Immagina di perdere tre miliardi di dollari in un attimo. Non è un film d'azione, ma la realtà cruda che ha caratterizzato il panorama della sicurezza delle criptovalute negli ultimi anni. La Corea del Nord, spesso isolata dal sistema finanziario globale a causa di pesanti sanzioni, ha trasformato il cyberspazio nella sua principale fonte di reddito illegale. Tra il 2017 e il 2023, gruppi di hacker statali hanno sottratto circa 3 miliardi di dollari in asset digitali attraverso 58 attacchi distinti. Ma la situazione si è aggravata drasticamente nel 2024 e nel 2025, con cifre che fanno impallidire qualsiasi precedente stima.
Un'escalation senza precedenti: i numeri del 2024 e 2025
Le stime delle Nazioni Unite e dei principali analisti blockchain rivelano un trend preoccupante. Nel solo 2024, i hacker nordcoreani hanno rubato 1,34 miliardi di dollari in 47 incidenti separati. Questo rappresenta un aumento del 102,88% rispetto ai 660,5 milioni rubati nel 2023. La frequenza degli attacchi è quasi raddoppiata, dimostrando che Pyongyang non sta solo mantenendo le sue capacità, ma le sta espandendo aggressivamente per finanziare i suoi programmi di armi di distruzione di massa.
Tuttavia, il vero punto di svolta è arrivato nel febbraio 2025. In quell'occasione, l'exchange basato a Dubai Bybit è stato vittima del più grande furto di criptovalute nella storia registrata. I ladri hanno prelevato quasi 1,5 miliardi di dollari in Ether. Per mettere questo numero in prospettiva: questo singolo colpo ha superato il valore combinato di tutti i 47 furti avvenuti nell'intero anno 2024. È un salto quantitativo che cambia completamente la percezione del rischio nel settore delle finanze decentralizzate (DeFi).
Chi sono i colpevoli? I gruppi dietro gli attacchi
Non si tratta di singoli criminali informatici operanti da scantinati bui. Dietro questi furti ci sono unità altamente organizzate dello stato nordcoreano. Gli esperti di cybersecurity identificano principalmente cinque gruppi responsabili:
- Lazarus Group: Il gruppo più noto e longevo, attivo sin dai primi anni 2010.
- TraderTraitor: Specializzato in attacchi mirati alle piattaforme di scambio.
- Jade Sleet: Conosciuto per tecniche sofisticate di ingegneria sociale.
- UNC4899: Un'unità emergente con tattiche sempre più aggressive.
- Slow Pisces: Focalizzato su operazioni di lavaggio di denaro digitale.
Questi gruppi lavorano spesso in coordinamento o condividono infrastrutture, creando una rete resiliente che è difficile da smantellare completamente. La loro motivazione è chiara: eludere le sanzioni economiche internazionali che strangolano l'economia nordcoreana.
Il caso DMM e Ginco: l'arte dell'ingegneria sociale
Come fanno a rubare centinaia di milioni di dollari? Spesso, la tecnologia non è l'unica arma; la psicologia umana è il punto debole. L'attacco al piattaforma giapponese DMM nel maggio 2024 ne è l'esempio perfetto. I hacker hanno rubato 308 milioni di dollari (circa 4.502 BTC) sfruttando una catena di compromissioni lunga mesi.
L'attacco è iniziato a marzo 2024. I criminali si sono fatti passare per reclutatori su LinkedIn, contattando dipendenti di Ginco, un'azienda giapponese che produce software per portafogli crittografici aziendali. Hanno inviato uno script Python malevolo mascherato da test pre-assunzione ospitato su GitHub. Una volta che un dipendente ha eseguito lo script, i hacker hanno ottenuto accesso al sistema di gestione dei wallet di Ginco. Hanno poi rubato i cookie di sessione per impersonare il dipendente e accedere a sistemi di comunicazione non crittografati. Infine, hanno manipolato una richiesta di transazione legittima fatta da un impiegato di DMM, deviando i fondi verso i propri wallet. È un attacco paziente, metodico e devastante.
Altri grandi colpi: Atomic Wallet, Alphapo e CoinsPaid
Oltre a DMM, il gruppo TraderTraitor ha lasciato il segno nel 2023 con una serie di attacchi rapidi e coordinati. Il 2 giugno 2023, Atomic Wallet è stato colpito per 100 milioni di dollari. Due giorni dopo, il 22 giugno, altri due servizi sono stati presi di mira: Alphapo ha perso 60 milioni di dollari e CoinsPaid ne ha persi 37. Questi attacchi dimostrano la capacità dei nordcoreani di colpire multiple vittime in breve tempo, massimizzando i profitti prima che le difese possano essere rafforzate.
Il labirinto del riciclaggio: come nascondere i soldi
Rubare le criptovalute è solo il primo passo. Il secondo, forse più difficile, è convertirle in valuta fiat utilizzabile senza farsi scoprire. Dopo l'attacco a Bybit nel 2025, il FBI e aziende di analisi blockchain come Chainalysis e TRM Labs hanno osservato una conversione "rapida" dei fondi rubati. I hacker trasformano l'Ether rubato in Bitcoin e altre valute digitali utilizzando exchange decentralizzati (DEX) e ponti cross-chain.
