Corea del Nord non smetterà di rubare criptovalute, avverte TRM

Il furto di 6,3 miliardi di dollari ai danni di Binance ha scosso profondamente il mondo delle criptovalute, segnalando una nuova fase di attacchi informatici sempre più sofisticati e con possibili legami statali.

Un’azienda di intelligence blockchain, TRM Labs, è stata tra le prime a intervenire per bloccare lo spostamento dei fondi e ha pubblicato un rapporto dettagliato nell’immediato seguito dell’incidente. Gli analisti di TRM Labs hanno attribuito l’attacco al gruppo di hacker legato alla Corea del Nord noto come TraitorTrader, citando prove onchain e offchain che hanno definito come “irrefutabili”.

L’attacco è stato collegato anche a un altro episodio rilevante: il furto da 1,5 miliardi di dollari ai danni di Bybit avvenuto a febbraio 2025, che è stato ricondotto allo stesso collettivo.

Modalità dell’intrusione

Secondo la ricostruzione fornita da Binance, gli aggressori si sono presentati come reclutatori per indurre un ingegnere a installare malware sul computer di lavoro. Successivamente hanno sfruttato uno strumento interno basato su AI per ottenere accesso al servizio che firma le transazioni verso i wallet, permettendo così il trasferimento dei fondi.

Risposta coordinata del settore

Ari Redbord, responsabile globale per le politiche e i rapporti con i governi di TRM Labs, ha dichiarato:

“La risposta coordinata dell’industria a questo attacco è stata senza precedenti, ma temo che ne vedremo molti altri.”

La rapidità dell’azione è stata cruciale: Tether ha congelato token per un valore di 971,1 milioni di USDT appena 37 minuti dopo il ‘sweep’ principale. In totale, gli emittenti di stablecoin hanno bloccato asset per circa 2,67 miliardi di dollari, consentendo il recupero immediato di una parte significativa dei fondi sottratti.

Questa capacità di intervenire in tempi brevissimi è stata favorita da un sistema di condivisione delle informazioni lanciato da TRM Labs nel 2025, il Beacon Network, che ha permesso a diverse aziende di coordinare i blocchi dei trasferimenti e gli interventi successivi per il recupero.

Redbord ha spiegato che, rispetto al normale flusso di segnalazioni, nei giorni successivi all’attacco il numero di allarmi generati dal Beacon Network è aumentato in modo esponenziale, arrivando a centinaia o addirittura migliaia di notifiche in poche giornate.

Coordinamento fragile e criticità operative

Nonostante la risposta rapida, persistono criticità organizzative: un’unità per il contrasto dei crimini finanziari, costituita nel 2024 da TRM insieme ad altri attori del settore e nota come T3 Financial Crime Unit, si è sciolta per problemi di coordinamento e lentezza nelle risposte. Alcune fonti interne hanno segnalato difficoltà operative nel mantenere un presidio costante e integrato.

Questo quadro evidenzia il dilemma principale: anche quando la comunità riesce a bloccare parte dei proventi, l’efficacia complessiva degli attacchi rimane elevata se il potenziale bottino continua a giustificare il rischio per gli aggressori. Secondo TRM Labs, il furto di fine ottobre equivalrebbe a circa un terzo del PIL di alcuni paesi e rappresenta una quota consistente dei 12,5 miliardi di dollari sottratti da gruppi statali dal 2017 in poi.

Difesa, tecnologia e risposte governative

Redbord ha sottolineato che il divario tra offensori e difensori continua ad ampliarsi, spinto dall’adozione precoce di tecnologie d’avanguardia come l’AI da parte degli hacker. Per colmare questo gap, ha indicato la necessità che forze dell’ordine e team di compliance dispongano a loro volta di strumenti avanzati basati su AI per identificare e correggere vulnerabilità con la stessa rapidità con cui vengono sfruttate.

Allo stesso tempo, ha proposto misure più aggressive sul piano internazionale, invitando gli Stati ad adottare operazioni offensive finalizzate a interrompere le infrastrutture di attacco, le reti di riciclaggio e gli intermediari finanziari che consentono la “cash-out” dei proventi illeciti.

Redbord ha affermato:

“Ogni volta che la Corea del Nord compie un’attività di hacking, dovremmo contrattaccare in modo proattivo: questa è una forma di guerra cibernetica.”

Queste posizioni sollevano questioni complesse sul piano legale e diplomatico, poiché azioni offensive possono generare escalation e richiedono un quadro internazionale condiviso per essere efficaci e legittime.

Implicazioni per mercati e investitori

Gli eventi recenti mettono in evidenza come la fiducia nel settore cripto sia strettamente legata alla capacità degli operatori e delle autorità di prevenire e rispondere rapidamente agli attacchi. I freeze su larga scala di stablecoin hanno dimostrato che interventi coordinati possono limitare i danni, ma non eliminano il rischio sistemico.

Per investitori e operatori italiani, diventa quindi fondamentale valutare non solo la tecnologia e i rendimenti, ma anche i protocolli di sicurezza, la governance e la resilienza operativa degli exchange e degli emittenti di asset digitali.

In sintesi

• La rapidità di intervento e la condivisione di intelligence tra operatori hanno limitato le perdite immediate, ma non risolvono la vulnerabilità strutturale del settore alle operazioni sponsorizzate da stati.
• Per chi investe, la valutazione del rischio deve includere la qualità delle contromisure operative e la capacità degli operatori di reagire in tempo reale; questo potrebbe tradursi in una maggiore preferenza per piattaforme con governance trasparente e solidi accordi di cooperazione internazionale.
• L’uso avanzato di AI da parte degli aggressori impone un’accelerazione negli investimenti in cybersecurity da parte delle imprese finanziarie e una possibile maggiore collaborazione tra autorità europee e italiane per definire regole comuni e strumenti di risposta condivisi.