Binance ha sospeso temporaneamente i prelievi dopo un presunto furto di 6,3 miliardi di dollari in criptovalute attribuito a una rete legata alla Corea del Nord. Gli aggiornamenti del 30 ottobre indicano che circa 3 miliardi di dollari in attività digitali coinvolte nell’attacco sono stati congelati grazie alla collaborazione con altre società del settore. La piattaforma ha avviato un’indagine interna e annunciato di aver predisposto oltre 6,3 miliardi di dollari di risorse aziendali per coprire le perdite, assicurando la tutela dei clienti.
Dietro l’operazione ci sarebbe TraderTraitor, una rete associata al gruppo Lazarus, da tempo collegato alle attività informatiche del regime di Kim Jong-un. L’importo e l’attribuzione agli hacker nordcoreani richiedono però conferme indipendenti: se accertato, il furto segnerebbe un salto di scala nelle operazioni criminali attribuite a Pyongyang.
L’attacco a Binance e il possibile accesso degli hacker nordcoreani Binance
L’intrusione sarebbe durata appena 20 minuti, dopo una preparazione cominciata circa 36 ore prima. Gli hacker avrebbero effettuato tre piccoli trasferimenti attraverso Tornado Cash, un servizio progettato per rendere più difficile seguire i movimenti dei fondi sulla blockchain. Le operazioni sarebbero servite a verificare gli accessi prima del trasferimento principale.
Le prime verifiche avrebbero individuato un possibile punto d’ingresso nel computer compromesso di un ingegnere addetto allo sviluppo e alla gestione dei sistemi. L’indagine avrebbe identificato ulteriori vulnerabilità, senza far emergere, al momento, prove della sottrazione delle chiavi private dei portafogli digitali.
La tecnica ricorderebbe quella impiegata contro Bybit nel 2025. Le somiglianze operative possono costituire indizi investigativi, ma non dimostrano da sole chi abbia eseguito l’attacco. Le analisi di TRM Labs, Chainalysis ed Elliptic indicano una responsabilità nordcoreana con diversi livelli di confidenza: l’attribuzione non equivale a una conclusione giudiziaria definitiva. Restano da accertare il coordinamento del furto e la quota recuperabile.
Il reclutamento e l’addestramento delle unità informatiche
La struttura informatica nordcoreana non sarebbe composta da criminali autonomi, ma sarebbe organizzata e sostenuta dall’apparato statale. Secondo le stime dell’intelligence sudcoreana, circa 8.400 persone, compreso il personale di supporto, sarebbero coinvolte nell’organizzazione della guerra cibernetica.
Una parte delle attività sarebbe riconducibile all’Ufficio 121, legato ai servizi di intelligence di Pyongyang e specializzato nelle operazioni informatiche. Il reclutamento comincerebbe a scuola, selezionando gli studenti più dotati in matematica e informatica.
Tra gli istituti di formazione figura il Moranbong College, dove la preparazione tecnica sarebbe affiancata dall’addestramento militare. Gli specialisti più promettenti verrebbero inviati anche in Cina e Russia per perfezionarsi. Le unità sarebbero impiegate non soltanto nei furti, ma anche nello spionaggio, nel sabotaggio e nelle operazioni contro infrastrutture digitali strategiche.
Le sanzioni e le risorse per i programmi militari
La Corea del Nord è sottoposta da anni alle sanzioni delle Nazioni Unite, introdotte e rafforzate in risposta ai programmi nucleari e missilistici. Le restrizioni limitano il commercio e l’accesso alle risorse finanziarie internazionali: ottenere valuta estera attraverso canali clandestini rappresenta quindi un interesse strategico per il regime.
Le criptovalute hanno assunto un ruolo centrale perché, dopo il furto, possono essere trasferite attraverso numerosi portafogli e servizi, complicando il lavoro degli investigatori. Nel 2025 gli hacker nordcoreani avrebbero sottratto circa 2 miliardi di dollari, una quota rilevante dei furti globali di criptovalute.
Il possibile finanziamento dei programmi militari attraverso il crimine informatico preoccupa da anni le intelligence occidentali. Questo collegamento non implica che ogni dollaro rubato sia destinato direttamente all’acquisto di armi: le attività illecite possono procurare risorse a un regime economicamente isolato. Secondo gli investigatori, gli attacchi a piattaforme private possono avere conseguenze economiche globali e favorire indirettamente gli interessi strategici di uno Stato. Per Pyongyang, operare a distanza permette anche di aggirare parte degli ostacoli dell’isolamento.
Da Sony Pictures al precedente di Bybit
L’attacco a Sony Pictures del 2014 provocò la diffusione di documenti riservati, informazioni personali e materiali cinematografici nel periodo dell’uscita di The Interview, commedia su un immaginario attentato contro Kim Jong-un. Negli anni successivi, le operazioni attribuite alla Corea del Nord si sono concentrate anche sulla finanza e sulle criptovalute, affiancando alla funzione di spionaggio e intimidazione politica quella di raccolta di risorse economiche.
L’FBI ha indicato nel febbraio 2025 TraderTraitor come responsabile del furto da circa 1,5 miliardi di dollari contro Bybit. Il presunto furto ai danni di Binance supererebbe di oltre quattro volte quella cifra.