Binance, 6,3 miliardi rubati: cosa insegna a chi sottoscrive rischio cyber

Il 29 ottobre 2026 Binance ha perso circa 6,3 miliardi di dollari, il furto di criptovalute più grande mai registrato. Un'analisi da sottoscrittore: quale polizza risponde, i limiti dell'autoassicurazione, l'esclusione per attacchi statali e le domande da portare nei rinnovi.

Tema della settimana dal 24 al 31 ottobre 2026 · di cybercoverinsurance

Il 29 ottobre 2026 Binance ha perso circa 6,3 miliardi di dollari in poche ore. È il furto di criptovalute più grande mai registrato e, per dimensione, uno dei furti più grandi in assoluto. Quale polizza avrebbe dovuto rispondere? La tesi è semplice. Non è un caso di chiavi rubate. È un caso in cui i sistemi dell'assicurato hanno firmato transazioni legittime nella forma e fraudolente nella sostanza, partendo dal portatile di un ingegnere. È lo stesso schema che un sottoscrittore trova in qualsiasi azienda con una pipeline di rilascio automatizzata e accessi privilegiati concentrati su poche persone.

Cosa si sa

I primi trasferimenti non autorizzati sono partiti intorno alle 20:05 UTC del 29 ottobre; una seconda ondata su Avalanche e Polygon è arrivata poco dopo le 23:00 UTC e l'ultimo prelievo alle 23:56 UTC. Sono stati svuotati hot wallet su 11 blockchain (Elliptic). Le stime sull'importo divergono: Binance indica circa 6,3 miliardi di dollari, TRM Labs circa 6,36 miliardi su 10 blockchain, in gran parte nell'arco di circa 20 minuti, Chainalysis 5,9 miliardi al momento del furto (Forbes), Elliptic 6,43 miliardi. Il precedente record, Bybit a febbraio 2025, era di 1,46 miliardi (Elliptic).

Binance ha indicato come punto di ingresso il portatile compromesso di un ingegnere DevOps, che avrebbe dato accesso a un container di servizio da cui sono partiti i prelievi. Non risultano fughe di chiavi private. Il 30 ottobre il co-CEO Richard Teng ha precisato che le indagini hanno trovato altri punti di violazione e che l'attaccante non si è limitato a usare i permessi di un solo ingegnere (Forbes). Elliptic osserva che i dati on-chain fanno pensare all'uso della delega EIP-7702 per far firmare le transazioni ai sistemi di Binance, invece di rubare le chiavi. È un'inferenza da dati pubblici, non una conferma di Binance.

Circa 3 miliardi sono stati congelati con l'aiuto del settore: Tether circa 1,57 miliardi, Circle oltre 800 milioni, Ripple circa 200 milioni, Arbitrum Security Council 30,5 milioni (Insurance Business). Restano fuori circa 3,3 miliardi, di cui circa 2,4 in bitcoin ed ether che nessun emittente può bloccare; secondo Ari Redbord di TRM Labs, recuperare le stablecoin congelate richiede di norma un procedimento legale, senza tempi standard (stesso articolo).

TRM Labs e Chainalysis attribuiscono l'attacco a TraderTraitor, gruppo legato alla Corea del Nord (Forbes). Elliptic lo ritiene probabile ma non certo: nessun governo ha confermato e l'FBI ha detto solo di essere a conoscenza dell'incidente. Binance non ha attribuito responsabilità.

Binance ha dichiarato di aver accantonato oltre 6,34 miliardi di dollari, di cui 5 miliardi già detenuti nelle stesse criptovalute rubate, e che coprirà le perdite con il fondo SAFU e con la tesoreria aziendale. Punta a riaprire i prelievi per fasi e a pubblicare la prova delle riserve lunedì 2 novembre 2026 (crypto.news). Al momento in cui scrivo sono impegni, non fatti compiuti.

Quale polizza risponde

Reuters ha chiesto a Binance quale copertura assicurativa avesse e non ha ricevuto risposta (Reuters via KFGO). Non sappiamo quindi cosa fosse assicurato. Possiamo però ragionare sulle tre famiglie di polizze che un caso simile mette in tensione.

La polizza cyber non è fatta per questo. Le polizze cyber escludono di norma la perdita o il trasferimento di fondi e rispondono per indagini forensi, notifiche e spese legali (Reuters). In un evento da miliardi, la parte cyber copre la risposta all'incidente, non il furto. Chi vende cyber a operatori di asset digitali deve sapere che il valore esposto vero sta altrove.

La polizza crime incontra la domanda più scomoda. Le polizze crime tradizionali nascono per contanti, titoli e metalli preziosi e in genere non coprono le criptovalute (Reuters). Ma anche con un'estensione per gli asset digitali, il caso Binance pone un problema di trigger. Le garanzie di frode informatica presuppongono, di solito, un ingresso o una modifica fraudolenta dei dati da parte di terzi. Qui l'attaccante è entrato da un endpoint interno e ha fatto firmare le transazioni ai sistemi dell'assicurato. Il perito dovrà stabilire se il sistema ha eseguito un'istruzione fraudolenta o un'istruzione autorizzata partita da un accesso compromesso. Reuters ricorda che gli assicuratori guardano proprio a come è avvenuta la violazione, quali sistemi sono stati compromessi e se le procedure su chiavi, accessi ai wallet e approvazioni delle transazioni erano rispettate, e che la distinzione tra attaccante esterno e insider può decidere quale polizza si applica. Tra le esclusioni comuni c'è la gestione delle chiavi non protetta o negligente.

