Fatti:
A. A.a Il 4 agosto 1998 la società panamense C._SA ha aperto presso la sede luganese della B._SA la relazione bancaria xxx, conferendo il diritto di firma individuale ai suoi beneficiari economici, i cittadini russi D._ e la madre E._. L'apertura è avvenuta su richiesta della società luganese A._SA e in presenza di F._, sua impiegata con mansioni di assistenza alla clientela e di collaboratrice nella gestione di società offshore. La titolare del conto, oltre ad aver conferito procura amministrativa alla A._SA, designata pure quale destinataria della corrispondenza, ha sottoscritto l'autorizzazione generale per investimenti fiduciari, le lettere di manleva per ordini telefonici e per telefax nonché una corporation-resolution; la firma delle condizioni generali è invece controversa (cfr. infra consid. 4).
Il 13 giugno 2000, con modalità sostanzialmente identiche, la società delle Isole Vergini Britanniche G._Ltd ha aperto presso B._SA la relazione bancaria yyy, conferendo diritto di firma individuale a D._ e al beneficiario economico del conto, il cittadino russo H._. Diversamente da C._SA, la titolare di questo conto non ha conferito formale procura amministrativa alla A._SA.
A.b F._ ha effettuato una lunga serie di malversazioni sui conti dei clienti della A._SA. In particolare, dal 16 agosto 2000 al 27 luglio 2001 ha sottratto USD 1'850'000.-- alla C._SA e USD 1'340'000.-- alla G._Ltd. In 9 occasioni per C._SA e in 6 per G._Ltd aveva compilato altrettanti ordini di bonifico con firme false di D._ e li aveva trasmessi alla B._SA per telefax dal suo ufficio, allegandovi un foglio di copertina sottoscritto da lei; gli accrediti erano avvenuti sul conto "I._Ltd c/o banca A._" sul quale ella aveva il diritto di firma individuale. Queste malversazioni sono venute alla luce solo nel marzo 2002, allorché il beneficiario economico della C._SA si è lamentato presso la A._SA dell'impossibilità di dare seguito a un ordine di bonifico per mancanza di copertura. Sul conto di C._SA erano rimasti USD 25'972.--; su quello di G._Ltd USD 27'760.--.
B. B.a Con petizione del 29 aprile 2005 A._SA - che frattanto si era fatta cedere le relative pretese creditorie dalle due clienti e che nelle more della causa ha poi modificato la sua ragione sociale in A._SA - ha chiesto al Pretore di Lugano di condannare la B._SA a pagarle fr. 4'338'400.-- più interessi, somma pari al controvalore di quanto addebitato sui conti dei due clienti (USD 3'190'000.--) a seguito delle malversazioni effettuate da F._. L'attrice rimproverava alla convenuta una grave negligenza per aver eseguito i predetti ordini di bonifico, che dovevano essere ritenuti anomali.
B.b La convenuta si è opposta alla petizione, contestando di aver violato il suo obbligo di diligenza, addebitando anzi alla controparte una colpa esclusiva per non aver controllato la sua dipendente F._ e prevalendosi inoltre della lettera di manleva per ordini tramite telefax, della clausola liberatoria per mancato accertamento di falsificazioni contenuta all'art. 3 delle condizioni generali e della dichiarazione di piena indennità contenuta nella corporation-resolution.
B.c Con sentenza dell'11 gennaio 2008 il Pretore ha respinto la petizione.
Egli ha innanzitutto ritenuto che nelle particolari circostanze gli ordini di bonifico, che erano stati oggetto di puntuale verifica da parte della convenuta, non erano tali da destare sospetti. Escluso che alla banca potesse essere ascritta una colpa per il mancato riconoscimento della falsificazione della firma del cliente, ha pertanto concluso ch'essa poteva senz'altro prevalersi della clausola di ribaltamento del rischio di falsificazioni contenuta nella lettera di manleva per ordini impartiti tramite telefax.
B.d L'impugnativa presentata dall'attrice contro questa sentenza è stata respinta il 18 giugno 2009 dalla II Camera civile del Tribunale d'appello del Cantone Ticino.
