Un’offensiva fulminea colpisce Binance, la più grande piattaforma di criptovalute al mondo. Bloccata la metà del bottino in stablecoin, mentre spuntano i legami con l’unità d’élite della Corea del Nord.
In molti lo hanno già definito il “furto del secolo”, perché l’hackeraggio occorso nella tarda serata di giovedì ai danni di Binance, la più grande piattaforma di scambio di criptovalute del mondo, ha permesso agli hacker di spostare circa 6,3 miliardi di dollari da portafogli di criptovalute, e i primi sospetti sembrano già condurre ad un attore statale: la Corea del Nord. Ma riavvolgiamo il filo, perché quello di giovedì sera è senza dubbio alcuno il più grande furto della storia delle criptovalute. Secondo le indagini preliminari di Binance, il punto di accesso sarebbe stato il computer portatile di un ingegnere del software dell’azienda. I criminali informatici sono riusciti a compromettere il dispositivo e, da lì, a infiltrarsi nei sistemi interni per autorizzare i prelievi. La fase esecutiva del colpo è stata fulminea, con la maggior parte dei fondi che è stata trasferita in circa 20 minuti, attraverso 10 blockchain diverse. A fronte di un bottino stimato in 6,3 miliardi di dollari, Binance è riuscita a congelare circa 3 miliardi grazie alla collaborazione degli emittenti di stablecoin, come Tether e Circle.
Nel dettaglio, Tether ha bloccato quasi 1,6 miliardi di USDT, Circle circa 800 milioni di USDC e Ripple circa 200 milioni. Questi asset, essendo centralizzati, possono infatti essere bloccati dagli emittenti. La parte rimanente, circa 3,3 miliardi di dollari, era composta da criptovalute native e decentralizzate come Bitcoin ed Ether, che non hanno un’autorità centrale in grado di bloccarle. Questi fondi sono quindi “scomparsi” e stanno quasi certamente venendo attivamente riciclati. L’attribuzione fatta dalle principali testate specializzate è per l’appunto alla Corea del Nord, un’accusa che si basa su solide analisi di società di intelligence blockchain. TRM Labs ha attribuito l’attacco con «elevata attendibilità» a TraderTraitor, l’unità d’élite di hacker nordcoreana associata al Lazarus Group, un programma di cyberguerra direttamente collegato al Bureau generale di ricognizione (il servizio segreto estero nordcoreano) che opera come una vera e propria macchina per generare valuta estera, eludere le sanzioni e finanziare programmi strategici come quello nucleare.
Le analogie con il precedente colpo a Bybit
Le prove addotte a supporto della tesi sono di natura comportamentale, gli esperti hanno notato infatti che diverse caratteristiche dell’attacco coincidono con furti precedenti attribuiti alla Corea del Nord, incluso il colpo da 1,5 miliardi di dollari ai danni di Bybit nel febbraio 2025. Le tecniche di riciclaggio, l’infrastruttura utilizzata e il modus operandi sono considerati una “firma” del gruppo. Se il responsabile è effettivamente il governo nordcoreano, i proventi del furto verranno incanalati direttamente nelle casse dello Stato. Il regime di Pyongyang, stretto tra sanzioni internazionali e isolamento finanziario, ha fatto del furto di criptovalute una fonte di reddito sistemica.
Secondo un rapportato presentato a gennaio dalle Nazioni Unite, i proventi di queste attività finanziano i programmi di armamenti, inclusi quelli nucleari e missilistici. L’Office of the Director of National Intelligence statunitense valuta che la Corea del Nord ottenga addirittura 1 miliardo di dollari all’anno attraverso crimini finanziari per sostenere lo sviluppo di armi. Si tratta quindi di una vera e propria “specialità della casa”, tanto che, sempre secondo il dossier delle Nazioni Unite sopracitato, gli hacker nordcoreani avrebbero sottratto almeno 2,8 miliardi di dollari in criptovalute tra gennaio 2024 e settembre 2025, pari a circa il 60% del totale globale di criptovalute rubate. Una vera e propria “arte criminale”, perché oltre ai più comuni crimini cyber, gli hacker nordcoreani sono arrivati anche a tentare di compromettere la rete interna della Banca centrale del Bangladesh.
I precedenti storici della rete SWIFT e il caso Sony
Correva il 2016, gli hacker inviarono 35 ordini di pagamento fraudolenti attraverso il sistema SWIFT (la rete di messaggistica usata dalle banche per i trasferimenti internazionali). L’ordine era di trasferire circa 1 miliardo di dollari dal conto della banca centrale del Bangladesh presso la Federal Reserve di New York verso conti in Asia. Il colpo non andò a buon fine, e il bottino fu di “soli” 81 milioni. Un altro caso eclatante fu quello che vide vittima Sony Pictures nel 2014, la quale stava per distribuire il film satirico “The Interview“, una commedia in cui due giornalisti sono reclutati dalla CIA per assassinare il leader nordcoreano Kim Jong-un. Il regime di Pyongyang condannò il film e minacciò ritorsioni.
LEGGI Kim Jong Un svela il nuovo enorme lanciarazzi: capacità nucleare
Quando la Sony si rifiutò di fermare la distribuzione, partì l’attacco. Un gruppo che si faceva chiamare “Guardians of Peace” (GOP) lanciò l’offensiva. I malware utilizzati erano di tipo “wiper“: progettati per distruggere i sistemi informatici della Sony. I virus hanno cancellato dati, disattivato i servizi di rete e reso inutilizzabili migliaia di computer. L’attacco causò danni enormi e la Sony fu costretta a disconnettere l’intera rete per giorni, mentre i criminali pubblicarono online film non ancora usciti, script, dati personali dei dipendenti e email interne imbarazzanti. Insomma, il governo nordcoreano sembra ormai aver fatto un netto salto di qualità nel campo del furto cibernetico.
