Binance, la decentralizzazione si misura anche nelle eccezioni

Il controllo che rimane fuori dal registro

Nel maxi furto subito da Binance, la questione che considero più istruttiva riguarda il luogo nel quale si esercita il potere di disporre degli asset, poiché un registro distribuito può convivere con una custodia fortemente accentrata. L’exchange colloca l’attacco ai propri hot wallet alle 20:05 UTC del 29 ottobre e indica un impatto di circa 6,3 miliardi di dollari; fra gli asset sottratti, TRM Labs identifica 18.270 BTC, all’interno di un evento che coinvolge più reti e numerose altre valute.

Le misure disponibili descrivono osservazioni diverse: Elliptic, nell’aggiornamento del 31 ottobre alle 05:00 UTC, stima 6,43 miliardi sottratti e 2,85 miliardi congelati o sequestrati. Il congelamento, la restituzione e la ricostituzione delle disponibilità dell’exchange restano operazioni distinte, per cui quei valori non possono diventare un’unica misura del danno già risolto.

Definire il caso una smentita generale della blockchain salterebbe il passaggio essenziale; fermarsi alla sua natura di attacco a un intermediario lascerebbe però inesaminato quanto quell’intermediario conti per l’esperienza concreta degli utenti. È nella distanza fra distribuzione del registro e distribuzione dei poteri che colloco la domanda sulla decentralizzazione effettiva.

La validità della firma e la volontà dell’impresa

La documentazione Bitcoin descrive la spesa degli output attraverso condizioni verificabili dalla rete. Da questa architettura deriva una distinzione: l’esito positivo dei controlli non ricostruisce, da solo, il mandato aziendale di chi abbia richiesto l’operazione. Una transazione può soddisfare le regole del protocollo mentre il processo organizzativo che avrebbe dovuto autorizzarla è stato aggirato.

Sul versante Ethereum, Chainalysis ricostruisce autorizzazioni validamente firmate che hanno consentito a un wallet Binance di eseguire codice dell’attaccante. Il riferimento tecnico è EIP-7702, che permette a un account di delegare l’esecuzione a codice identificato nell’autorizzazione, con una delega persistente. Il suo impiego nel furto richiede quindi di esaminare quale potere sia stato concesso, oltre alla destinazione di un pagamento.

Binance dichiara di non aver trovato evidenze di fuga delle chiavi private e segnala ulteriori punti di compromissione rispetto alla pista iniziale del laptop. Quel limite conoscitivo non certifica l’integrità del processo di firma: controllare la chiave e controllare le richieste che essa può sottoscrivere sono problemi collegati, ai quali un’indagine deve dare risposte separate.

Le eccezioni che rendono visibile il potere

L’intervento sugli asset rende questa distinzione ancora più concreta. Circle documenta la possibilità di impedire a un indirizzo di inviare o ricevere USDC, chiarendo che il blocco non annulla una transazione già completata. La storia registrata e la possibilità di utilizzare successivamente un token appartengono, dunque, a piani differenti.

L’intervento ufficialmente descritto da Arbitrum mostra un altro potere: il 30 ottobre il Security Council ha trasferito 8.425 ETH e 74.559.805,2 ARB a un indirizzo vincolato, attraverso un aggiornamento atomico temporaneo del contratto Inbox su Ethereum, poi ripristinato. Il comunicato riserva a un voto ArbitrumDAO la successiva movimentazione dei fondi.

Il beneficio del blocco rende anche visibile il potere che lo consente: è un intervento della governance su Arbitrum One, non un rollback della storia di Ethereum.

Una proprietà da scomporre, non un’etichetta da accettare

A mio giudizio, la decentralizzazione diventa una qualità valutabile quando si specifica che cosa venga distribuito e fra quali soggetti. La validazione delle transazioni, la custodia degli asset, l’autorizzazione della firma e la modifica delle regole operative possono dipendere da gruppi diversi, i cui poteri non si neutralizzano per il solo fatto di poggiare su una rete aperta.

Per la stessa ragione, distribuire le disponibilità fra reti differenti offre una diversificazione incompleta se un’unica infrastruttura organizzativa conserva la capacità di autorizzarne il movimento. All’opposto, passare all’autocustodia modifica il soggetto che controlla la firma, mentre lascia da esaminare i poteri dell’emittente quando si detengano token amministrabili, oppure quelli della governance quando gli asset siano utilizzati su un layer 2.

La mia conclusione non consiste nell’assegnare una superiorità universale a una forma di custodia, ma nel richiedere che ogni promessa di autonomia sia ricondotta al suo perimetro. L’assenza di un pulsante centrale per bloccare bitcoin nativi sul relativo layer 1 non rende autonomo chi accede ai propri fondi soltanto attraverso il servizio e le procedure di un exchange.

Le evidenze che chiederei prima di considerare chiusa la crisi

Per un’impresa che utilizzi questi servizi, partirei dalla ricostruzione delle autorizzazioni effettive: quali componenti possano richiedere una firma, quali controlli rendano riconoscibile l’operazione approvata e quali deleghe continuino a produrre effetti dopo l’esecuzione iniziale. La separazione formale dei ruoli ha valore se corrisponde a condizioni verificabili, dalle quali risulti che la compromissione di un componente non consenta di riprodurre l’intero percorso autorizzativo.

La disponibilità economica dichiarata dall’operatore, per quanto rilevante, risponde a una domanda diversa dall’eliminazione del meccanismo di accesso. Prima di assumere che il ripristino sia affidabile, vorrei comprendere come siano stati delimitati i sistemi coinvolti, revocate le autorizzazioni pertinenti e verificate le condizioni che consentono di tornare a movimentare fondi senza riaprire lo stesso percorso all’attaccante.

Anche una fotografia delle riserve richiede una lettura proporzionata: il suo valore dipende dal perimetro e dalle verifiche che la accompagnano, mentre la presenza di asset non rende di per sé osservabile la qualità delle decisioni che ne autorizzano la spesa. In un dossier per il vertice terrei quindi distinte la copertura delle perdite, l’accessibilità operativa dei fondi e l’evidenza della rimozione delle condizioni di compromissione.

Attribuzione e responsabilità del giudizio

La valutazione di Chainalysis collega TraderTraitor al caso attraverso la commistione osservata con proventi del precedente furto Bitget; TRM formula un’attribuzione al medesimo gruppo, mentre Binance mantiene aperta l’indagine. Queste ricostruzioni sostengono una pista cybergeopolitica che merita attenzione, senza trasformare un giudizio di intelligence privato in un accertamento pubblico definitivo dell’autore.

Ritengo però che la lezione operativa rimanga valida anche mentre l’attribuzione viene approfondita: quando una struttura concentra il potere di mobilitare liquidità distribuita, la sua compromissione può propagarsi oltre le differenze fra protocolli. Il caso obbliga così a valutare insieme chi possa sottrarre, chi possa fermare e chi possa restituire gli asset, riconoscendo che i rimedi d’emergenza possono essere utili proprio perché esistono poteri che una descrizione puramente celebrativa della decentralizzazione tende a lasciare sullo sfondo.