In questo articolo Indice dei contenuti 3 sezioni
Isolata, impenetrabile e stretta da anni di sanzioni internazionali, la Corea del Nord è riuscita comunque a diventare una vera superpotenza del cybercrimine, e oggi sfrutta gli attacchi informatici come una fonte di denaro per mantenersi in piedi. Il suo commercio estero si limita a una manciata di Paesi amici e quasi nessuno sa cosa accada davvero oltre i suoi confini. Eppure gli hacker che lavorano per Pyongyang si muovono con una disinvoltura che pochi altri gruppi al mondo possono vantare.
Il caso più recente riguarda Binance. Nella notte un incidente di sicurezza ha fatto sparire dai portafogli della piattaforma circa 5,5 miliardi di euro e, anche se manca ancora una conferma ufficiale, diversi indizi e coincidenze portano proprio verso il regime nordcoreano. Non sarebbe certo la prima volta che un colpo del genere viene attribuito a gruppi altamente specializzati che agiscono su ordine dello Stato.
Binance, un furto record con una firma già nota
L’impatto complessivo dell’attacco a Binance si aggira attorno ai 5,5 miliardi di euro e il conto avrebbe potuto essere ancora più salato se metà della somma non fosse rimasta congelata. Tether ha bloccato circa 1,4 miliardi di euro e Circle oltre 700 milioni in USDC. Parliamo di una cifra quattro volte superiore al precedente record nel furto di criptovalute, quello subito da Bybit nel 2025 quando svanirono asset digitali per circa 1,3 miliardi di euro.
La società di sicurezza informatica TRM Labs ha dichiarato di avere un’alta fiducia sul fatto che dietro al colpo ci sia TraderTraitor, un gruppo legato alla rete Lazarus. Diverse caratteristiche dell’operazione ricalcano furti già collegati alla Corea del Nord e anche altri ricercatori puntano nella stessa direzione. Serve comunque prudenza perché l’attribuzione è ancora preliminare e l’FBI non si è espresso ufficialmente.
Il precedente più vicino resta appunto Bybit. Nel febbraio del 2025 sparirono circa 1,3 miliardi di euro in Ether e pochi giorni dopo l’FBI indicò Pyongyang come responsabile. I ladri sparpagliarono parte del bottino tra migliaia di indirizzi su varie blockchain per ripulirlo. Gli investigatori hanno collegato i due episodi perché alcuni indirizzi usati nel nuovo attacco erano già comparsi in quello del 2025.
Numeri in crescita e crittografia del futuro
Secondo le stime di Chainalysis gli hacker vicini al regime hanno sottratto circa 1,8 miliardi di euro in criptovalute soltanto nel 2025, il 51% in più rispetto all’anno prima e il totale più alto mai registrato. La somma accumulata nel tempo arrivava a circa 5,9 miliardi di euro. Già nel 2021 Washington aveva accusato tre programmatori militari di aver rubato l’equivalente di circa 1,1 miliardi di euro.
Kaspersky ha poi documentato l’Operazione FlashHole, attiva almeno da luglio 2025 e rivolta ad aziende sudcoreane del software, delle costruzioni e delle telecomunicazioni. Gli aggressori si sono serviti di un curriculum falso con una foto probabilmente generata dall’intelligenza artificiale, un’esca piuttosto semplice per campagne di phishing. La vera novità è uno strumento di Lazarus che protegge il download di nuovi programmi con ML KEM 1024, un algoritmo di crittografia postquantistica.
Sojun Ryu, ricercatore di Kaspersky, ha spiegato che questa tecnologia viene considerata la crittografia del futuro ed è pensata per restare sicura anche contro i computer quantistici. ML KEM è uno dei tre standard finalizzati dal NIST nell’agosto del 2024. Nessun computer quantistico conosciuto riesce ancora a violare la cifratura attuale, quindi il gruppo si sta proteggendo da un rischio futuro. Per Ryu questo dimostra che gli hacker al servizio di Pyongyang possiedono competenze molto avanzate e usano le tecnologie più all’avanguardia per evitare che i loro codici malevoli finiscano sotto gli occhi di difensori e analisti.
Dove finisce il denaro
La direttrice dell’Intelligence nazionale degli Stati Uniti, Tulsi Gabbard, ha dichiarato davanti al Congresso che questi furti aiutano a finanziare il regime di Kim Jong Un e il suo programma di armi strategiche. Un rapporto dell’ONU del 2024 calcolava che il furto di valute digitali potesse garantire fino alla metà della valuta estera che entra nel Paese.
C’è però un altro canale molto più silenzioso, il lavoro da remoto. Informatici nordcoreani ottengono impieghi a distanza con identità rubate e usano portatili aziendali custoditi nelle case di complici negli Stati Uniti, le cosiddette fattorie di laptop. Il Dipartimento di Giustizia ha descritto uno schema che ha colpito oltre 70 aziende e fruttato circa 2,6 milioni di euro. In Texas l’FBI ha perquisito più di 40 abitazioni e sequestrato circa 187 dispositivi.
Fonte: TecnoAndroid