Secondo le ricostruzioni disponibili, il 29 ottobre 2026 la finanza digitale sarebbe stata scossa da un imponente colpo cibernetico: in circa venti minuti, fino a 6,36 miliardi di dollari in asset crittografici sarebbero svaniti dai wallet di Binance. L’attacco, ipotizzato simultaneamente su dieci differenti reti blockchain tra cui Ethereum, Bitcoin, Solana e Tron, avrebbe visto la sottrazione di 167.464 Ether e oltre 1,615 miliardi di token USDT.
Indice degli argomenti
Social engineering: la porta d’ingresso nel caso Binance
Di fronte a cifre di tali proporzioni, si è inizialmente ipotizzata una falla catastrofica negli algoritmi di cifratura o il furto diretto delle chiavi private di custodia. Tuttavia, secondo le successive analisi forensi, la crittografia sottostante avrebbe funzionato e non vi sono evidenze certe che una chiave privata sia stata decifrata o sottratta direttamente.
A crollare non sono state solo le barriere matematiche del codice, ma l’intero sistema difensivo organizzativo e tecnologico. L’operazione, attribuita da alcune fonti d’intelligence al gruppo nordcoreano TraderTraitor (ricondotto al Lazarus Group), avrebbe trovato la sua porta d’ingresso in un’articolata campagna d’ingegneria sociale. Gli aggressori avrebbero manipolato un ingegnere DevOps di Binance attraverso la simulazione di una procedura di selezione del personale, inducendolo ad autorizzare involontariamente la violazione dal proprio dispositivo aziendale.
Il caso Binance rappresenta una chiara dimostrazione pratica di come la cybersecurity debba integrarsi con le scienze cognitive. La superficie d’attacco si è definitivamente spostata dai circuiti elettronici ai processi neurocognitivi. La maggior parte delle intrusioni informatiche di successo non nasce da vulnerabilità software esotiche, ma dall’abilità di avversari metodici nel decodificare e armare i meccanismi decisionali, i bias percettivi e le inclinazioni biologiche alla fiducia dell’essere umano.
Dal falso reclutamento al controllo delle firme
Per capire come un singolo dispositivo possa trasformarsi nell’origine di una perdita finanziaria sistemica, occorre ricostruire la presunta cronologia dell’attacco, che si sarebbe sviluppata su circa cinque mesi secondo le dinamiche note come Operation Dream Job.
La fase di ricognizione avrebbe avuto inizio nel giugno 2026, quando un primo ingegnere della divisione infrastruttura wallet avrebbe installato sul proprio computer uno strumento di supporto alla programmazione basato su intelligenza artificiale prelevato da una fonte non verificata. Sebbene i sistemi di sicurezza interni abbiano intercettato l’anomalia isolando la postazione, l’infezione iniziale avrebbe consentito di esfiltrare la mappa organizzativa interna, identificando i tecnici dotati di privilegi di accesso alla gestione dei flussi di cassa.
A settembre 2026, gli attaccanti avrebbero contattato un secondo ingegnere DevOps dello stesso team tramite una piattaforma professionale. All’operatore sarebbe stata prospettata una posizione lavorativa di alto profilo con un compenso superiore alla media. Per rendere credibile l’offerta, gli aggressori avrebbero organizzato colloqui a distanza con finti responsabili delle risorse umane e dirigenti, i cui profili online apparivano curati.
Durante la seconda fase del colloquio, all’ingegnere sarebbe stato chiesto di svolgere un test di programmazione pratico su un pacchetto di codice fornito dagli esaminatori. L’ingegnere ha eseguito l’applicazione sul laptop aziendale. In questo contesto è emerso un primo grave fallimento tecnologico: il software malevolo è riuscito a eludere del tutto i sistemi Endpoint Detection and Response (EDR) e la sicurezza perimetrale della rete, che non hanno rilevato l’esecuzione anomala né l’apertura del canale di comando e controllo mascherato.
Entro il 20 ottobre, muovendosi dall’endpoint compromesso e sfruttando un assistente d’intelligenza artificiale per le operazioni interne, gli attaccanti avrebbero effettuato un movimento laterale verso i dispositivi di altri colleghi senza che i sistemi di monitoraggio di rete segnalassero l’anomalia. Ottenuti i permessi necessari, la minaccia ha raggiunto il servizio centralizzato di firma delle transazioni (signing service).
Il 29 ottobre sono stati inviati ordini di prelievo e autorizzazioni pre-firmate su rete Ethereum e altri nove protocolli. I sistemi aziendali hanno validato le transazioni come legittime, evidenziando una drammatica carenza nei controlli automatici sui trasferimenti di ingenti somme di denaro e un’assenza di meccanismi di blocco per operazioni anomale ad alto volume.
