Il più grande furto di criptovalute della storia potrebbe avere una firma ben precisa: quella degli hacker al servizio del regime nordcoreano. Un’operazione che riporta al centro dell’attenzione il ruolo della guerra cibernetica nel finanziamento degli apparati militari degli Stati sottoposti a sanzioni internazionali.
Sei miliardi e trecento milioni di dollari sottratti in un’operazione informatica, gran parte dei quali nell’arco di appena venti minuti. È quanto accaduto il 29 ottobre alla piattaforma Binance, il più grande operatore mondiale nello scambio di criptovalute. Un attacco senza precedenti per dimensioni, che potrebbe essere stato condotto da un gruppo di hacker riconducibile all’apparato di intelligence della Corea del Nord.
Non si tratta soltanto dell’ennesimo episodio di criminalità informatica. Se le attribuzioni formulate dagli analisti specializzati troveranno ulteriori conferme, saremo di fronte a una delle più rilevanti operazioni di acquisizione illecita di risorse finanziarie mai realizzate attraverso strumenti cibernetici, con implicazioni che vanno ben oltre la sicurezza dei mercati digitali.
Secondo le ricostruzioni della società statunitense TRM Labs, specializzata nell’analisi delle transazioni blockchain, gli aggressori hanno trasferito circa 6,36 miliardi di dollari dai portafogli digitali di Binance verso indirizzi sotto il proprio controllo, operando contemporaneamente su dieci diverse reti blockchain. L’azione sarebbe stata preceduta da almeno trentasei ore di preparazione, durante le quali sarebbero state effettuate operazioni preliminari destinate a verificare l’efficacia degli strumenti predisposti.
Un’operazione, dunque, pianificata con attenzione, nella quale la velocità di esecuzione ha rappresentato un elemento determinante.
Binance ha confermato ufficialmente la compromissione dei propri portafogli operativi, precisando che le prime verifiche avevano individuato nel computer di un ingegnere informatico una possibile via d’accesso. Successivamente, la società ha riferito di avere scoperto ulteriori punti di compromissione. La ricostruzione tecnica definitiva non è ancora disponibile.
Un aspetto appare particolarmente significativo: secondo gli analisti, gli aggressori sarebbero riusciti a ottenere autorizzazioni digitali valide, utilizzandole per impartire disposizioni di trasferimento apparentemente legittime. In sostanza, non sarebbe stata necessariamente violata la tecnologia blockchain, quanto piuttosto il sistema attraverso il quale vengono autorizzate le operazioni finanziarie.
È una distinzione fondamentale. Anche un’infrastruttura tecnologicamente avanzata può diventare vulnerabile quando viene compromesso il sistema umano e organizzativo che ne governa il funzionamento.
Ma chi si nasconde dietro questo attacco? TRM Labs e Chainalysis, due società tra le più autorevoli nel settore della blockchain intelligence, hanno indicato il gruppo TraderTraitor, riconducibile alla Corea del Nord, come probabile responsabile dell’operazione, esprimendo un elevato livello di confidenza nelle rispettive valutazioni.
L’attribuzione non si basa esclusivamente sulle analogie con precedenti attacchi. Chainalysis ha individuato collegamenti diretti tra alcuni fondi sottratti a Binance e quelli provenienti dall’attacco contro la piattaforma Bitget, avvenuto nel settembre scorso e già attribuito ad operatori nordcoreani. I capitali provenienti dalle due operazioni sarebbero confluiti in indirizzi digitali comuni, rafforzando l’ipotesi dell’impiego di una medesima infrastruttura criminale.
Naturalmente, un’attribuzione di intelligence non equivale a un accertamento giudiziario. Tuttavia, la convergenza tra indicatori tecnici, modalità operative e collegamenti finanziari costituisce un insieme di elementi difficilmente trascurabile.
Il nome TraderTraitor, del resto, non è nuovo agli organismi investigativi occidentali. Nel febbraio 2025, l’FBI aveva attribuito a questa struttura il furto di circa 1,5 miliardi di dollari ai danni della piattaforma Bybit. Già nel dicembre 2024, un’indagine condotta congiuntamente dalle autorità statunitensi e giapponesi aveva individuato nello stesso gruppo i responsabili della sottrazione di 308 milioni di dollari alla società giapponese DMM Bitcoin.
In quest’ultimo caso, gli investigatori avevano ricostruito un’operazione iniziata attraverso un falso reclutatore professionale, che aveva avvicinato un dipendente di una società informatica inducendolo a eseguire codice malevolo presentato come prova di selezione lavorativa. La compromissione aveva successivamente consentito agli aggressori di manipolare operazioni finanziarie legittime.
È un modello operativo che rivela una caratteristica ricorrente delle capacità cibernetiche nordcoreane: la combinazione tra ingegneria sociale, infiltrazione informatica, acquisizione di credenziali e successivo sfruttamento delle infrastrutture finanziarie.
La questione assume però una dimensione completamente diversa quando si considera la natura del regime che potrebbe essere dietro queste operazioni.
