Corea del Nord: intatto bottino 1,4 mld $ in Bitcoin rubati a Binance

Gli hacker nordcoreani dietro la rapina da 6,3 miliardi di dollari a Binance

Ancora una volta, Pyongyang è accusata di aver orchestrato una rapina da 6,3 miliardi di dollari ai danni della più grande piattaforma di scambio di criptovalute al mondo per volume di scambi. L’indagine preliminare di Binance ha suggerito che l’intrusione abbia avuto origine dal portatile compromesso di un ingegnere informatico. La violazione ha successivamente fornito agli aggressori un punto di accesso a uno dei servizi interni dell’exchange.

Tuttavia, successive analisi forensi hanno portato alla luce ulteriori sistemi compromessi, suggerendo un’operazione ben più sofisticata rispetto al semplice furto delle credenziali di un singolo dipendente. Diverse società di analisi blockchain, tra cui Chainalysis, Elliptic e TRM Labs, hanno attribuito il furto a Tradertraitor, una valutazione rafforzata il 31 ottobre quando l’FBI ha identificato l’operazione di hacking nordcoreana come responsabile dell’attacco.

Tradertraitor è strettamente legato al Gruppo Lazarus, operando come un sottogruppo specializzato e motivato da interessi finanziari, nonché come denominazione per campagne associate di malware e spionaggio informatico all’interno del più ampio apparato di hacking sponsorizzato dallo Stato nordcoreano. Il Gruppo Lazarus ha storicamente controllato ingenti riserve di bitcoin e l’ultimo furto di 18.270,2 BTC colloca apparentemente la Corea del Nord al terzo posto tra gli Stati detentori di questa criptovaluta.

Sebbene la liquidazione dei bitcoin acquisiti illecitamente sia ampiamente considerata una sfida ardua, Pyongyang ha ripetutamente dimostrato un’apparente capacità di convertire i beni rubati in fondi utilizzabili con relativa facilità.

I retroscena del furto di Bitcoin che ha svuotato il 95% di un hot wallet di Binance

L’ultimo furto ai danni di Binance presenta un mistero particolarmente intrigante, poiché il meccanismo preciso alla base dell’estrazione dei bitcoin rimane poco chiaro. I fondi rubati, attualmente valutati a 1,4 miliardi di dollari, sono stati trasferiti attraverso 11 operazioni separate prima di essere distribuiti in portafogli contenenti importi variabili di BTC.

In totale, i fondi si trovano ora distribuiti su 19 portafogli distinti, con tutte le transazioni confermate all'altezza del blocco Bitcoin 973732. I fondi rubati provenivano da un portafoglio "hot" di Binance identificato come bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, che attualmente contiene circa 5,495 BTC per un valore di 426.000 dollari.

Dalla sua creazione nel 2021, questo indirizzo eccezionalmente attivo ha elaborato la cifra sbalorditiva di 16.517.012,48 BTC in trasferimenti in entrata e 16.517.006,98 BTC in transazioni in uscita. Nel giugno 2022, il portafoglio presentava un saldo di 138.000 BTC e ha mantenuto collegamenti transazionali con i principali operatori del settore, tra cui piattaforme di scambio centralizzate (CEX) come Kraken, OKX, Bullish, Bybit, Coinbase e decine di altre.

Anche gli indirizzi che, secondo quanto riferito, sono associati a Wintermute, il market maker algoritmico di criptovalute, hanno interagito con il portafoglio in 76 occasioni, per un valore complessivo di bitcoin superiore a 900 milioni di dollari. Quando Tradertraitor ha compromesso il portafoglio, questo conteneva circa 19.200 BTC; il gruppo di hacker ha sottratto quasi il 95% delle sue riserve in meno di 20 minuti. Dei 19 portafogli attribuiti agli hacker di Pyongyang, 17 contengono esattamente 1.000 BTC ciascuno, mentre i restanti due ne contengono rispettivamente 832,5 BTC e 437,7 BTC.

I bitcoin rubati rimangono inattivi mentre la storia del riciclaggio della Corea del Nord solleva interrogativi

Per ora, i Bitcoin rubati rimangono intatti su questi indirizzi, sebbene la loro attuale inattività non offra alcuna garanzia di inattività permanente. La suddivisione del bottino ha creato più output da monitorare, ma non ne ha cancellato le origini. Gli investigatori on-chain e le società di intelligence blockchain esamineranno senza dubbio questi indirizzi Bitcoin, poiché i BTC rubati rimangono spesso inattivi per lunghi periodi prima del loro eventuale trasferimento, sebbene tali ritardi siano tutt’altro che universali.

Nel frattempo, i portafogli attribuiti direttamente al Gruppo Lazarus da Arkham Intelligence contengono attualmente una somma relativamente modesta di 23,38 BTC, un drastico calo rispetto ai circa 14.000 BTC che controllavano nel marzo 2025. Ciò suggerisce che la Corea del Nord abbia dimostrato una notevole capacità di disperdere sistematicamente migliaia di bitcoin e, in ultima analisi, di trovare vie per liquidare le partecipazioni illecite. Sebbene sia in corso un ampio sforzo di recupero per aiutare Binance a riottenere i propri asset rubati, Bitcoin non offre alcun meccanismo per congelare semplicemente i fondi.

Le regole inderogabili di Bitcoin costringono gli investigatori a stare a guardare

Gli emittenti di stablecoin possono immobilizzare le risorse tramite restrizioni incorporate nei contratti dei loro token, ma Bitcoin non dispone di un’autorità centrale equivalente in grado di inserire indirizzi in una lista nera o di annullare transazioni confermate. Di conseguenza, gli investigatori devono identificare potenziali punti di intervento, quali exchange, broker o altri intermediari attraverso i quali i proventi rubati potrebbero eventualmente transitare. In alternativa, ottenere il controllo delle chiavi private corrispondenti potrebbe fornire un mezzo per sequestrare i bitcoin. Nessuno dei due approcci, tuttavia, costituisce un annullamento amministrativo di una transazione registrata sulla blockchain di Bitcoin.

Per ora, il registro trasparente fornisce una traccia probatoria dettagliata senza conferire il controllo sulle risorse stesse. Gli investigatori possono tracciare ogni movimento dei bitcoin rubati, ma la sola visibilità non conferisce loro l’autorità di trasferirli.