Roma, 5 nov. (askanews) – I grandi furti che fanno la storia non avvengono solo nei treni in corsa o in inespugnabili caveau di banche. Anzi, sempre più spesso nel mirino ci sono impalpabili pacchetti di dati. Uno dei casi che pare destinato a entrare nei manuali è quello del furto alla piattaforma digitale di criptovalute Binance e a perpetrarlo sarebbero stati hacker legati a un’entità statale della Corea del Nord.
Si è trattato di un’operazione preparata per mesi, condotta attraverso falsi colloqui di lavoro, software manipolati e l’infiltrazione nei sistemi informatici di una delle maggiori piattaforme mondiali crypto. Il furto di asset digitali per un valore di circa 5,64 miliardi di euro ai danni di Binance, avvenuto il 29 ottobre scorso, rappresenta il più grande attacco informatico di questo genere mai registrato.
Secondo l’Fbi, dietro l’operazione ci sarebbe TraderTraitor, un gruppo di hacker riconducibile all’apparato statale nordcoreano. L’episodio riporta l’attenzione su una delle principali fonti di finanziamento clandestino del regime di Kim Jong Un: il furto sistematico di criptovalute, i cui proventi, secondo gli organismi internazionali che monitorano le sanzioni contro Pyongyang, contribuiscono anche allo sviluppo dei programmi nucleari e missilistici.
La ricostruzione pubblicata da Binance rivela un attacco articolato in diverse fasi, cominciato già nel giugno scorso, quando un ingegnere della società scaricò una versione manipolata di un programma mentre cercava di installare uno strumento di intelligenza artificiale per la programmazione. Il sistema di sicurezza aziendale individuò l’anomalia, il computer venne sostituito e le credenziali modificate. Gli aggressori, tuttavia, erano riusciti a raccogliere informazioni sulle responsabilità dell’ingegnere e sui suoi colleghi che gestivano i portafogli digitali della piattaforma.
A settembre un secondo dipendente venne contattato da un falso reclutatore attraverso una piattaforma professionale, sostenne due colloqui di lavoro per una società inesistente e fu indotto a scaricare sul computer aziendale un programma apparentemente destinato a una prova di selezione, che conteneva invece codice malevolo.
La fase decisiva dell’infiltrazione risale al 20 ottobre, quando gli aggressori, sfruttando il computer compromesso e uno strumento interno di intelligenza artificiale, riuscirono ad accedere ai sistemi di altri due ingegneri, impossessandosi delle credenziali necessarie per intervenire sulle infrastrutture dei portafogli digitali. Il 29 ottobre scattò l’operazione vera e propria: in appena quattro minuti furono trasferiti verso un indirizzo controllato dagli hacker oltre 233 milioni di XRP, seguiti da ingenti quantità di altre criptovalute, fra cui Bitcoin, Solana ed Ethereum. Le operazioni non autorizzate proseguirono per quasi quattro ore. La particolare tecnica impiegata per delegare le autorizzazioni alle transazioni sulla blockchain Ethereum consentì agli aggressori di continuare a spostare fondi anche dopo la sospensione dei normali prelievi disposta dalla società.
Binance è riuscita a congelare o intercettare asset per circa 2,53 miliardi di euro, mentre si è impegnata a coprire integralmente con risorse proprie le perdite degli utenti. Al 3 novembre, secondo la società, il 98% degli asset interessati era stato reintegrato nelle riserve, anche se questo non significa che la stessa quota dei fondi sottratti sia stata recuperata. L’Fbi, che il 31 ottobre ha attribuito formalmente l’attacco a TraderTraitor, ha lanciato un allarme alle società del settore finanziario digitale per bloccare il riciclaggio delle criptovalute rubate. Gli investigatori hanno osservato la conversione di parte dei proventi in Ethereum e il possibile successivo ricorso a servizi finanziari decentralizzati per renderne più difficile la tracciabilità. Secondo Chainalysis, società specializzata nell’analisi delle transazioni sulla blockchain, un elemento a sostegno dell’attribuzione è la commistione di fondi provenienti dal furto a Binance con quelli sottratti in un precedente attacco alla piattaforma Bitget, anch’esso attribuito ad hacker nordcoreani.
Pyongyang ha respinto le accuse. Kim Yo Jong, potente sorella del leader nordcoreano e alta dirigente del Partito dei lavoratori (formazione unica del regime), ha definito l’attribuzione dell’Fbi un’ulteriore manifestazione della politica ostile degli Stati uniti nei confronti della Corea del Nord. Nelle dichiarazioni diffuse dall’agenzia ufficiale Kcna, ha inoltre ribadito che non esistono attualmente le condizioni per riprendere il dialogo con Washington, in un momento in cui si torna a ipotizzare un possibile incontro tra Kim Jong Un e il presidente americano Donald Trump.