C. Con ricorso in materia civile del 31 agosto 2009 A._SA è insorta dinanzi al Tribunale federale: chiede l'accoglimento del suo appello e la condanna della B._SA al pagamento di fr. 4'338'400.-- oltre interessi.
Nella risposta del 6 ottobre 2009 l'opponente ha proposto l'integrale reiezione del gravame, mentre l'autorità cantonale non si è pronunciata.
Diritto:
1. Interposto tempestivamente (art. 100 cpv. 1 LTF in relazione con l'art. 46 cpv. 1 lett. b LTF) dalla parte soccombente in sede cantonale (art. 76 cpv. 1 lett. a LTF) contro una decisione finale (art. 90 LTF) pronunciata dall'autorità ticinese di ultima istanza (art. 75 cpv. 1 LTF) in una causa civile di carattere pecuniario il cui valore litigioso supera fr. 30'000.-- (art. 74 cpv. 1 lett. b LTF), il ricorso è ricevibile, perlomeno sotto questo profilo.
2. Con il ricorso in materia civile può essere fatta valere la violazione del diritto federale (art. 95 lett. a LTF) che include anche i diritti costituzionali dei cittadini (DTF 133 III 446 consid. 3.1, 462 consid. 2.3).
2.1 Il Tribunale federale esamina d'ufficio l'applicazione del diritto federale (art. 106 cpv. 1 LTF). Nondimeno, tenuto conto dell'onere di allegazione e motivazione posto dall'art. 42 cpv. 1 e 2 LTF, la cui mancata ottemperanza conduce all'inammissibilità del gravame (art. 108 cpv. 1 lett. b LTF), il Tribunale federale esamina di regola solo le censure sollevate (DTF 133 III 545 consid. 2 pag. 550; 133 II 249 consid. 1.4.1 pag. 254). Ciò significa che nell'allegato ricorsuale occorre spiegare in maniera concisa perché l'atto impugnato viola il diritto federale; la motivazione deve essere riferita all'oggetto del litigio, in modo che si capisca perché e su quali punti la decisione contestata è impugnata (DTF 134 II 244 consid. 2.1).
Quando è fatta valere la violazione di diritti fondamentali e di disposizioni di diritto cantonale e intercantonale le esigenze di motivazione sono più rigorose. Il Tribunale federale tratta infatti queste censure solo se la parte ricorrente le ha debitamente sollevate e motivate, come prescritto dall'art. 106 cpv. 2 LTF (combinato con l'art. 42 LTF; DTF 134 II 244 consid. 2.2). Il campo di applicazione di questa norma corrisponde a quello del precedente ricorso di diritto pubblico per violazione dei diritti costituzionali (DTF 133 III 397 consid. 6 pag. 397, 638 consid. 2). Ne discende che l'allegato ricorsuale deve indicare chiaramente i diritti costituzionali che si pretendono violati, precisando altresì in che consista tale violazione (DTF 134 II 244 consid. 2.2; 133 III 393 consid. 6).
2.2 In linea di principio, il Tribunale federale fonda il suo ragionamento giuridico sull'accertamento dei fatti svolto dall'autorità inferiore (art. 105 cpv. 1 LTF); può scostarsene solo se è stato svolto in violazione del diritto ai sensi dell'art. 95 LTF o in modo manifestamente inesatto ovvero arbitrario (art. 105 cpv. 2 LTF). L'accertamento dei fatti contenuto nella sentenza impugnata può essere criticato alle stesse condizioni; occorre inoltre che l'eliminazione dell'asserito vizio possa influire in maniera determinante sull'esito della causa (art. 97 cpv. 1 LTF). Tocca alla parte che propone una fattispecie diversa da quella contenuta nella sentenza querelata il compito di esporre in maniera circostanziata il motivo che la induce a ritenere adempiute queste condizioni (art. 97 cpv. 1 LTF; DTF 133 IV 286 consid. 6.2).