Social engineering e processi decisionali: Sistema 1 e Sistema 2
Le vulnerabilità umane possono essere analizzate partendo dalla teoria del doppio processo decisionale, resa celebre dalla psicologia cognitiva e dallo psicologo Daniel Kahneman.
La mente opera secondo due modalità distinte:
Il sistema 1 (pensiero euristico): rapido, automatico, economico sul piano energetico, guidato dall’intuito, dall’emozione e da scorciatoie mentali.
Il sistema 2 (pensiero sistematico): lento, deliberato, analitico, caratterizzato da un elevato sforzo cognitivo e dall’attivazione della corteccia prefrontale.
In condizioni ordinarie, la valutazione della sicurezza di un file o di un link richiede l’attivazione del sistema 2. Tuttavia, le strategie d’ingegneria sociale sono concepite per inibire la modalità analitica e costringere la vittima a decidere esclusivamente mediante il sistema 1.
Nel caso Binance, gli attaccanti hanno sfruttato con precisione chirurgica il bias d’opportunità e di aspirazione di carriera. La prospettiva di un miglioramento economico e professionale stimola una naturale carica emotiva che sposta il cervello verso l’elaborazione euristica. Focalizzata sull’obiettivo di fare buona impressione e cogliere la presunta opportunità, la vittima tende a ignorare i dettagli anomali dell’interazione formale.
A questo si aggiunge la normalizzazione procedurale del test tecnico. Ricevere ed eseguire un pacchetto di codice inviato da un selezionatore costituisce uno script comportamentale consolidato per un ingegnere software. Il cervello dell’operatore interpreta la richiesta non come una minaccia, ma come un’azione di routine a basso rischio.
Sotto l’effetto del bias dell’abitudine e del sovraccarico cognitivo derivante dal multitasking quotidiano, interviene il fenomeno della cecità da disattenzione (inattentional blindness): il dipendente guarda il pacchetto di codice ma non percepisce il pericolo, poiché le sue facoltà esecutive superiori sono assorbite dall’esecuzione del compito primario.
Le leve della persuasione e la neurobiologia dell’inganno
L’efficacia dell’operazione risiede nella combinazione meticolosa dei principi di persuasione teorizzati da Robert Cialdini e approfonditi nella letteratura sulla sicurezza delle informazioni. Per comprendere come la manipolazione riesca a piegare le routine di sicurezza, la tabella sottostante sintetizza il rapporto tra le leve psicologiche impiegate dagli aggressori e i corrispondenti punti di rottura comportamentali osservati nel caso Binance.
| Leva Psicologica / Bias Cognitivo | Vettore Operativo nell’Attacco Binance | Impatto sul Comportamento della Vittima |
|---|---|---|
| Bias di autorità | Presenza del finto CEO e dei recruiter HR nei colloqui | Inibisce il dubbio e spinge all’obbedienza procedurale |
| Riprova sociale (social proof) | Profili social curati e molteplicità di interlocutori | Valida la legittimità della presunta azienda esaminatrice |
| Normalizzazione della routine | Richiesta di svolgere un test di coding (assignment) | Disattiva i controlli critici interpretando il test come routine |
| Sequestro neurale (amigdala) | Pressione temporale e ansia da prestazione | Esclude il pensiero analitico a favore di reazioni impulsive |
| Attivazione di ossitocina | Pretexting relazionale coltivato per settimane | Crea una falsa fiducia affettiva che riduce la diffidenza |
Il bias di autorità e il principio di riprova sociale sono stati edificati attraverso la simulazione di una gerarchia aziendale completa. Far interloquire la vittima prima con un responsabile delle risorse umane e successivamente con un finto amministratore delegato genera una fortissima convalida contestuale. L’obbedienza alle figure percepite come autorevoli agisce da scorciatoia cognitiva primaria: se la richiesta di eseguire il test proviene dalla massima carica societaria, la mente del dipendente disattiva i protocolli di scetticismo razionale.
Accanto ai modelli comportamentali, gli studi di sicurezza evidenziano la necessità di scendere al livello neurobiologico per comprendere appieno la dinamica dell’inganno:
L’innesco dell’ossitocina: La coltivazione del contatto per settimane, attraverso scambi di e-mail cordiali e colloqui empatici, stimola il rilascio di ossitocina, il neurotrasmettitore legato alla fiducia interpersonale e all’affiliazione. L’ossitocina abbassa le barriere di difesa della corteccia prefrontale, predisponendo l’individuo a credere alla legittimità dell’interlocutore.
