Nel giro di poche ore dall’annuncio ufficiale di Binance, il più enorme furto di criptovalute mai registrato ha alimentato un vortice di ipotesi e analisi tecniche. L’exchange ha confermato la perdita di circa 6,3 miliardi di dollari in un’operazione durata meno di venti minuti, scatenando preoccupazioni globali sulla sicurezza delle piattaforme digitali e sulla capacità di tracciare risorse virtuali una volta sottratte.
Le prime indagini condotte da società specializzate in analisi blockchain hanno individuato schemi di transazione tipici di una squadra di hacker altamente organizzata. Tra i vari sospetti, il nome più ricorrente è quello di TraderTraitor, un gruppo attribuito al servizio di intelligence della Corea del Nord. Le autorità internazionali lo considerano un attore chiave nella strategia del regime per finanziare il proprio programma nucleare e missilistico.
Il furto da 6,3 miliardi di dollari contro Binance
Secondo i dati forniti da una nota società di analisi, gli aggressori hanno spostato i fondi dal portafoglio di Binance verso diversi indirizzi nella blockchain in un lasso di tempo estremamente breve, circa venti minuti. Durante questo intervallo, hanno sfruttato credenziali compromesse e autorizzazioni privilegiate per inviare più di 300 trasferimenti simultanei, aggirando i sistemi di rilevamento tradizionali. Il valore totale rubato supera di gran lunga qualsiasi precedente attacco informatico al settore crypto.
Reazione degli operatori di stablecoin e blocco parziale dei fondi
Le compagnie dietro le principali stablecoin, tra cui Tether e Circle, hanno agito rapidamente per congelare circa 2,8 miliardi di dollari di asset coinvolti. Nonostante questi sforzi, più di 3 miliardi di dollari rimangono potenzialmente irraggiungibili, poiché gli hacker hanno già spostato una parte dei fondi attraverso reti off-chain e servizi di anonimizzazione.
TraderTraitor: il gruppo di hacker nordcoreano
Il nome TraderTraitor è stato coniato dal FBI per descrivere una unità di cyber-crime sponsorizzata dallo Stato, operante sin dal 2016-2017 all’interno dell’agenzia di spionaggio nordcoreana. Le sue operazioni combinano ingegneria sociale e tecniche avanzate di hacking, mirando in particolare a piattaforme di scambio e a fornitori di servizi custodia. Il gruppo è responsabile di attacchi da 1,5 miliardi di dollari su Bybit nel 2025 e di ulteriori 387 milioni di dollari su Bitget lo scorso mese.
Metodologia di infiltrazione
Gli agenti di TraderTraitor spesso si spacciano per reclutatori o partner commerciali, contattando dipendenti di aziende target tramite canali professionali come LinkedIn. Una volta ottenuto l’accesso, inviano file maligni che permettono di installare software di controllo remoto sui sistemi compromessi. Con il pieno dominio della rete interna, gli hacker possono manipolare le richieste di transazione e dirigere i fondi verso indirizzi predefiniti, rendendo difficile la tracciabilità.
Come le criptovalute rubate vengono nascoste e utilizzate
Dopo aver sottratto i fondi, gli attori nordcoreani impiegano algoritmi di “mixing” per disperdere rapidamente le monete in migliaia di wallet diversi, sfruttando piattaforme come Tornado Cash. Questo processo, eseguito in pochi secondi, rende quasi impossibile risalire all’origine dei fondi. Successivamente, le risorse vengono convertite in valute fiat tramite exchange meno regolamentati, spesso in paesi con normative più permissive, per finanziare acquisti di materiali per il programma nucleare.
Impatto sul mercato e sulle difese future
L’incidente ha generato una reazione immediata sui prezzi delle principali criptovalute: il Bitcoin ha subito una flessione del 4% entro poche ore dall’annuncio. Binance, nel frattempo, ha attivato il proprio Secure Asset Fund for Users (SAFU) per coprire le perdite dei clienti, ma il caso solleva interrogativi sulla capacità delle piattaforme di proteggere fondi di tale entità. Gli esperti suggeriscono l’adozione di sistemi di autenticazione a più fattori più robusti e il monitoraggio continuo delle attività di rete per prevenire attacchi simili.