La definizione di "manifestamente inesatto" corrisponde a quella di arbitrario (DTF 133 II 249 consid. 1.2.2 pag. 252) e configura dunque a sua volta una violazione di un diritto fondamentale (art. 9 Cost.; DTF 134 IV 36 consid. 1.4.1 pag. 39); la corrispondente censura deve pertanto ossequiare i requisiti di motivazione posti dall'art. 106 cpv. 2 LTF (DTF 133 III 393 consid. 6, 439 consid. 3.2; 133 II 249 consid. 1.4.2).
Per il resto, dinanzi al Tribunale federale possono essere addotti nuovi fatti e nuovi mezzi di prova soltanto se ne dà motivo la decisione dell'autorità inferiore (art. 99 cpv. 1 LTF; DTF 133 III 393 consid. 3).
3. La Corte ticinese ha dichiarato inammissibili diverse allegazioni che l'attrice ha proposto per la prima volta in sede d'appello, violando quindi l'art. 321 cpv. 1 lett. b CPC/TI. L'attrice si duole dell'applicazione arbitraria di questa disposizione. Nella sua motivazione si limita tuttavia a qualificare le sue allegazioni non considerate di "dati emergenti dagli atti di causa e quindi come tali suscettivi di essere apprezzati e di rientrare nella sfera valutativa e discrezionale che compete a tutti i soggetti del processo". La ricorrente non si riferisce invece ad atti specifici; tantomeno spiega, in modo preciso, in che cosa consista concretamente la violazione del divieto dell'arbitrio. La censura è perciò inammissibile per carente motivazione (art. 106 cpv. 2 LTF; cfr. supra consid. 2.1).
4. Dopo avere ribadito alcune leggerezze che la banca avrebbe commesso al momento dell'apertura dei conti, con allegazioni di fatto già definite irricevibili dall'autorità cantonale, la ricorrente sostiene che i giudici cantonali hanno commesso arbitrio ritenendo, in aperto contrasto con gli atti di causa, che tra i documenti firmati vi fossero anche le condizioni generali. Afferma inoltre che tale documento non gli sarebbe opponibile, perché la giurisprudenza che gli attribuisce valenza contrattuale, della quale auspica un riesame, non è più "sostenibile e compatibile con i moderni orientamenti dell'ordinamento giuridico". Soggiunge che sotto questo punto di vista la sentenza cantonale viola le "norme preposte al consenso contrattuale e alla sua interpretazione cioè gli art. 1 CO e 2 CC" e accenna anche alle esigenze poste dall'art. 27 CC.
Queste censure riguardano in parte i fatti (la sottoscrizione delle condizioni generali), in parte il diritto (la portata dell'atto). Come obietta con ragione l'opponente, la ricorrente non spiega perché l'eliminazione dell'asserito vizio sarebbe determinante per l'esito della causa, ciò che rende inammissibile la censura nella misura in cui attiene ai fatti (art. 97 cpv. 1 LTF).
Del resto, sebbene la sentenza impugnata accerti effettivamente la firma delle condizioni generali al momento dell'apertura dei conti, la circostanza non è stata di rilievo, visto che il Tribunale d'appello non fonda il suo ragionamento sulle condizioni generali, bensì sulle clausole contenute sia nella lettera di manleva per ordini tramite telefax, sia nella cosiddetta corporation-resolution. È pertanto inutile affrontare gli argomenti di diritto.
5. La ricorrente assevera che il Tribunale d'appello ha qualificato erroneamente quale clausola di ribaltamento del rischio la lettera di manleva per ordini tramite telefax (doc. D-E); a suo avviso si tratterebbe piuttosto di una clausola di esonero da responsabilità, inapplicabile nell'ambito di un'azione per adempimento del contratto come quella promossa contro di lei.
5.1 È utile ricordare, prima di esaminare detta clausola, gli effetti giuridici del bonifico bancario.
