-1,30
Non c’è pace per le criptoattività. Il 29 ottobre Binance, la maggiore piattaforma mondiale per volumi di scambio, ha subito prelievi non autorizzati per 6,3 miliardi di dollari. È il più grande furto di criptoattività mai registrato, oltre quattro volte quello subito da Bybit nel febbraio 2025. ma ancor più interessante è ciò che l’attacco rivela sui rischi della custodia digitale.
L’attacco ha colpito gli hot wallet, i portafogli connessi alla rete utilizzati per l’operatività quotidiana. Inizialmente Binance ha ipotizzato la compromissione del computer di un ingegnere DevOps, dal quale sarebbero partite istruzioni di prelievo non autorizzate. Il 30 ottobre la società ha però riferito di avere individuato ulteriori punti di compromissione. L’indagine è ancora aperta e per ora non vi sono prove della sottrazione di chiavi private.
La distinzione è importante. Non emergono indizi di una violazione della crittografia delle blockchain. Il bersaglio sembra piuttosto essere stato il sistema di autorizzazione dei movimenti, vulnerabilità che potrebbe interessare anche un intermediario finanziario tradizionale. Nelle criptoattività però cambia ciò che accade dopo il furto. Su bitcoin ed ethereum non esiste un emittente che possa cancellare una transazione o bloccare unilateralmente i fondi.
Eppure proprio questo episodio mostra quanto la centralizzazione offra una difesa efficace. Grazie alla collaborazione con emittenti di stablecoin, società di analisi delle blockchain e autorità investigative Binance ha annunciato il congelamento di 3 miliardi di dollari riconducibili all’attacco. Tether è intervenuta su 1,57 miliardi di Usdt, Circle su oltre 800 milioni di Usdc e, secondo le prime comunicazioni, Ripple su asset per 200 milioni.
Le stablecoin emesse da soggetti centralizzati permettono infatti di inserire indirizzi in blacklist e bloccare ulteriori trasferimenti, a differenza del bitcoin. Come osserva Gabriele Sabbatini, cofondatore e amministratore delegato di Hercle, la presenza di soggetti centralizzati può costituire non soltanto un fattore di rischio ma anche un presidio di sicurezza. È un paradosso per un mercato nato anche per ridurre la dipendenza dagli intermediari.
Ma quel potere merita cautele. Chi decide di congelare i token, secondo quali criteri e con quali garanzie per gli utenti? Il blocco non equivale poi al recupero. Gli asset congelati non tornano automaticamente al proprietario, mentre quelli scambiati con criptoattività prive di un emittente restano ben più difficili da recuperare. Il danno è dunque ancora enorme. Binance ha assicurato che le perdite non ricadranno sui clienti. Per farvi fronte dichiara di avere destinato alla tesoreria societaria 6,34 miliardidel Secure Asset Fund for Users (Safu). Circa 5 miliardi sarebbero già disponibili negli stessi asset sottratti.
Il caso sembra dare nuova forza al motto della comunità cripto «not your keys, not your coins». Affidare le chiavi a un intermediario significa esporsi alla sua vulnerabilità tecnologica e alla sua capacità di rimborsare le perdite. Ma sarebbe un errore considerare la custodia individuale una soluzione priva di pericoli. In ottobre Ledger, produttore di hardware wallet, ha comunicato che alcuni dispositivi autentici erano stati manomessi con componenti capaci di intercettare le frasi di recupero. I prodotti erano poi stati rimessi in circolazione attraverso rivenditori nel Sud-est asiatico. Non è stata compromessa la tecnologia di Ledger bensì la catena distributiva. Anche la custodia individuale richiede fiducia nel produttore, nel rivenditore e nelle procedure adottate.
Il rischio non è solo informatico. In Francia si moltiplicano i crypto-rapts, ossia rapimenti e sequestri per costringere i titolari di criptoattività a consegnare le chiavi. La custodia personale elimina l’esposizione al dissesto dell’intermediario ma trasferisce sull’individuo rischi operativi e persino fisici.
Un altro equivoco riguarda l’anonimato. Le blockchain pubbliche conservano tracce permanenti dei trasferimenti e gli operatori regolamentati devono identificare i clienti e rispettare gli obblighi antiriciclaggio. Convertire miliardi in moneta tradizionale senza lasciare tracce sarà difficile benché i passaggi tra blockchain e piattaforme decentralizzate complichino le indagini. La tracciabilità però non garantisce la restituzione.
Anche l’intelligenza artificiale accentua la minaccia. A quanto pare, non è ancora in grado di violare la crittografia di bitcoin o ethereum ma rende più efficaci phishing, ingegneria sociale e ricerca di vulnerabilità. Cercare un sistema invulnerabile sarebbe illusorio. Occorre quindi prevenire gli incidenti, limitarne le conseguenze e predisporre risorse per assorbirne l’impatto.
È la direzione seguita dall’Ue con il Dora, disciplina applicabile anche ai Casp autorizzati ai sensi del MiCar. La normativa europea impone controlli sul rischio informatico, test di resilienza, segnalazione degli incidenti e vigilanza sui fornitori tecnologici. Per i servizi di custodia il MiCar introduce inoltre uno strumento di tutela specifica: i prestatori sono responsabili nei confronti dei clienti della perdita di criptoattività o dei mezzi di accesso alle criptoattività a seguito di un incidente loro attribuibile. Binance non figura per ora tra i Casp autorizzati a operare in Europa.
In ogni caso nessuna autorizzazione o licenza rende immuni dagli attacchi e nemmeno la custodia individuale elimina tutti i rischi. La sicurezza dipende da robustezza dei sistemi, qualità dei controlli, disponibilità di risorse e rapidità di reazione. Non si tratta di scegliere fra intermediari e autonomia assoluta; la blockchain non elimina il problema della fiducia, ne cambia soltanto la geografia.(riproduzione riservata)
*ordinario all’Università Bocconi