Un attacco senza precedenti a Binance
Questa mattina, un massiccio incidente di sicurezza ha fatto svanire circa 6.360 milioni di dollari dalle carte di Binance, il più grande scambio di criptovalute al mondo. Sebbene non sia ancora stata confermata ufficialmente, diversi indizi e coincidenze puntano a Pyongyang come responsabile.
Il danno totale è stato stimato intorno ai 6.300 milioni di dollari; la cifra avrebbe potuto crescere ulteriormente se non fosse stata parzialmente congelata: Tether ha bloccato circa 1.600 milioni, mentre Circle ha trattenuto più di 800 milioni in USDC.
Questo furto supera di quattro volte il precedente record, quello di Bybit nel 2025, dove erano scomparsi circa 1.500 milioni di dollari in criptovalute.
Chi è dietro l’attacco?
Secondo la società di sicurezza informatica TRM Labs, l’autore è il gruppo “TraderTraitor”, legato alla rete di cyber‑criminali Lazarus. TRM Labs afferma che “varie caratteristiche di questo attacco coincidono con rapine precedenti attribuite alla Corea del Nord”. Altri ricercatori hanno confermato la stessa ipotesi, sebbene l’attribuzione resti preliminare e il FBI non abbia ancora rilasciato dichiarazioni ufficiali.
Il caso Bybit e la continuità delle operazioni
Nel febbraio 2025, Bybit ha subito un furto di 1.500 milioni di dollari in Ether. Il FBI ha attribuito l’attacco alla Corea del Nord pochi giorni dopo. I ladri hanno distribuito parte del bottino tra migliaia di indirizzi su diverse blockchain per riciclarlo.
Gli investigatori hanno rilevato che alcune delle stesse indirizzazioni usate nell’attacco a Binance erano state impiegate anche nel caso Bybit, suggerendo una chiara connessione tra i due furti.
Secondo Chainalysis, gli hacker legati al regime nordcoreano hanno rubato circa 2.020 milioni di dollari in criptovalute solo nel 2025, un aumento del 51 % rispetto all’anno precedente, portando il totale storico a 6.750 milioni di dollari.
Nel 2021, Washington aveva già accusato tre programmatori militari nordcoreani di aver sottratto 1.300 milioni di dollari.
Strumenti avanzati: crittografia post‑quantistica
Kaspersky ha documentato l’operazione “FlashHole”, attiva almeno dal luglio 2025, rivolta a imprese sudcoreane nei settori software, costruzione e telecomunicazioni. Gli aggressori hanno usato un curriculum falsificato con una foto probabilmente generata da IA, una tecnica semplice ma efficace per attacchi di phishing.
La novità più sorprendente è l’uso da parte di Lazarus di ML‑KEM‑1024, un algoritmo di crittografia post‑quantistica, per proteggere il download di nuovi programmi maligni. Sojun Ryu, ricercatore di Kaspersky, ha dichiarato a El País che questa tecnologia “è considerata la crittografia del futuro, progettata per rimanere sicura anche contro computer quantistici”.
ML‑KEM è uno dei tre standard finalizzati dal NIST nell’agosto 2024. Poiché nessun computer quantistico attuale è in grado di violare il cifrario, Lazarus si sta preparando a un rischio futuro, dimostrando un livello di conoscenza e specializzazione molto avanzato.
Finanziamento del regime attraverso il cyber‑crimine
La direttrice dell’Intelligence Nazionale degli Stati Uniti, Tulsi Gabbard, ha dichiarato al Congresso che i furti di criptovalute contribuiscono a finanziare il regime di Kim Jong‑un e i suoi programmi di armi strategiche. Un rapporto delle Nazioni Unite del 2024 ha stimato che il riciclo di criptovalute potrebbe fornire fino alla metà delle valute estere che il Paese riceve.
Oltre ai furti informatici, la Corea del Nord ha sviluppato una fonte di reddito più discreta: il telelavoro illegale. Informatici nordcoreani ottengono impieghi remoti con identità rubate, utilizzando laptop aziendali ospitati in case di complici negli Stati Uniti, le cosiddette “farms di laptop”.
Il Dipartimento di Giustizia degli USA ha descritto uno schema che ha colpito più di 70 aziende, generando circa 3 milioni di dollari. In Texas, l’FBI ha perquisito oltre 40 abitazioni, sequestrando circa 187 dispositivi.
Il ruolo del FBI nella lotta contro le reti nordcoreane
Negli ultimi anni, il FBI ha costantemente smantellato reti di norcoreani che si presentano come professionisti IT per ottenere lavori remoti negli Stati Uniti. Le indagini hanno rivelato una struttura organizzata, con gruppi di reclutamento, addestramento tecnico e un sistema di pagamento in criptovalute.
Le operazioni di smantellamento hanno evidenziato come la Corea del Nord utilizzi il cyber‑crimine non solo come fonte di finanziamento, ma anche come mezzo per acquisire tecnologie, conoscenze e capacità operative avanzate, creando un circolo virtuoso di autofinanziamento e potenziamento delle proprie capacità militari e di sorveglianza.
Conclusioni: la cyber‑guerra come vulnerabilità degli Stati Uniti
Gli Stati Uniti, pur avendo costruito l’esercito più potente del mondo, vedono nella cyber‑guerra il loro punto più debole. La capacità della Corea del Nord di combinare furti di criptovalute, tecnologie post‑quantistiche e lavoro remoto illegale dimostra una strategia di autofinanziamento sofisticata e in rapida evoluzione.
La comunità internazionale deve rafforzare la cooperazione in materia di cyber‑sicurezza, monitorare le attività delle reti Lazarus e adottare standard crittografici avanzati per contrastare le minacce emergenti. Solo così sarà possibile limitare il flusso di risorse che alimenta il regime di Pyongyang e ridurre il rischio di ulteriori attacchi su scala globale.