5.1.1 Il denaro depositato su un conto bancario aperto a nome di un cliente è di proprietà della banca, verso la quale il cliente ha unicamente un credito. Pertanto, girando o versando questi soldi a un terzo, la banca trasferisce il proprio denaro. Quando lo fa in esecuzione di un ordine del cliente essa, nella misura in cui regolarmente esegua il mandato, acquisisce verso di lui un credito dell'importo corrispondente (art. 402 cpv. 1 CO). Per contro, quando la banca esegue l'ordine di pagamento senza ordine del cliente, per esempio sulla base di un ordine di un terzo non autorizzato, non nasce alcun credito di rimborso verso il cliente non implicato nell'operazione: il danno derivante dal pagamento indebito rimane un danno della banca, non del cliente, e la questione della riparazione del danno subito da quest'ultimo in relazione con una violazione del dovere di diligenza della banca non si pone. Tutt'al più la banca può chiedere il risarcimento del proprio danno al cliente, nella misura in cui egli abbia contribuito colpevolmente a crearlo; ma al di fuori di questa ipotesi il cliente non deve sopportare il pregiudizio, nemmeno in difetto di una colpa della banca (cfr. sull'intera questione DTF 132 III 449 consid. 2, pag. 451 segg. con rinvii).
5.1.2 Questa regolamentazione è dispositiva, può essere modificata mediante convenzione. Nel quadro dei rapporti appena descritti una convenzione simile si propone di ribaltare sul cliente il danno della banca, non di escludere o di limitare la responsabilità della banca per un danno del cliente (cfr. DTF 112 II 450 consid. 3a pag. 454 segg.). La Corte ticinese ha giustamente rilevato (pagg. 5-6) che, per giurisprudenza ormai consolidata, a queste clausole è applicabile per analogia l'art. 100 CO, che disciplina l'esclusione preventiva della responsabilità per inadempimento del contratto (DTF 132 III 449 consid. 2; 112 II 450 consid. 3a pag. 454 seg.). Esse sono pertanto prive di ogni portata qualora alla banca sia imputabile un dolo o una colpa grave - oppure una negligenza grave, come enuncia la versione tedesca - (art. 100 cpv. 1 CO). Nel caso di colpa lieve la clausola di trasferimento del rischio può invece essere dichiarata nulla secondo il prudente apprezzamento del giudice (art. 100 cpv. 2 CO), fermo restando che non si potrà procedere in tale senso se la colpa lieve è imputabile a un ausiliario dell'istituto di credito (art. 101 cpv. 3; DTF 132 III 449 consid. 2 pag. 452 segg.).
5.2 Il testo italiano del patto in questione è il seguente:
"Lettera di manleva per ordini tramite telefax
Con la presente vi informiamo che potremo trovarci nella necessità di impartirvi istruzioni per l'esecuzione di operazioni bancarie anche per telefax (vale a dire attraverso trasmissione per via telefonica di copia di nostri ordini regolarmente firmati). In relazione a quanto precede siete richiesti espressamente di accettare, sotto la nostra totale responsabilità, tali istruzioni per telefax aventi la/e firma/e nostra/e e/o nostro(i) procuratore(i) amministrativo(i) ed al riguardo vi scarichiamo sin d'ora, assumendole in proprio, da ogni responsabilità anzitutto in ordine all'autenticità degli ordini stessi e della(e) nostra(e) firma(e) apposta(e) sui medesimi, firma(e) da voi controllabile(i) solo in copia e comunque per qualsiasi conseguenza possa derivare dal fatto di aver voi accettato dette istruzioni per telefax."
5.2.1 Il contenuto di una clausola contrattuale è determinato in primo luogo mediante l'interpretazione soggettiva, ossia ricercando la vera e concorde volontà dei contraenti, piuttosto che la denominazione o le parole inesatte adoperate per errore o allo scopo di nascondere la vera natura del contratto (art. 18 cpv. 1 CO). Ciò che le parti hanno voluto e dichiarato durante le trattative e al momento della conclusione del contratto attiene ai fatti (DTF 132 III 268 consid. 2.3.2 pag. 274), che possono essere rivisti dal Tribunale federale solamente alle condizioni esposte al consid. 2.2.