La Corea del Nord è sottoposta da anni a un articolato sistema di sanzioni internazionali destinato, tra l’altro, a ostacolare il finanziamento dei programmi nucleari e missilistici. Le restrizioni hanno limitato le possibilità di accesso ai mercati finanziari internazionali e alle fonti convenzionali di valuta estera.
In questo contesto, le operazioni cibernetiche costituiscono una risorsa strategica. Non soltanto strumenti di spionaggio o di sabotaggio, ma potenziali meccanismi di acquisizione di capitali utilizzabili per sostenere le priorità economiche e militari del regime.
Il Dipartimento del Tesoro statunitense ha ripetutamente denunciato l’impiego, da parte di Pyongyang, di reti internazionali di operatori informatici incaricati di infiltrarsi in aziende straniere attraverso false identità, procurarsi accessi privilegiati e generare risorse finanziarie destinate allo Stato nordcoreano.
Appena il 28 ottobre, un giorno prima dell’attacco a Binance, Washington aveva annunciato nuove sanzioni contro dieci individui e un’organizzazione coinvolti in queste attività. Tra i soggetti individuati figuravano intermediari operanti in Russia, impegnati anche nella conversione e nel trasferimento di criptovalute per conto di strutture nordcoreane.
La vicinanza temporale tra i due avvenimenti non dimostra alcun collegamento operativo. Evidenzia, tuttavia, quanto il fenomeno sia ormai considerato una componente strutturale delle attività attraverso le quali Pyongyang cerca di aggirare l’isolamento economico internazionale.
Secondo una valutazione pubblicata da TRM Labs, dal 2017 gli hacker riconducibili alla Corea del Nord avrebbero sottratto complessivamente circa 12,8 miliardi di dollari in criptovalute, includendo nella stima anche l’ultimo attacco a Binance. Una cifra impressionante, che fotografa la crescente rilevanza dell’acquisizione illecita di risorse digitali nell’economia del regime.
Occorre naturalmente distinguere il valore delle criptovalute sottratte da quello effettivamente disponibile per gli aggressori. Nel caso Binance, la tempestiva collaborazione tra operatori del settore e società emittenti di stablecoin ha consentito di congelare asset per circa tre miliardi di dollari. Secondo TRM Labs, tuttavia, gli aggressori conserverebbero il controllo di oltre 2,4 miliardi in Bitcoin ed Ethereum, attività che non possono essere bloccate direttamente da un soggetto emittente.
Il congelamento, inoltre, non equivale automaticamente al recupero delle somme. E il possesso di criptovalute non significa che queste siano già state convertite in risorse finanziarie effettivamente utilizzabili.
È proprio su questo terreno che si giocherà la fase successiva dell’operazione: l’occultamento della provenienza dei capitali, il loro trasferimento attraverso diversi circuiti digitali e l’eventuale conversione mediante intermediari finanziari.
Un processo nel quale le capacità di blockchain intelligence assumeranno un ruolo decisivo, consentendo agli organismi investigativi di seguire il movimento dei capitali e individuare eventuali punti di contatto tra gli aggressori e le reti finanziarie internazionali.
L’aspetto strategicamente più rilevante è però un altro. Per uno Stato che dispone di capacità militari significative ma incontra difficoltà nell’accesso alle risorse finanziarie internazionali, la guerra cibernetica può rappresentare uno strumento di compensazione delle proprie debolezze economiche.
Un apparato relativamente ristretto di specialisti informatici, sostenuto da infrastrutture clandestine e reti di intermediazione finanziaria, può teoricamente produrre risultati economici che richiederebbero, attraverso le attività commerciali tradizionali, investimenti e tempi enormemente superiori.
La distinzione tra attività criminale, intelligence e sicurezza nazionale tende così ad assottigliarsi. Il furto informatico non costituisce più necessariamente un’operazione finalizzata all’arricchimento individuale, ma può diventare parte di una strategia statale di acquisizione di risorse.
Non significa che sia già dimostrato che i fondi sottratti a Binance abbiano raggiunto il regime nordcoreano o siano stati destinati ai suoi programmi militari. Significa, piuttosto, che esiste un modello operativo documentato nel quale le capacità offensive cibernetiche vengono impiegate per generare entrate a beneficio dello Stato.
Se l’attribuzione a TraderTraitor sarà confermata, l’attacco del 29 ottobre rappresenterà un ulteriore salto di qualità di questo modello. Porrà anche una questione che riguarda direttamente la sicurezza occidentale: fino a che punto le infrastrutture finanziarie digitali, progettate per consentire la movimentazione rapida e globale dei capitali, sono realmente preparate a confrontarsi con apparati cibernetici che operano al servizio di Stati ostili?
Perché il problema non riguarda soltanto i miliardi sottratti a Binance o le vulnerabilità di una piattaforma privata. Riguarda la possibilità che uno Stato sottoposto a sanzioni internazionali riesca, attraverso un’operazione informatica di pochi minuti, ad acquisire risorse potenzialmente utilizzabili per sostenere la propria capacità militare.
Ed è questa, molto più del valore economico del furto, la vera dimensione strategica dell’operazione.