Il sequestro neurale (neural hijacking): La combinazione tra il desiderio di superare la selezione e la velata pressione temporale legata alle scadenze della prova innesca una risposta emotiva che attiva l’amigdala. Quando l’emozione si intensifica, il centro limbico “sequestra” il controllo delle funzioni esecutive superiori. Il cervello razionale viene temporaneamente escluso dalla cabina di comando, lasciando spazio a reazioni automatiche guidate dall’impulso di completare la procedura.
L’intelligenza artificiale tra manipolazione e accesso ai sistemi
Un elemento di marcata novità evidenziato dal caso Binance riguarda il ruolo ambivalente dell’intelligenza artificiale, che si manifesta sia come amplificatore delle capacità manipolatorie esterne sia come superficie di vulnerabilità interna.
Sul fronte esterno, l’impiego dell’intelligenza artificiale generativa consente agli attaccanti di superare i tradizionali segnali d’allarme che in passato permettevano di smascherare il phishing, come errori sintattici o costruzioni linguistiche claudicanti. I profili dei finti reclutatori, le descrizioni delle posizioni lavorative e le e-mail di contatto vengono generati con un livello di aderenza al contesto professionale del tutto indistinguibile dalle comunicazioni legittime. Inoltre, l’utilizzo di avatar digitali e tecniche di face swap in tempo reale durante i colloqui video neutralizza il naturale sospetto visivo della vittima.
Sul fronte interno, l’attacco ha messo in luce una vulnerabilità sistemica legata alla cieca affidabilità riposta nell’automazione. Nel movimento laterale, gli aggressori avrebbero abusato di un assistente d’intelligenza artificiale impiegato dal team per le operazioni interne. La fiducia incondizionata riposta dall’organizzazione nei propri strumenti automatici e il difetto di isolamento della rete hanno consentito di utilizzare i permessi dell’agente software per esplorare l’infrastruttura ed elevarsi fino al servizio di firma senza innescare alcun allarme di sicurezza.
Contenere il social engineering: la governance della conseguenza
L’insegnamento fondamentale che emerge dalla vicenda è che la sicurezza informatica non può essere intesa come una mera barriera tecnologica o come la protezione fisica delle chiavi crittografiche. Quando gli avversari investono risorse nella profilazione psicologica ed eludono le difese EDR e di rete, la barriera tecnologica da sola non basta a prevenire il danno.
Per costruire infrastrutture realmente resilienti, le organizzazioni devono adottare un cambio di paradigma articolato su tre direttrici strategiche:
Dalla verifica d’identità alla governance della conseguenza
Dimostrare che una richiesta di transazione proviene da un account autentico o con la firma corretta non è sufficiente. La governance della conseguenza impone un cambio strategico: i sistemi non devono limitarsi a verificare ‘chi’ richiede un’azione, ma devono valutare ‘l’impatto e la ragionevolezza’ dell’azione stessa prima di eseguirla. I sistemi finanziari e critici devono implementare controlli semantici, comportamentali e volumetrici in tempo reale.
Se un’istruzione di prelievo o un trasferimento supera le soglie operative storiche, presenta frequenze anomale o punta a indirizzi sconosciuti (come il batch di 50 autorizzazioni inviato nel caso Binance), la transazione deve subire un blocco automatico e richiedere una verifica multi-fattore out-of-band, indipendentemente dalla validità matematica della firma.
Superamento del mito dell’anello debole e adozione della just culture
Etichettare il dipendente come l’anello debole della catena incentiva una cultura della colpa che spinge i lavoratori a nascondere gli errori. È invece necessaria una just culture (cultura equa), in cui l’errore non doloso è trattato come un indicatore diagnostico del sistema. Se un ingegnere esegue un test di coding malevolo, la responsabilità risiede nei fallimenti tecnologici difensivi (mancata segmentazione di rete, EDR inefficace) e nella mancanza di ambienti isolati (sandbox) dedicati a tali attività.
Architettura zero trust cognitiva ed educazione al dubbio
Il principio tecnologico dello Zero Trust (“mai fidarsi, verificare sempre”) deve essere interiorizzato come abito mentale organizzativo. È necessario promuovere un “dubbio costruttivo” che rallenti l’azione nei momenti critici, insegnando ai dipendenti a riconoscere i segnali di manipolazione emotiva, urgenza e autorità coatta.
L’obiettivo delle organizzazioni moderne non deve essere l’impossibile eliminazione dell’errore umano, ma la progettazione di ambienti socio-tecnici in cui l’essere umano sia riconosciuto, formato e valorizzato come la prima e più consapevole sentinella difensiva del sistema.
Partecipa alla community