Qualora non esistano accertamenti di fatto sulla reale concordanza di queste volontà, o se il giudice costata che una parte non ha compreso la volontà dell'altra, la loro volontà (presunta) è determinata interpretando le loro dichiarazioni oggettivamente secondo il principio dell'affidamento, ovvero secondo il senso che ogni contraente poteva e doveva ragionevolmente attribuire alle dichiarazioni dell'altro nella situazione concreta. L'interpretazione secondo questo metodo è una questione concernente l'applicazione del diritto, che può essere esaminata liberamente dal Tribunale federale; esso si fonda comunque sul contenuto della manifestazione di volontà e sulle circostanze del caso, che attengono ancora ai fatti (DTF 133 III 61 consid. 2.2.1 pag. 67 con rinvii).
5.2.2 Ora, secondo gli accertamenti vincolanti dell'autorità inferiore, la ricorrente ha ammesso nella petizione che la manleva per ordini tramite telefax, che ha sottoscritto, è una clausola contrattuale volta a trasferire sul cliente il rischio di un pagamento indebito. Ci si trova dunque di fronte all'accertamento di una volontà vera e concorde dei contraenti, per cui non v'è di principio necessità di interpretare la clausola secondo il principio dell'affidamento.
Ma anche l'interpretazione secondo quest'ultimo metodo condurrebbe al medesimo risultato. Con la clausola di scarico riportata sopra - che menziona senza ambiguità la responsabilità riferita "all'autenticità degli ordini stessi e della(e) nostra(e) firma(e) apposta(e) sui medesimi, firma(e) da voi controllabile(i) solo in copia" - le parti non potevano in buona fede intendere altro che tenere indenne la banca per un pagamento a un terzo originato da un ordine falsificato. Nulla muta se in tale caso il danno della banca non consiste tecnicamente in una responsabilità contrattuale, bensì in una pretesa in adempimento del contratto. Non v'è dubbio che anche sotto l'aspetto teleologico una clausola del genere rientri tra i patti di ribaltamento del rischio utilizzati correntemente nella prassi bancaria.
6. La ricorrente sostiene che, viste le circostanze particolari del caso, la convenuta avrebbe dovuto eseguire maggiori controlli dell'autenticità delle firme anche qualora si fosse in presenza di una clausola di ribaltamento del rischio valida. L'omissione costituirebbe colpa sicuramente non lieve e porterebbe alla nullità della clausola secondo l'art. 100 cpv. 1 CO.
6.1 Commette negligenza grave chi trascura le più elementari regole della prudenza che ogni persona ragionevole rispetterebbe se fosse posta nella medesima situazione (DTF 128 III 76 consid. 1b pag. 81; 119 II 443 consid. 2a). Si parla per contro di negligenza lieve quando una persona non fa prova della prudenza che ci si potrebbe aspettare, senza che si possa tuttavia ravvedere nel suo comportamento - non scusabile - una violazione delle più elementari regole di prudenza (cfr. anche Luc Thévenoz in: Commentaire Romand, n. 15 ad art. 100). Nelle relazioni contrattuali occorre tenere in considerazione il tipo di rapporto, eventuali pattuizioni particolari, gli usi vigenti nel settore professionale interessato nonché le regole dell'arte ("bereichsspezifisch typisierte Sorgfaltsanforderungen": Andreas Thier, in: Honsell [a cura di], Kurzkommentar OR, 2008, n. 4 ad art. 99 CO; cfr. anche Luc Thévenoz, op. cit., n. 15 ad art. 100 CO e n. 1-2 ad art. 99 CO). Nel campo bancario il Tribunale federale ha già avuto modo di precisare che, in linea di principio, l'istituto è tenuto a verificare l'autenticità degli ordini solamente secondo le modalità convenute con il cliente o, se del caso, specificate dalla legge. Deve tuttavia procedere a delle verifiche supplementari se esistono indizi di falso o se l'ordine non concerne un'operazione prevista dal contratto o abitualmente richiesta (DTF 132 III 449 consid. 2; 122 III 26 consid. 4a/aa p. 32; 121 III 69 consid. 3c pag. 72; 116 II 459 consid. 2a pag. 461/462; 111 II 263 consid. 2b pag. 268).