I fondi vengono dispersi in migliaia di wallet virtuali diversi, creando un labirinto di transazioni che confonde le traccie investigative. Questa tecnica, nota come "mixing" o "tumblin", rende estremamente costoso e lento per le forze dell'ordine recuperare gli asset. Nonostante gli sforzi internazionali, la maggior parte di questi fondi rimane irraggiungibile, finendo direttamente nelle casse del regime di Pyongyang.
Impatto sul mercato e sulla sicurezza globale
L'impatto di queste operazioni va oltre i bilanci delle singole aziende. Nel 2024, i gruppi affiliati alla Corea del Nord hanno rappresentato il 61% di tutte le criptovalute rubate a livello globale, pur essendo responsabili solo del 20% degli incidenti totali. Questo significa che quando colpiscono, colpiscono forte. Il mercato totale dei furti di criptovalute ha raggiunto i 2,2 miliardi di dollari nel 2024, con un aumento del 21% rispetto all'anno precedente.
Per l'industria delle criptovalute, questo ha portato a costi assicurativi più elevati, una maggiore scrutinio regolamentare e una crisi di fiducia tra gli utenti. Le piattaforme stanno rispondendo implementando wallet multi-firma, programmi di formazione intensivi per i dipendenti e sistemi di monitoraggio blockchain avanzati. Tuttavia, la curva di apprendimento dei nordcoreani sembra essere più ripida delle difese adottate dall'industria.
Cosa possiamo fare? Strategie di difesa pratiche
Se sei un investitore o lavori nel settore, ecco alcune misure concrete per proteggerti:
- Educazione continua: La maggior parte degli attacchi inizia con un'email o un messaggio sospetto. Formare il personale a riconoscere le frodi di ingegneria sociale è fondamentale.
- Autenticazione a più fattori (MFA): Utilizzare chiavi hardware (come YubiKey) invece dei semplici codici SMS per proteggere gli account amministrativi.
- Monitoraggio delle transazioni: Implementare sistemi che avvisino immediatamente se una transazione supera una certa soglia o viene inviata a un indirizzo non verificato.
- Segregazione dei compiti: Assicurarsi che nessuna singola persona abbia il controllo totale sui fondi aziendali. Richiedere approvazioni multiple per le uscite di grandi importi.
Il futuro delle minacce nordcoreane
Gli esperti prevedono che le operazioni continueranno ad espandersi. Con le sanzioni tradizionali che stringono, la Corea del Nord vedrà sempre più le criptovalute come la sua unica via di fuga economica. L'attacco a Bybit del 2025 mostra che non c'è un limite superiore a quanto siano disposti a rischiare. Le agenzie governative, incluso il Dipartimento della Difesa USA e la Polizia Nazionale del Giappone, continuano ad attribuire pubblicamente questi attacchi per esporre il regime, ma la natura transnazionale del web rende l'applicazione della giustizia complessa.
In sintesi, i 3 miliardi rubati tra il 2017 e il 2023 sono solo l'inizio. Siamo entrati in un'era in cui la guerra cibernetica si fonde con il crimine finanziario organizzato, e la posta in gioco è mai stata così alta.
Quanto ha rubato la Corea del Nord in totale dalle criptovalute?
Tra il 2017 e il 2023, la Corea del Nord ha rubato circa 3 miliardi di dollari. Tuttavia, con l'aggiunta dei furti del 2024 (1,34 miliardi) e del gigantesco colpo a Bybit nel 2025 (quasi 1,5 miliardi), il totale supera ormai i 5,8 miliardi di dollari.
Qual è stato il più grande singolo furto di criptovalute della storia?
Il più grande furto singolo registrato è avvenuto nel febbraio 2025 contro l'exchange Bybit, dove i hacker nordcoreani hanno sottratto quasi 1,5 miliardi di dollari in Ether.
Come usano i soldi rubati la Corea del Nord?
Gli ufficiali statunitensi e internazionali stimano che Pyongyang utilizzi le criptovalute rubate per finanziare i suoi programmi di armi di distruzione di massa e missili balistici, oltre a mantenere il potere del regime eludendo le sanzioni economiche.
Chi sono i principali gruppi hacker nordcoreani?
I gruppi principali includono Lazarus Group, TraderTraitor, Jade Sleet, UNC4899 e Slow Pisces. Operano sotto la supervisione dello stato e utilizzano tecniche sofisticate di ingegneria sociale e malware.
È sicuro investire in criptovalute dato questi furti?
Investire comporta sempre rischi. Mentre i furti sono aumentati, anche le misure di sicurezza degli exchange si sono evolute. È cruciale utilizzare piattaforme affidabili, abilitare l'autenticazione a più fattori e considerare l'uso di wallet personali hardware per grandi somme.
Cosa è successo nell'attacco a DMM e Ginco?
Nel 2024, i hacker hanno ingannato un dipendente di Ginco tramite LinkedIn, facendogli eseguire un malware. Hanno poi usato le credenziali rubate per manipolare una transazione legittima presso DMM, rubando 308 milioni di dollari in Bitcoin.
