Attacchi informatici legati alla Corea del Nord in calo, ma le perdite aumentano del 51% nel 2025

Corea del Nord (DPRK) e gruppi di hacker a essa collegati sono responsabili di oltre 2 miliardi di dollari di perdite nel settore delle criptovalute nel 2025, con un incremento del 51% rispetto all’anno precedente nonostante una riduzione nel numero complessivo di attacchi, secondo il rapporto 2026 sul panorama delle minacce ai servizi finanziari pubblicato da CrowdStrike.

Il rapporto di CrowdStrike

CrowdStrike ha dichiarato:

“I proventi rubati sono quasi certamente riciclati per finanziare i programmi militari del regime. Rispetto al 2024, gli avversari connessi alla DPRK hanno condotto meno campagne ma hanno ottenuto ritorni significativamente più elevati dando priorità a obiettivi di alto valore.”

Il documento mette in evidenza come i gruppi statali abbiano adattato le loro strategie per massimizzare i guadagni: anziché attacchi di massa, si osserva una selezione mirata di obiettivi con alto valore economico. Questa dinamica rende il furto di asset digitali un canale efficace per il finanziamento di attività che aggirano restrizioni internazionali.

Metodi e obiettivi

I gruppi collegati alla DPRK hanno concentrato gli sforzi su progetti Web3 e su exchange di criptovalute, settori in cui i fondi possono essere liquidati e trasferiti con livelli di anonimato maggiori rispetto al sistema finanziario tradizionale. Le tecniche utilizzate spaziano dall’ingegneria sociale e campagne di phishing, all’uso di malware mirato, fino a modalità più sofisticate come l’infiltrazione diretta nei team di sviluppo.

Il rapporto segnala inoltre che alcuni attori operano tramite assunzioni remote o tramite intermediari incontrati di persona, una tattica che facilita la creazione di rapporti di fiducia al fine di inserire codice malevolo o ottenere credenziali sensibili.

Il caso Drift Protocol

Ad aprile il Ethereum Foundation ha identificato circa 100 individui e gruppi riconducibili alla DPRK che avevano preso di mira progetti cripto. Tra i casi più rilevanti, il protocollo decentralizzato Drift Protocol è stato compromesso da lavoratori tecnologici affiliati alla DPRK che avevano stabilito un rapporto con il team di sviluppo dopo incontri in presenza durante una grande conferenza del settore.

Drift Protocol ha dichiarato:

“È importante notare che le persone che si sono presentate in persona non erano cittadini nordcoreani.”

Drift Protocol ha aggiunto:

“Gli attori connessi alla DPRK che operano a questo livello sono noti per impiegare intermediari terzi per costruire rapporti faccia a faccia.”

Durante la collaborazione i malintenzionati hanno distribuito malware che ha compromesso workstation dei developer, causando perdite stimate in 280 milioni di dollari. Il caso sottolinea come gli attacchi possano combinare tecniche tradizionali e operazioni “dal vivo” per aggirare controlli di sicurezza apparentemente robusti.

Parallelamente, l’analista ZachXBT di Onchain ha documentato l’esistenza di gruppi di lavoratori IT legati alla DPRK che, impiegati in aziende tecnologiche estere, avrebbero guadagnato fino a 1 milione di dollari al mese, evidenziando la portata economica e l’organizzazione delle reti impiegate.

Conseguenze e reazioni del settore

Questi sviluppi hanno spinto attori del settore finanziario digitale e istituzioni a rafforzare controlli di sicurezza, pratiche di due diligence e strumenti di analisi on‑chain per tracciare flussi sospetti. Le contromisure includono l’adozione di sistemi di custodia più rigorosi, l’implementazione di policy KYC/AML stringenti e un aumento degli audit di sicurezza per smart contract e infrastrutture critiche.

Dal punto di vista geopolitico, il ricorso alle criptovalute come strumento di elusione delle sanzioni evidenzia la necessità di cooperazione internazionale tra autorità, exchange e fornitori di servizi blockchain per limitare il riciclaggio e interrompere i canali di finanziamento illeciti.

Per gli investitori e per le imprese italiane che operano o considerano esposizioni nel settore Web3, la crescente sofisticazione degli attacchi impone una rivalutazione dei profili di rischio: assicurazioni specifiche, portafogli multi‑firma, segregazione dei fondi e partnership con provider di compliance on‑chain diventano elementi chiave per mitigare potenziali danni.

In sintesi

• L’aumento delle attività criminali collegate alla Corea del Nord (DPRK) amplifica il rischio operativo per progetti Web3 e exchange; gli operatori italiani devono rafforzare i controlli tecnici e contrattuali con fornitori esterni.
• La preferenza per attacchi mirati e ad alto rendimento implica che gli investimenti in audit di sicurezza, assicurazioni per cyber‑furti e soluzioni di custodia avanzata siano diventati costi essenziali per proteggere il capitale.
• La capacità di riciclaggio tramite criptovalute rende urgente per le autorità europee e italiane migliorare la cooperazione internazionale e gli strumenti di tracciamento on‑chain per impedire che fondi illeciti finanziino attività statali vietate.