6.2 Per mettere in evidenza la grave negligenza della banca la ricorrente ripropone alcune delle tesi formulate in sede cantonale. Lo fa tuttavia in modo piuttosto disordinato, appoggiandosi abbondantemente su fatti diversi da quelli accertati nella sentenza cantonale, comunque senza premurarsi di dimostrarne l'arbitrarietà, distinguendo male i fatti dal diritto e confrontandosi a malapena con le motivazioni assai articolate dei giudici ticinesi. Come anticipato, gli elementi di fatto che non trovano riscontro nella sentenza impugnata non possono essere considerati dal Tribunale federale (supra consid. 2.2).
6.2.1 Queste considerazioni valgono in primo luogo per l'argomento secondo cui il fatto che tutti gli ordini di bonifico presupponessero il disinvestimento dei depositi fiduciari avrebbe dovuto indurre la banca a chiedere istruzioni all'ordinante o alla ricorrente come gestore esterno; tanto più che il conto della C._SA andava in passivo.
Quest'ultima allegazione è stata dichiarata inammissibile già dal Tribunale di appello, perché nuova. Per il rimanente i giudici cantonali hanno accertato che i due clienti russi avevano a suo tempo sottoscritto un'autorizzazione generale per investimenti fiduciari, in forza della quale l'istituto era libero di scegliere il debitore, l'ammontare, la moneta e la durata, a condizione che non fossero date tempestivamente istruzioni diverse. Nel caso di specie gli averi dei clienti sono stati investiti dall'opponente in depositi fiduciari della durata di 48 ore che si rinnovavano automaticamente. Non viola il diritto federale la conclusione della Corte ticinese secondo cui, con tali premesse, la richiesta del procuratore dei conti di effettuare un bonifico - poi rilevatasi falsa - poteva ritenersi in buona fede un'"istruzione diversa", che richiedeva il disinvestimento.
6.2.2 La ricorrente sostiene inoltre che la banca avrebbe dovuto "plausibilizzare" le operazioni, anche in considerazione delle norme contro il riciclaggio e delle regole di diligenza, dal momento che i 15 ordini di bonifico falsi sarebbero stati compilati su moduli non più in uso nel traffico interbancario, andavano tutti a favore della I._Ltd, quasi sempre con l'istruzione "urgente".
Anche gli argomenti concernenti il tipo di moduli impiegati sono stati considerati inamissibili, perché nuovi, dall'autorità d'appello. Essa ha poi rilevato che le circostanze suddette non costituivano di per sé motivo di sospetto; potevano anzi attestare la relazione commerciale duratura con la I._Ltd, ipotizzata dal Pretore e non contestata dall'appellante. La banca non aveva del resto particolare motivo di sospetto, poiché in base alla corporation-resolution era stata liberata dall'obbligo di indagare sulle operazioni che venivano eseguite sul conto.
La ricorrente rimprovera invero ai giudici ticinesi di non avere esaminato alla luce dell'art. 27 CC la corporation-resolution, la cui efficacia sarebbe dubbia, visto che sarebbe stata sottoscritta dagli amministratori delle due società, i quali non erano però presenti al momento dell'apertura dei conti. Quest'ultimo fatto non trova tuttavia riscontro nella sentenza impugnata, per cui il Tribunale federale non può esaminare neppure l'argomento giuridico (cfr. DTF 134 III 643 consid. 5.5.2 pag. 651 con rinvii).
6.2.3 La ricorrente ribadisce che le operazioni di addebito del conto G._ non erano palesemente compatibili né con il profilo del cliente né con la struttura conservativa e accumulativa del conto. Non si potrebbe inoltre mettere sullo stesso piano il conto G._ e il conto C._, intestati a clienti e con movimentazioni diversi.
