1.000 BTC e uno da 437,7 BTC, in tutto 5.437,7 BTC su 18.270): hanno ancora l’intero saldo non speso, ma non abbiamo potuto verificare gli altri. Non abbiamo inoltre una verifica indipendente dei coinjoin, che per ora poggiano sull’analisi di Elliptic.
Anche The Defiant, nel sommario del suo articolo sul rapporto, riferisce circa 12.000 wallet coinvolti su 11 blockchain e 3,24 miliardi di dollari ancora collegati ai fondi rubati, cifre che coincidono con quelle di Elliptic.
Il contesto geopolitico: TraderTraitor e le reti di riciclaggio
Secondo Elliptic, l’FBI ha attribuito il furto al gruppo nordcoreano TraderTraitor a tarda sera del 31 ottobre e ha pubblicato gli indirizzi dell’attaccante. Dell’attribuzione e della riapertura dei prelievi di Binance ci siamo occupati nell’articolo sull’FBI e i prelievi Binance. Il punto nuovo è il ritmo: per Elliptic il riciclaggio è finora più lento che nel caso Bybit, perché ETH e BTC non si congelano, le somme sono più del doppio e muoverle in fretta comporterebbe forti perdite sugli scambi; con gli indirizzi pubblicati dall’FBI, inoltre, i servizi li tengono sotto osservazione. Nostra lettura: se l’attribuzione dell’FBI regge, il bottino diventa una questione di sanzioni e di cooperazione con exchange e broker OTC, oltre che di sicurezza informatica.
Elliptic ricorda che in casi precedenti la Corea del Nord ha affidato i fondi rubati a reti cinesi di riciclaggio e avverte che i dati on-chain non permettono di dire se sia già successo. I fondi non ancora mossi, aggiunge, sono con ogni probabilità ancora della Corea del Nord. Circa 16 milioni di dollari sono stati inviati a indirizzi che custodiscono anche i proventi dell’exploit Bitget di settembre 2026, ritenuto anch’esso opera di TraderTraitor.
Cosa succede ora: come Elliptic prevede l’incasso dei fondi
Elliptic prevede che l’attaccante converta l’ETH in bitcoin con molte piccole transazioni e poi incassi tramite broker OTC (operatori che trattano fuori dai mercati pubblici) nell’arco di mesi. La previsione si basa sul caso Bybit; inoltre né ETH né BTC possono essere congelati da un emittente, a differenza di USDT e USDC, e questo toglie fretta all’attaccante. L’attacco, va ricordato, ha colpito i sistemi di Binance e non il protocollo Bitcoin: l’exchange ha parlato di un laptop compromesso di un ingegnere.
La tabella confronta il caso con il furto a Bybit del febbraio 2025, usato da Elliptic come termine di paragone.
| Aspetto | Bybit (febbraio 2025) | Binance (ottobre 2026) |
|---|---|---|
| Quota congelata | circa 3% | 44% (2,85 miliardi di dollari su 6,43) |
| Ritmo del riciclaggio | 499.000 ETH riciclati entro dieci giorni | più lento finora, secondo Elliptic (ETH e BTC non sono congelabili, quindi nessuna fretta) |
| Incasso finale | USDT su Tron e servizi OTC sospettati di essere cinesi, in mesi | atteso: ETH in bitcoin e poi OTC, in mesi (previsione di Elliptic) |
Riciclaggio automatizzato: nessuna prova di intelligenza artificiale
Elliptic descrive un riciclaggio automatizzato: in meno di quattro giorni sono stati usati circa 12.000 wallet, uno nuovo ogni 25 secondi, per oltre 40.000 transazioni. Su Tron il picco è stato di circa 1.300 transazioni in un’ora. La società non ha trovato elementi che indichino un agente di intelligenza artificiale a decidere: le prove, scrive, indicano un’automazione tradizionale, con tempi fissi, importi ripetuti e ritentativi alla cieca, accanto a pause che somigliano a schemi di lavoro umani.
