Perché si sospetta della Corea del Nord per l’enorme furto a Binance?

Non ci sono ancora prove su chi abbia fatto l’enorme furto di venerdì ai danni di Binance, la principale piattaforma di scambio di criptovalute del mondo (sono stati rubati 5,6 miliardi di euro, circa la metà congelati in tempo). Due importanti società che analizzano le transazioni in criptovalute, TRM Labs e Chainalysis, hanno però attribuito l’attacco a un gruppo di hacker nordcoreani chiamato TraderTraitor.

La Corea del Nord è uno dei paesi più isolati del mondo: è governata da un regime comunista brutale, e quasi la totalità dei suoi cittadini non ha accesso a internet. Nonostante questo, da anni il governo ha formato gruppi di hacker specializzati, reclutando sistematicamente gli studenti più abili delle proprie università e facendoli lavorare in gruppi che rispondono ai servizi di intelligence.

Negli ultimi anni il furto di criptovalute è diventato uno dei modi principali con cui la Corea del Nord ottiene la valuta straniera di cui ha bisogno per comprare quello che le serve dall’estero, e per finanziare il proprio programma missilistico e quello nucleare.

Il paese infatti non ha accesso al mercato finanziario internazionale, e quindi deve ricorrere a stratagemmi: in passato sono stati, per esempio, la falsificazione sofisticatissima di banconote da 100 dollari (i cosiddetti “superdollari”) e la vendita di droghe come la metanfetamina.

Si stima che la Corea del Nord abbia a disposizione migliaia di hacker e che abbia fatto decine di attacchi a partire dal 2017. Secondo la società di analisi Chainalysis, nel 2025 i gruppi di hacker nordcoreani hanno rubato almeno 2,02 miliardi di dollari in criptovalute, il 51 per cento in più rispetto al 2024. Il totale dei furti attribuiti alla Corea del Nord dal 2017 è così salito ad almeno 6,75 miliardi di dollari. Se l’attribuzione a TraderTraitor fosse confermata, il furto di Binance da solo sarebbe quasi pari a tutto il valore dei furti nordcoreani stimato da Chainalysis fino alla fine del 2025.

Il modo in cui avvengono questi attacchi, semplificando molto, è questo: per prima cosa gli hacker attaccano una piattaforma di scambio come Binance; dopodiché spostano più volte le criptovalute, facendole passare attraverso diversi servizi e piattaforme di scambio, a volte anche su reti diverse, per rendere più difficile seguirne il percorso e risalire ai responsabili. Infine cercano di convertirle in denaro tradizionale o di usarle per acquistare beni e servizi.

TraderTraitor è un gruppo di hacker nordcoreani che viene considerato una delle unità del più ampio Lazarus Group. Nel febbraio del 2025 aveva compiuto quello che allora era il più grande furto di sempre ai danni di una piattaforma di criptovalute: aveva rubato 1,3 miliardi di euro a Bybit. Secondo gli esperti è molto probabile che sia stato questo gruppo anche a fare il furto contro Binance.

Gli attacchi informatici della Corea del Nord non si limitano al furto di criptovalute. Il regime conduce operazioni informatiche anche contro la Corea del Sud, con la quale formalmente è ancora in guerra, nonostante i combattimenti siano finiti negli anni Cinquanta. Nel 2025 l’esercito sudcoreano ha registrato quasi 19mila tentativi di attacco informatico, ma non è stato possibile stabilire quanti fossero riconducibili alla Corea del Nord.