In questo articolo Indice dei contenuti 3 sezioni
Porta la firma della Corea del Nord il colossale furto di criptovalute a Binance, il più grande mai registrato nella storia degli asset digitali. L’FBI ha confermato ufficialmente che dietro il colpo da circa 5,4 miliardi di euro c’è TraderTraitor, gruppo di hacker sostenuto dal regime di Pyongyang e conosciuto anche con i nomi di Lazarus Group, Jade Sleet e APT38. Si tratta di una sigla già associata a numerosi attacchi contro il mondo crypto, e l’attribuzione arriva dopo che le società di analisi blockchain TRM Labs e Chainalysis avevano già indicato la stessa pista.
Nell’avviso di sicurezza pubblicato sabato, il Federal Bureau of Investigation ha spiegato che la Repubblica Popolare Democratica di Corea è responsabile della sottrazione di oltre 5 miliardi di euro in asset virtuali dall’exchange Binance, avvenuta intorno al 29 ottobre 2026. Una conferma che chiude il cerchio sulle ipotesi circolate nei giorni successivi all’incidente.
I dettagli
Secondo quanto ricostruito dalla stessa piattaforma, tutto è partito dal laptop compromesso di un ingegnere DevOps. Attraverso quel computer gli aggressori sono riusciti ad accedere a un container di servizio e a inviare transazioni di prelievo non autorizzate. Il bottino complessivo si aggira intorno ai 5,5 miliardi di euro in criptovalute distribuite su dieci blockchain diverse, con la maggior parte dei fondi spostata in appena 20 minuti.
L’FBI ha osservato che i pirati informatici stanno convertendo gli asset rubati soprattutto in Ethereum (ETH), e si aspetta che il denaro venga poi riciclato tramite piattaforme di finanza decentralizzata (DeFi) e servizi di scambio istantaneo di criptovalute. Per questo il Bureau, insieme al Secret Service statunitense e alla divisione investigativa criminale dell’IRS, sta chiedendo a exchange, operatori blockchain e altri fornitori di servizi legati agli asset virtuali di bloccare le transazioni collegate agli indirizzi usati per il riciclaggio. L’agenzia ha anche diffuso un elenco di 628 indirizzi associati al furto, di cui 608 su Ethereum, 19 su Bitcoin e uno su Solana.
Il metodo TraderTraitor e i precedenti
Gli hacker di TraderTraitor hanno una lunga storia di attacchi contro aziende del settore crypto e i loro dipendenti. Tra i colpi attribuiti ai nordcoreani figurano il furto da circa 335 milioni di euro ai danni di Bitget a settembre 2026, l’attacco a Drift da circa 240 milioni ad aprile 2026, quello a Bybit da circa 1,3 miliardi a febbraio 2025 e il furto a DMM Bitcoin da circa 265 milioni a maggio 2024.
Una delle tattiche preferite è la campagna di lungo corso chiamata Operation DreamJob, in cui i criminali si fingono reclutatori e avvicinano sviluppatori software e dipendenti del settore con false offerte di lavoro, convincendoli a installare malware. Nel caso di DMM Bitcoin, per esempio, gli aggressori si sono spacciati per un selezionatore su LinkedIn e hanno spinto un dipendente della società di wallet Ginco a eseguire codice Python malevolo camuffato da test preliminare all’assunzione. Anche il colpo a Bybit è nato dal computer compromesso di uno sviluppatore di Safe{Wallet}, che ha permesso di accedere alla piattaforma e manipolare una richiesta di transazione legittima, dirottando circa 1,3 miliardi di euro verso portafogli controllati dagli hacker.
Ancora più elaborata l’operazione contro Drift, durata sei mesi. Persone che si presentavano come rappresentanti di una società di trading hanno incontrato di persona alcuni collaboratori del progetto durante diverse conferenze di settore, costruendo rapporti nel tempo. Si ritiene che i dispositivi dei dipendenti siano stati infettati tramite un repository di codice malevolo oppure un’applicazione TestFlight.
La ripresa dei prelievi e i rimborsi
Sul fronte operativo, Binance ha comunicato di essere pronta a riattivare la prima fase dei prelievi il 1 novembre tra le 06:00 e le 09:00 UTC, mentre prosegue il lavoro per ripristinare i servizi e coprire gli asset sottratti. L’exchange afferma di aver già coperto circa il 95% dell’importo colpito, in crescita rispetto al 90% indicato nell’aggiornamento precedente. Il restante 5% riguarda token meno liquidi che la piattaforma continua ad acquistare sul mercato e attraverso canali fuori borsa.
Secondo l’azienda i saldi in BTC, ETH, USDT, BNB, SOL, USDC, XRP, EUR 1, RLUSD e ZEC sono interamente coperti, e i servizi di deposito non hanno subito conseguenze. Binance ha ribadito che sosterrà da sola l’impatto economico dei fondi rubati e che le perdite non ricadranno sugli utenti. La società ha definito la ripresa dei prelievi un traguardo importante, precisando che continuerà a rafforzare le proprie misure di sicurezza, a completare il processo di recupero e a fornire aggiornamenti man mano che il lavoro andrà avanti.
Fonte: TecnoAndroid