La polizza specie o custody si scontra con la capacità. Secondo Elliptic il furto ha svuotato hot wallet, cioè i portafogli collegati in rete per i prelievi quotidiani: è proprio la parte che un sottoscrittore di custody guarda con più diffidenza. Le capacità dedicate agli asset digitali sono concentrate in pochi assicuratori specializzati tra Lloyd's e Bermuda (Reuters) e, secondo Insurance Business, la capacità specialistica nota pubblicamente non si avvicina a una perdita singola di questa dimensione. In pratica, per una perdita di questa scala l'unico assicuratore possibile era Binance stessa.

Il fondo di autoassicurazione non basta

Il fondo SAFU nasce a luglio 2018 come riserva di emergenza e vale circa 1 miliardo di dollari, interamente in bitcoin (Reuters). Forbes lo indica in 15.000 BTC, circa 1,17 miliardi, e calcola che il resto delle perdite vale circa il 2% dei 144 miliardi in custodia. Il fondo copre meno di un quinto della stima della perdita (Insurance Business).

Il punto per chi sottoscrive non riguarda Binance. Riguarda il concetto di captive o fondo interno usato come argomento in trattativa. Un fondo denominato nello stesso asset che si può perdere è correlato al rischio che deve coprire. E un fondo dimensionato sul precedente peggiore (nel 2019 Binance aveva coperto un furto da circa 40 milioni di dollari, secondo Insurance Business) è già vecchio il giorno dopo. Il caso dimostra che la coda del rischio è più lunga di quanto qualsiasi programma assicurativo, interno o esterno, avesse previsto.

Attribuzione statale ed esclusione guerra

Il Market Bulletin Lloyd's Y5381 richiede che le polizze cyber stand-alone sottoscritte a Lloyd's dal 31 marzo 2023 escludano la guerra e alcuni attacchi di matrice statale, in particolare quelli che compromettono in modo significativo il funzionamento o la sicurezza di uno Stato, e che spieghino come si attribuisce l'attacco (Insurance Business). Un furto a un exchange privato difficilmente rientra in quel perimetro.

Ne seguono due conseguenze pratiche. La prima: l'attribuzione alla Corea del Nord, anche se confermata, non sposta da sola il sinistro fuori copertura nelle wording più diffuse; serve leggere la clausola specifica. La seconda: gli attori statali con movente economico sono un rischio sottoscrivibile come gli altri, e vanno trattati con controlli, non con esclusioni. Insurance Business riporta che TRM Labs attribuisce a gruppi legati alla Corea del Nord circa il 76% del valore dei furti di criptovalute nei primi quattro mesi del 2026. Per un portafoglio, questo è un attore ricorrente, non un evento eccezionale.

L'ingegnere come superficie di attacco

Il dettaglio più utile per chi sottoscrive fuori dal mondo crypto è l'ingresso. Un portatile di un ingegnere DevOps, un container di servizio, un sistema che firma. Sostituite "firma una transazione" con "rilascia un aggiornamento", "approva un bonifico" o "modifica una configurazione cloud" e lo schema vale per un fornitore di software, una fintech, un operatore di pagamenti.

L'Australian Cyber Security Centre e i suoi partner hanno avvertito che operatori nordcoreani prendono di mira professionisti IT con false offerte di lavoro per compromettere i loro computer (Insurance Business). Non è dimostrato che questo sia stato il vettore nel caso Binance. Ma indica dove guardare: gli endpoint di chi ha accessi privilegiati sono il vero perimetro, e i questionari di sottoscrizione spesso li trattano come un dettaglio dentro la voce generica "EDR".

Effetti per chi Binance non è

Il blocco dei prelievi crea interruzione e problemi di liquidità per i clienti che tengono fondi sull'exchange o accettano pagamenti in criptovalute, anche se non sono stati violati (Insurance Business). È un caso classico di dipendenza da un fornitore: il sinistro dell'assicurato nasce da un evento presso un terzo. Le coperture di interruzione per dipendenza da fornitori (contingent business interruption) sono spesso limitate a fornitori IT nominati o a interruzioni di sistemi, non a un blocco dei fondi deciso dal fornitore. Chi ha in portafoglio fintech, piattaforme di pagamento o aziende che usano exchange per la tesoreria dovrebbe sapere quali di questi assicurati dipendono da Binance o da operatori simili.

C'è anche un tema di riserve. I congelamenti delle stablecoin sono un recupero potenziale, ma senza calendario. Un perito che stima un sinistro di questo tipo deve distinguere tra fondi congelati, fondi recuperabili in tempi certi e fondi persi.

Cosa portare nei rinnovi

Quale quota degli asset dei clienti sta in hot wallet, e con quale limite per singola finestra temporale di prelievo?
Chi può far firmare una transazione o un rilascio ai sistemi di produzione, da quali dispositivi, e con quale approvazione indipendente?
Gli endpoint degli ingegneri con accessi privilegiati sono separati dagli usi personali e monitorati in modo specifico, anche contro campagne di finti colloqui di lavoro?
Esistono controlli automatici che bloccano volumi anomali in pochi minuti? Nel caso Binance gran parte dei fondi è uscita in circa 20 minuti, secondo TRM Labs.
Il fondo di autoassicurazione esiste, a quanto ammonta, in quale valuta è denominato e chi decide quando usarlo?
Quali clausole guerra e attacco statale sono in polizza e con quale metodo di attribuzione?

Sul lato portafoglio, la domanda è di accumulo. Quanti assicurati, fra cyber, crime e interruzione di attività, sarebbero colpiti dal blocco di un solo grande exchange o di una sola stablecoin? Se la risposta non è nota, il primo lavoro è mapparla.