Tra il 31 ottobre e il 1° novembre 2026 le società di analisi blockchain hanno aggiornato le stime sull'attacco a Binance. Secondo Elliptic, il valore sottratto ammonta a circa 6,43 miliardi di dollari, di cui 2,85 miliardi risultano congelati. Più società di analisi, tra cui TRM, attribuiscono l'attacco al gruppo nordcoreano noto come TraderTraitor; l'attribuzione, va detto, non è ufficiale.
È il furto di cripto-attività più grande mai registrato. Ma il dato che interessa il giurista è l'altro: quasi metà dei fondi è stata bloccata. Il tracciamento funziona, se si agisce in fretta.
Prima di entrare nel merito, una premessa di metodo. Le cifre sono stime di società private di analisi, aggiornate di ora in ora; l'attribuzione è un'ipotesi investigativa, non un accertamento. Le conseguenze giuridiche per i singoli clienti dipendono da quale entità del gruppo abbia prestato loro il servizio e in quale ordinamento. Ciò che segue riguarda il quadro europeo, e vale per i prestatori autorizzati nell'Unione.
Il regime europeo: custodia e responsabilità
Per i prestatori di servizi per le cripto-attività autorizzati nell'Unione, il Regolamento (UE) 2023/1114, cioè MiCA, fissa regole precise.
L'articolo 70 impone ai prestatori che detengono cripto-attività dei clienti di adottare misure adeguate a tutelarne i diritti di proprietà, in particolare in caso di insolvenza, e di impedirne l'uso per conto proprio. Le cripto-attività dei clienti devono essere separate da quelle del prestatore.
L'articolo 75 disciplina la custodia e l'amministrazione per conto dei clienti. Il prestatore è responsabile nei confronti dei clienti della perdita di cripto-attività o dei mezzi di accesso a seguito di un incidente a lui imputabile, entro il limite del valore di mercato delle cripto-attività perdute al momento della perdita. Gli incidenti imputabili includono quelli legati alla fornitura del servizio o al funzionamento del prestatore, come i problemi relativi ai sistemi informatici e la sicurezza informatica.
Accanto a MiCA opera il Regolamento (UE) 2022/2554, DORA, che impone ai soggetti finanziari, inclusi i prestatori di servizi per le cripto-attività, un quadro di gestione dei rischi informatici, di segnalazione degli incidenti gravi e di test di resilienza.
Che cosa significa "imputabile"
La parola chiave dell'articolo 75 è l'imputabilità. Il prestatore non risponde di qualsiasi perdita, ma di quelle derivanti da incidenti a lui imputabili. La norma stessa, però, indica che rientrano fra questi gli incidenti legati al funzionamento del servizio e ai sistemi informatici.
In un attacco informatico a un exchange, dunque, il terreno della discussione non è se il prestatore abbia "colpa" in senso morale, ma se l'incidente sia legato alla sua organizzazione. L'esistenza di un attaccante esterno, anche sofisticato, non è di per sé una causa di esonero. Il prestatore potrà semmai dimostrare che l'evento è indipendente dalla fornitura del servizio, ma è una prova difficile quando il varco è stato proprio nei suoi sistemi.
Qui DORA diventa decisiva. Le politiche di gestione del rischio informatico, i test, le segnalazioni all'autorità diventano il materiale su cui si misura la diligenza. Un prestatore che non può esibirli parte in svantaggio.
Il congelamento: dove si gioca davvero il recupero
Il congelamento di 2,85 miliardi dimostra un punto operativo: la recuperabilità dipende dalla velocità con cui i fondi vengono individuati sugli intermediari che li ricevono.
Qui entra in gioco il Regolamento (UE) 2023/1113 sui dati informativi che accompagnano i trasferimenti di cripto-attività, la cosiddetta travel rule. Obbliga i prestatori a raccogliere e trasmettere i dati di ordinante e beneficiario, e rende i flussi tra intermediari regolati molto più ricostruibili di un tempo.
Per un cliente danneggiato, il percorso pratico passa da tre momenti: la segnalazione immediata, la richiesta di blocco agli intermediari individuati dall'analisi on-chain e, ove necessario, un provvedimento cautelare dell'autorità giudiziaria competente.
Il limite, naturalmente, sta nei passaggi fuori dal perimetro regolato: servizi di mixing, protocolli decentralizzati, intermediari in giurisdizioni non cooperative. Ogni ora che passa aumenta la probabilità che i fondi escano dal raggio d'azione degli strumenti europei.
Dal lato del cliente
Chi detiene cripto-attività presso un exchange dovrebbe conservare tre cose: le condizioni contrattuali, con l'indicazione dell'entità che presta il servizio; gli estratti delle posizioni, con date e valori; la corrispondenza con il prestatore. Sono i documenti che servono a dimostrare che cosa si deteneva, presso chi, e quanto valeva al momento della perdita, che è proprio il parametro fissato dall'articolo 75.
Dove si colloca l'autorità di vigilanza
C'è infine un piano che non riguarda il singolo cliente ma il mercato. Un incidente di questa portata, per un prestatore autorizzato nell'Unione, attiva gli obblighi di segnalazione degli incidenti gravi previsti da DORA e mette l'autorità competente nella condizione di chiedere conto delle misure adottate prima e dopo l'attacco.
MiCA attribuisce alle autorità nazionali poteri incisivi: richieste di informazioni, ispezioni, ordini di cessazione, fino alla sospensione o alla revoca dell'autorizzazione nei casi più gravi. Per il cliente questo non si traduce automaticamente in un rimborso, ma conta: gli accertamenti dell'autorità sono spesso il materiale più solido su cui costruire, in un secondo momento, una domanda di risarcimento.
Lo stesso vale per i rapporti fra prestatori. Se i fondi sottratti transitano su un altro intermediario regolato che non applica i presidi previsti dalla travel rule o dalla normativa antiriciclaggio, anche quella condotta può diventare rilevante. La catena delle responsabilità, nel mondo delle cripto-attività, è più lunga di quanto sembri.
Che cosa non dice MiCA
Va detto anche ciò che il regolamento non fa. MiCA non istituisce un fondo di garanzia per i clienti dei prestatori di servizi per le cripto-attività, come accade invece per i depositi bancari. La tutela passa dalla separazione patrimoniale e dalla responsabilità del prestatore, che valgono quanto la sua solidità. Se il prestatore non ha mezzi sufficienti per rispondere, il cliente resta un creditore. È una ragione in più per guardare con attenzione a chi si affida la custodia.
Che cosa portarsi a casa
Tre indicazioni, valide per chi detiene cripto-attività presso un intermediario.
La custodia ha un responsabile. Sotto MiCA il prestatore risponde della perdita imputabile a incidenti informatici, entro il valore di mercato (art. 75).
La separazione patrimoniale non è un dettaglio. Le cripto-attività dei clienti devono restare distinte da quelle del prestatore (art. 70).
Il tempo è il primo strumento di recupero. Tracciamento, richiesta di blocco e cautela giudiziaria vanno attivati nelle prime ore, non nelle prime settimane.
La lettura del reparto
Un furto di queste dimensioni riaccende il dibattito sulla sicurezza degli exchange. Ma il diritto europeo ha già dato una risposta: chi custodisce risponde, e chi è autorizzato deve dimostrare di avere presidi informatici adeguati.
Chi detiene cripto-attività presso un intermediario dovrebbe chiedersi, prima di un incidente, dove è autorizzato quell'intermediario, quale regime di responsabilità gli si applica e a chi rivolgersi se qualcosa va storto.