Di nuovo la ricorrente non si confronta con l'argomentazione del Tribunale d'appello, secondo la quale il titolare del conto G._Ltd aveva a suo tempo dichiarato di essere amico della famiglia D._, tanto da aver conferito a D._ il diritto di firma individuale. La banca sapeva che i beneficiari economici dei due conti svolgevano delle attività commerciali e che D._ aveva già effettuato sul conto C._SA non meno di altri 5 bonifici a favore della I._Ltd, per un totale di USD 1'290'000.--, senza che nessuno avesse avuto da ridire. Motivo di tranquillità per la banca era in particolare il silenzio della ricorrente, punto di riferimento dei due clienti, che agiva come una sorta di "filtro" o di "garante" dell'autenticità degli ordini, tanto più che i bonifici avvenivano a favore di un cliente della banca A._, a lei assai vicina. In tali circostanze, la convenuta poteva dunque ritenere in buona fede da un lato che le operazioni sul conto C._SA erano regolari e dall'altro che anche il nuovo pagamento a favore della I._Ltd da parte di G._Ltd rientrava verosimilmente in quell'operazione commerciale, concordata con l'amico di familia.
A queste considerazioni dei giudici ticinesi, fondate su fatti che vincolano il Tribunale federale, non v'è nulla da aggiungere.
6.2.4 Infine, la ricorrente riassume le sue critiche, ritenendo che nulla sarebbe stato fatto dall'opponente "per fugare i sospetti", nemmeno una telefonata al cliente o alla ricorrente quale gestore esterno della C._SA.
Ora, secondo gli accertamenti dei giudici cantonali i clienti russi avevano costituito delle società offshore, a cui avevano poi intestato i conti, innanzitutto allo scopo di rimanere in secondo piano e di non essere contattati. Avendo essi fatto sì che i contatti con la banca fossero tenuti solo per il tramite della ricorrente, non si può rimproverare all'istituto un dolo o una negligenza grave per non aver contattato direttamente i clienti russi e per aver dato seguito ai 15 ordini di bonifico litigiosi.
In effetti, viste le circostanze del caso concreto, il comportamento criminale dell'impiegata della ricorrente è senz'altro da imputare alla sfera del rischio dei clienti russi. Nascondendosi dietro delle società-schermo, utilizzando un intermediario al fine di rimanere anonimi ed evitando quindi ogni relazione diretta, la ricorrente è malvenuta a rimproverare alla banca di non avere interpellato i clienti. Tanto più che la ricorrente non ha mai sostenuto che le firme fossero state falsificate in modo tale da destare sospetti.
6.3 Visto quanto esposto, la conclusione del giudizio impugnato secondo cui la convenuta non ha commesso negligenze gravi non viola il diritto federale. L'art. 100 cpv. 1 CO non le impedisce pertanto di prevalersi della manleva per ordini impartiti tramite telefax.
7. La Corte cantonale ha sviluppato una motivazione alternativa, non considerata dal Pretore, per la quale la convenuta poteva in ogni caso opporre in compensazione le proprie pretese di risarcimento del danno causatole illecitamente dalla dipendente F._. La parte finale del ricorso è volta contro questa motivazione. L'infondatezza delle censure mosse contro la motivazione principale della sentenza impugnata rende però superfluo esaminare la correttezza di quella alternativa (cfr. DTF 132 III 555 consid. 2.3 e rif.).
8. Ne segue che il ricorso, nella misura in cui è ammissibile, dev'essere respinto.
Le spese giudiziarie e le ripetibili seguono la soccombenza: esse sono pertanto poste a carico della ricorrente (art. 66 cpv. 1 e 68 cpv. 1 LTF).
Per questi motivi, il Tribunale federale pronuncia:
1. Il ricorso in materia civile, nella misura in cui è ammissibile, è respinto.
2. Le spese giudiziarie di fr. 20'000.-- sono poste a carico della ricorrente, la quale rifonderà all'opponente fr. 22'000.-- per ripetibili della sede federale.
3. Comunicazione ai patrocinatori delle parti e alla Seconda Camera civile del Tribunale d'appello del Cantone Ticino.