La Corea del Nord non ruba criptovalute per divertimento. Lo fa per sopravvivere. Con le sanzioni internazionali che strangolano il suo accesso al denaro legale, il regime di Kim Jong-un ha trasformato i cyberattacchi in una macchina da guerra finanziaria. Tra il 2017 e il 2025, i gruppi hacker sostenuti dallo stato hanno rubato oltre 3 miliardi di dollari in criptovalute. E non si fermano. Nel febbraio 2025, hanno colpito Bybit, rubando 1,5 miliardi di dollari in un solo attacco - il furto più grande di sempre. Ma il vero problema non è il furto. È come trasformano quei bit in contanti vivi.

Il percorso segreto: da Ethereum a contanti senza traccia

Non basta rubare. Devi nascondere. E trasformare. La Corea del Nord ha sviluppato un sistema a quattro fasi, preciso come un orologio svizzero. La prima fase è l’attacco: phishing, vulnerabilità nei wallet, attacchi alla catena di fornitura. L’80% degli attacchi parte da qui. Una volta dentro, i hacker non si fermano. Subito dopo il furto, i fondi vengono spostati su più blockchain. Ethereum? Lo mandano su Binance Smart Chain. Poi su Solana. Poi su Avalanche. Ogni trasferimento spezza la traccia. Secondo un rapporto del CSIS del febbraio 2025, il 73% degli asset rubati passano attraverso almeno tre reti diverse prima di arrivare alla fine.

La seconda fase è la conversione. Qui entra in gioco Bitcoin. Perché? Perché è il denaro più liquido al mondo. Non c’è exchange che non lo accetti. E non c’è mercato nero che non lo voglia. L’82% di tutto il denaro rubato viene convertito in Bitcoin. Non in stablecoin, non in altcoin. Bitcoin. È la valuta di transito perfetta. E lo fanno in modo rapido: l’80% dei fondi viene trasformato entro 72 ore. Nel 2021, ci volevano 120 ore. Oggi, i hacker hanno imparato a muoversi più veloci delle agenzie di controllo.

La terza fase è il lavaggio. Non usano più Tornado Cash - è stato bloccato nel 2022. Ora usano ponti cross-chain come Ren Bridge e Avalanche Bridge. Questi strumenti permettono di spostare fondi tra blockchain senza passare da exchange centralizzati. E qui entra in gioco la quarta fase: il cash-out finale. E qui il gioco diventa criminale, non tecnico.

Cambogia: il paradiso dei contanti senza documenti

La Cambogia è diventata la capitale mondiale del riciclaggio di criptovalute nordcoreane. Non per caso. I governi locali non chiedono documenti. Gli exchange non fanno KYC. E i casino di Sihanoukville accettano Bitcoin con meno del 5% di verifica - contro il 95% richiesto in Europa o negli Stati Uniti. Il gruppo Huione, controllato da ex funzionari nordcoreani, è il cuore di questa rete. Tra il 2021 e il 2025, ha smistato oltre 37 milioni di dollari in criptovalute rubate. La sua filiale Huione Crypto emette stablecoin non bloccabili, che trasformano denaro sporco in qualcosa che sembra legale. E poi? Il denaro esce dai bancomat. In contanti. Senza traccia.

La Corea del Nord non si limita alla Cambogia. Anche la Cina rimane un hub chiave. Nel febbraio 2024, il Dipartimento di Giustizia degli Stati Uniti ha incriminato due cinesi per aver riciclato 250 milioni di dollari attraverso 37 conti bancari, con pochissima documentazione. E poi ci sono i casino di Macao, dove i giocatori depositano criptovalute e ritirano contanti senza mai mostrare un documento d’identità. È un sistema perfetto per chi vuole far sparire i soldi.

Spie informatiche: i lavoratori nordcoreani che vivono in Asia

La Corea del Nord ha inviato migliaia di programmatori all’estero. Non per studiare. Per rubare. Questi operatori, spesso con identità false da India o Vietnam, lavorano come freelance in aziende tecnologiche in Cina, Russia e Thailandia. Hanno accesso ai sistemi di pagamento, ai portafogli, alle banche. E sanno dove colpire. Nel 2024, il CSIS ha documentato 27 casi in cui lavoratori nordcoreani in Cina hanno creato backdoor per trasferire fondi direttamente da wallet a conti bancari, con un tempo di rilevamento di soli 12 ore - invece dei 72 standard. Usano VPN, mascherano la loro posizione, e fingono di lavorare da New York o Londra. Il loro obiettivo? Creare canali puliti per il cash-out.

Alcuni lavorano come sviluppatori per exchange. Altri come consulenti per progetti DeFi. Tutti hanno lo stesso compito: trovare falle. E quando trovano un exchange con KYC debole, lo sfruttano. Nel 2023, dopo aver rubato 100 milioni di dollari da Atomic Wallet, gli hacker hanno eseguito 1.842 transazioni in 48 ore, ognuna sotto i 10.000 dollari. Perché? Perché negli Stati Uniti e in Europa, le transazioni sopra i 10.000 dollari devono essere segnalate. Sotto quella soglia? Silenzio assoluto.

Il nuovo gioco: stablecoin e DeFi

Negli ultimi due anni, la Corea del Nord ha iniziato a giocare un gioco più sofisticato. Invece di convertire subito in Bitcoin, ora usano stablecoin come USDC. Le mandano su exchange decentralizzati, dove i prezzi variano da un paese all’altro. Poi sfruttano queste differenze per generare profitto - e pulire il denaro. È chiamato “arbitraggio di stablecoin”. È complesso. Ma funziona. Il 92% dei fondi rubati oggi viene convertito in contanti entro 90 giorni. Nel 2020, era il 65%. La differenza? La mancanza di regole nel DeFi. Nessun governo controlla questi protocolli. E la Corea del Nord lo sa.

Secondo un rapporto del marzo 2025, il regime ha reclutato 37 sviluppatori da progetti falliti per creare ponti cross-chain su misura. Questi strumenti potrebbero muovere 500 milioni di dollari in una singola transazione, senza lasciare traccia. E non sono solo teorie. Il Dipartimento del Tesoro ha confermato che queste tecnologie sono già in fase di test.

Perché stanno perdendo terreno - e perché non smetteranno

Non tutto va bene per la Corea del Nord. Nel primo trimestre del 2025, i tentativi di cash-out sono diminuiti del 22% rispetto al trimestre precedente. Perché? Perché ora 100 paesi condividono informazioni sui beneficiari delle transazioni. Perché gli exchange più grandi hanno alzato i controlli. Perché i governi stanno collaborando. E perché la Cambogia, sotto pressione internazionale, ha iniziato a chiudere alcuni dei suoi “crypto cafe” - 14 in totale, ognuno con un flusso mensile di mezzo milione a due milioni di dollari.

Ma non si arrenderanno. Il regime ha imparato una cosa: la tecnologia cambia più veloce delle leggi. E loro sono i più veloci. Anche se il tasso di successo scenderà al 40% entro il 2027, come ha previsto la segretaria al Tesoro Janet Yellen, la Corea del Nord continuerà a cercare falle. Finché ci sarà un exchange senza KYC, finché ci sarà un paese con controlli deboli, finché ci sarà una stablecoin non tracciabile - loro ci saranno.

La verità è questa: non si tratta di hacker. Si tratta di un governo che ha trasformato il crimine in un’industria di stato. E mentre il mondo discute di regole, loro operano. In silenzio. In rete. E con contanti veri.