Secondo Chainalysis, nel 2025 gli hacker riconducibili alla Corea del Nord hanno sottratto complessivamente criptovalute per circa 1,8 miliardi di euro, quasi il 60% del valore dei furti registrati a livello mondiale. Il solo attacco a Binance avrebbe dunque prodotto un bottino più di tre volte superiore a quello attribuito agli operatori nordcoreani nell’intero anno precedente. Un rapporto del 2025 del Multilateral Sanctions Monitoring Team, il meccanismo costituito da undici Paesi, fra cui l’Italia, per vigilare sull’applicazione delle sanzioni internazionali, ha documentato il ruolo delle operazioni informatiche clandestine nel finanziamento delle attività militari nordcoreane, evidenziando i collegamenti con organismi statali sottoposti a sanzioni, fra cui il Reconnaissance General Bureau, il servizio di intelligence militare.
La capacità offensiva di Pyongyang poggia su un apparato organizzato e sostenuto direttamente dallo Stato. Mentre la popolazione nordcoreana non dispone di un libero accesso alla rete internet globale, le autorità selezionano giovani con particolari attitudini matematiche e informatiche e li avviano a percorsi di formazione specializzati. Le unità così costituite operano su più fronti: furti di criptovalute, spionaggio politico e industriale, sottrazione di tecnologie sensibili e raccolta di informazioni su funzionari governativi, ricercatori e giornalisti stranieri. Secondo il Libro bianco della Difesa giapponese del 2026, gli effettivi impiegati nelle strutture nordcoreane dedicate alle operazioni informatiche sarebbero circa 6.800, anche se altre valutazioni sudcoreane hanno indicato numeri superiori.
Il metodo utilizzato contro Binance non rappresenta un caso isolato. Nel maggio 2024, un’operazione attribuita allo stesso gruppo TraderTraitor aveva sottratto circa 274 milioni di euro alla piattaforma giapponese DMM Bitcoin. Secondo una ricostruzione congiunta dell’Fbi e della polizia nipponica, l’attacco era cominciato quando un falso reclutatore aveva contattato su LinkedIn un dipendente della società Ginco, fornitrice di software per la gestione di portafogli digitali. Il dipendente era stato indotto a eseguire un programma malevolo presentato come una prova tecnica per un’assunzione. L’infiltrazione aveva successivamente consentito agli aggressori di manipolare una transazione legittima e sottrarre i fondi. Nel febbraio 2025 un altro attacco, alla piattaforma Bybit, aveva fruttato circa 1,33 miliardi di euro, allora il più grande furto di criptovalute mai registrato.
Un ulteriore elemento di preoccupazione è la crescente sovrapposizione fra le attività degli hacker e quelle dei lavoratori informatici nordcoreani che ottengono impieghi all’estero, talvolta sotto falsa identità. Il rapporto del Multilateral Sanctions Monitoring Team del 2025 documenta l’utilizzo di queste figure sia per procurare valuta estera al regime attraverso attività apparentemente legittime, sia per agevolare operazioni clandestine. Martyn Williams, specialista della Corea del Nord presso lo Stimson Center, sottolinea che si tratta generalmente di gruppi distinti, ma avverte che alcuni lavoratori possono introdurre nei programmi informatici vulnerabilità utilizzabili successivamente per infiltrarsi nelle aziende. La crescente diffusione del lavoro a distanza rende particolarmente difficile verificare l’effettiva identità dei dipendenti.
Le implicazioni vanno oltre le perdite delle società colpite. Un rapporto del gruppo di esperti delle Nazioni unite del 2024 citava la valutazione di uno Stato membro secondo cui circa la metà delle entrate in valuta estera della Corea del Nord derivava da attività informatiche illecite. Un altro Paese stimava che queste operazioni contribuissero al 40% del finanziamento dei programmi di armi di distruzione di massa. Si tratta di stime non verificabili in modo indipendente, che tuttavia danno un quadro della centralità attribuita al settore nell’economia del regime. Secondo Yeji Kim, consulente sulla Corea del Nord di Global Rights Compliance, le operazioni informatiche costituiscono ormai uno strumento fondamentale per aggirare le restrizioni finanziarie internazionali. Kim Jong Un, ricorda l’esperta, ha definito la guerra informatica una ‘spada onnipotente’ accanto alle armi nucleari e ai missili. Oggi, osserva, potrebbe essere proprio questa la spada che finanzia le altre due.
Il caso Binance mette infine in evidenza lo squilibrio fra le capacità di un apparato statale che può dedicare mesi alla preparazione di un singolo attacco e le strutture di sicurezza delle imprese private. Secondo Williams, gli hacker nordcoreani non agiscono alla ricerca di occasioni improvvise, ma pianificano a lungo le operazioni e, una volta raggiunto l’obiettivo, procedono rapidamente alla sottrazione e al riciclaggio dei fondi. Per le società del settore, il rischio non riguarda soltanto le vulnerabilità dei sistemi informatici, ma anche l’affidabilità delle persone che vi hanno accesso. Come sintetizza Yeji Kim, per la Corea del Nord si tratta di ‘un’operazione statale attiva 24 ore su 24, sette giorni su sette’. Per chi si trova dall’altra parte, invece, ‘è un lavoro’.