La stessa lettura compare nel sommario di CoinDesk, secondo cui Elliptic ha tracciato migliaia di trasferimenti, scambi falliti e transazioni ripetute che suggeriscono script e non agenti di IA. Sul fronte operativo, Elliptic indica di poter schermare oltre 9.500 indirizzi collegati al furto (una lista di screening, non il conteggio dei wallet usati) e avverte che terzi inviano token falsi, da indirizzi simili, agli indirizzi dell’attaccante (address poisoning): sono operazioni non controllate dall’attaccante e non vanno scambiate per sue mosse.
Prospettive e scenari
Lo scenario che Elliptic si attende è quello già descritto: l’ETH viene convertito in bitcoin in molte piccole transazioni e poi incassato tramite broker OTC nell’arco di mesi. Nostra lettura, non di Elliptic: se i coinjoin visti dal 1° novembre diventassero una tappa regolare, il tracciamento si farebbe più difficile. Nel frattempo i 18.270 BTC e i nove maggiori indirizzi ETH non si muovono dal 29-30 ottobre, mentre altre parti dei fondi (ETH, SOL, XRP) hanno iniziato a spostarsi. Elliptic non fornisce stime di probabilità.
Secondo Elliptic, ulteriori congelamenti saranno più difficili. Congelare il 44% dei fondi è già un risultato insolito, scrive Elliptic, e le occasioni residue sono le stablecoin intercettate in transito e i servizi centralizzati nel momento dell’incasso. Se i bitcoin arriveranno a un exchange o a un broker, è lì che i fondi possono essere identificati e fermati, secondo Elliptic. BitcoinLive24 seguirà gli indirizzi e aggiornerà il quadro quando emergeranno movimenti dei 18.270 BTC.
Scarica l’app BitcoinLive24 per seguire gli aggiornamenti sul caso Binance. Per capire come funziona il coinjoin in un portafoglio concreto, abbiamo raccontato le novità dell’aggiornamento di Wasabi Wallet 2.8.5.
Domande frequenti sui Bitcoin rubati a Binance
Cosa sono i coinjoin e perché sono stati usati?
I coinjoin sono transazioni che uniscono i bitcoin di molti utenti in un unico passaggio, rendendo difficile collegare le monete in ingresso a quelle in uscita. Elliptic li inserisce tra le tecniche con cui l’attaccante ostacola il tracciamento; ne ha contati 18, con 28 BTC mescolati al 2 novembre.
I 18.270 Bitcoin rubati a Binance si sono mossi?
No, secondo Elliptic quei 18.270 BTC sono fermi in 19 indirizzi dal 29 ottobre 2026. Un nostro controllo su mempool.space al blocco 974.252 non ha rilevato spese su sei indirizzi discendenti dal ricevente del furto (cinque da 1.000 BTC e uno da 437,7 BTC), senza poter verificare i restanti.
Quanto è stato congelato del furto a Binance?
Secondo Elliptic sono stati congelati o sequestrati 2,85 miliardi di dollari su 6,43 rubati, cioè il 44%. Circa 3,24 miliardi restano in indirizzi collegati al furto, soprattutto ETH e BTC, che non possono essere bloccati da un emittente; il testo dell’analisi Elliptic non spiega la differenza di circa 340 milioni tra i 3,58 miliardi residui (6,43 meno 2,85) e i 3,24 indicati.
Il riciclaggio è guidato da un’intelligenza artificiale?
Non ci sono prove in questo senso: Elliptic parla di automazione convenzionale, con tempi fissi e importi ripetuti, e nulla indica un agente di IA che prende decisioni. La conclusione compare anche nel sommario di CoinDesk.
Il furto a Binance mette a rischio la rete Bitcoin?
No, l’attacco ha colpito i sistemi di Binance, partendo dal laptop compromesso di un ingegnere secondo l’exchange, e non il protocollo Bitcoin. I bitcoin rubati restano visibili sulla blockchain pubblica; i coinjoin interrompono il collegamento visibile tra monete in ingresso e in uscita e rendono il tracciamento più difficile.
