L’attacco a Binance e l’ipotesi della pista nordcoreana

Un presunto furto di almeno 2 miliardi di dollari da wallet di Binance ha riportato al centro il rischio operativo delle grandi piattaforme di scambio di criptovalute. L'episodio, avvenuto secondo la ricostruzione pubblicata giovedì dall'Independent, viene descritto come il più grande attacco informatico finora subito da un crypto exchange. Binance e le agenzie governative coinvolte non hanno però concluso le rispettive indagini: importo, dinamica e attribuzione restano quindi elementi provvisori.

Tre soggetti specializzati nell'analisi delle attività blockchain — TRM Labs, Chainalysis e ZachXBT — hanno indicato una possibile responsabilità di hacker collegati alla Corea del Nord. TRM Labs ha dichiarato di avere un livello di confidenza elevato nell'attribuzione all'unità TraderTraitor, associata al gruppo Lazarus, sulla base di informazioni raccolte sia on-chain sia al di fuori delle blockchain. Il responsabile di Chainalysis Jony Levin ha espresso una valutazione analoga, sostenendo che l'attacco sia stato probabilmente condotto dal gruppo nordcoreano. Si tratta, tuttavia, di giudizi analitici e non dell'esito formale dell'inchiesta.

La prima ricostruzione tecnica riferita sull'accaduto indica che un attaccante avrebbe potuto autorizzare transazioni non autorizzate dopo avere ottenuto accesso al laptop compromesso di un ingegnere di Binance. Se questa ipotesi fosse confermata, il caso mostrerebbe un punto essenziale della sicurezza finanziaria digitale: la registrazione delle operazioni su blockchain non impedisce automaticamente che dispositivi, credenziali o procedure interne vengano compromessi prima che un trasferimento sia eseguito.

L'attenzione sull'eventuale ruolo della Corea del Nord si inserisce in un quadro già emerso in precedenti attacchi. Nel 2025, l'exchange Bybit, con sede a Dubai, aveva subito il furto di circa 1,5 miliardi di dollari; quell'operazione era stata attribuita a hacker nordcoreani. Il parallelismo non consente di concludere che gli episodi abbiano gli stessi autori o le stesse modalità, ma evidenzia la rilevanza economica assunta dagli attacchi contro le infrastrutture crypto.

Gli esperti citati dall'Independent descrivono un'evoluzione delle operazioni informatiche attribuite a Pyongyang: dalle attività distruttive, fra cui l'attacco del 2014 a Sony Pictures, a furti rivolti a criptovalute e sistemi finanziari. Secondo tali valutazioni, i fondi sottratti contribuirebbero al finanziamento del programma nucleare nordcoreano. Il ministero degli Esteri giapponese aveva inoltre definito la capacità cyber del Paese un programma nazionale ad ampio raggio e altamente sofisticato, avvicinandolo ai programmi di Cina e Russia.

Un elemento rilevante è la presenza di operatori fuori dalla Corea del Nord. Il dossier riferisce che la limitata connettività internazionale del Paese può spingere gli hacker a operare da Cina o Russia, dove avrebbero accesso a infrastrutture migliori e a indirizzi IP esteri, più difficili da ricondurre al punto di origine dell'attacco. Il ministero giapponese ha richiamato reti composte da cittadini nordcoreani all'estero e da collaboratori stranieri.

Altre analisi menzionate individuano il Sud-est asiatico come area sia operativa sia bersaglio. Il Center for Strategic and International Studies ha segnalato la diffusione di malware e strumenti di accesso non autorizzato nelle infrastrutture digitali di Cambogia, Thailandia e Indonesia. Un rapporto del Center for a New American Security del 2020 aveva incluso anche l'India tra i Paesi nei quali avrebbero operato agenti cyber nordcoreani. Le stime riportate parlano complessivamente di fino a 6.000 operatori nel mondo, presenti anche in Cina, Russia, Bielorussia e Malaysia.

Secondo il CSIS, questi soggetti possono assumere identità false e presentarsi come cittadini di Paesi terzi per ottenere impieghi presso aziende straniere. Il dossier descrive inoltre un percorso di selezione precoce: studenti considerati particolarmente capaci verrebbero indirizzati verso informatica e sicurezza, mentre l'accesso ai servizi d'intelligence offrirebbe incentivi difficilmente disponibili per la popolazione nordcoreana, tra cui accesso non ristretto a Internet e retribuzioni più elevate.

Per Binance, per gli utenti e per l'intero settore, l'elemento decisivo resta ora l'esito delle indagini. La cifra riportata e l'attribuzione a TraderTraitor sono al momento oggetto di valutazioni non definitive. Il caso segnala comunque quanto la sicurezza di un'infrastruttura finanziaria digitale dipenda non solo dai sistemi tecnologici, ma anche dalla protezione delle persone e dei dispositivi che possono intervenire nei processi operativi.