TRM Labs e ZachXBT: attacco hacker a Binance attribuito a Lazarus

Gli investigatori puntano il dito contro Pyongyang

La caccia all’autore dell’attacco a Binance ha ora un principale sospettato: la società di analisi blockchain TRM Labs ha attribuito l’attacco a Tradertraitor (parte dell’ecosistema Lazarus), definendola l’unità di hacker d’élite della Corea del Nord. La società è giunta a tale conclusione con un elevato grado di certezza sulla base di informazioni on-chain e off-chain, valutando il bottino a circa 6,36 miliardi di dollari al momento del prelievo di ciascuna risorsa. L’investigatore indipendente ZachXBT era giunto a una conclusione simile alcune ore prima e, alla domanda su chi ci fosse dietro il prelievo, ha risposto:

«Probabilmente il Gruppo Lazarus (RPDC)»

Detto questo, i post non confermano automaticamente la responsabilità e nessun governo ha ancora indicato formalmente un colpevole. Ari Redbord, responsabile globale delle politiche di TRM, ha dichiarato ad Al Jazeera che l’attacco è senza precedenti e verrà in seguito considerato un punto di svolta nella storia delle criptovalute, aggiungendo:

«Quando la Corea del Nord compie furti di questa portata, il denaro finanzia la proliferazione di armi e altre attività destabilizzanti».

Uno schema già noto, ma quattro volte più grande

Il team di TRM ritiene che la modalità di esecuzione e i modelli caratteristici corrispondano al furto ai danni di Bybit avvenuto all’inizio dello scorso anno, che l’FBI ha attribuito allo stesso gruppo, insieme all’attacco hacker a Kelpdao dell’aprile 2026. La società di analisi blockchain Chainalysis ha stimato separatamente che siano stati sottratti circa 5,912 miliardi di dollari, quasi quattro volte l’ammontare del furto a Bybit.

La preparazione è stata metodica: il ricercatore on-chain 0xQuit ha scoperto che il relayer dell’autore dell’attacco era stato finanziato da tre prelievi da Tornade Cash di 0,1 ETH ciascuno effettuati nei due giorni precedenti, con un contratto delegato distribuito alle 15:59 UTC. Un altro analista ha affermato che l’autore dell’attacco aveva simulato il prelievo sei ore prima su tre portafogli nuovi, trasferendo importi di prova di diversi token. L’attacco vero e proprio è avvenuto alle 20:24 UTC, quando 167.464 ETH sono stati trasferiti fuori dall’hot wallet 14 di Binance. Bitcoin.com News ha spiegato ieri in dettaglio come ha funzionato la manovra di delega del portafoglio e come le prime indagini di Binance indicassero il laptop compromesso di un ingegnere DevOps.

I social media hanno aggiunto una nota beffarda all’intera vicenda, con un commentatore che ha affermato che l’autore dell’attacco abbia lanciato una meme coin chiamata “LAZARUS” su Pump.fun. Bitcoin.com News non è riuscito a verificare se chi l’ha lanciata sia collegato ai portafogli dell’hacker.

Dove stanno finendo i soldi

A differenza di Bybit, dove i fondi rubati sono stati trasferiti rapidamente tramite bridge, questo riciclaggio si è basato su operazioni di grande entità. TRM ha affermato che l’autore dell’attacco ha venduto circa 325 milioni di USDT ai market maker per circa 122.300 ETH con uno sconto superiore al 10%. Ha inoltre preso in prestito circa 19.760 ETH su Aave a fronte di 60 milioni di USDT. I congelamenti hanno recuperato una quota consistente e Binance ha dichiarato che l’importo totale congelato ha raggiunto circa 3 miliardi di dollari. Tuttavia, TRM stima che l’autore dell’attacco detenga oltre 420.000 ETH e 18.270 BTC, per un valore di circa 2,4 miliardi di dollari fuori dalla portata degli emittenti, con i bitcoin che transitano attraverso una “peel chain”, un metodo di riciclaggio che suddivide i fondi in una lunga serie di trasferimenti più piccoli.

Onchain Lens ha riferito che il gruppo stava trasferendo oltre 1 miliardo di dollari in ETH verso nuovi portafogli, probabilmente in vista del mixing. TRM prevede che la fase successiva coinvolgerà ponti cross-chain, servizi di swap e broker over-the-counter (OTC).

Un anno da record per i furti di criptovalute

La rapina si inserisce in quello che Defillama definisce l’anno più colpito dagli attacchi hacker nella storia delle criptovalute, con oltre 8 miliardi di dollari rubati finora nel 2026. A titolo di confronto, nel 2025 i criminali informatici hanno sottratto 2,87 miliardi di dollari in quasi 150 incidenti.

L’attacco a Binance è avvenuto poche ore dopo che Polymarket aveva sospeso le negoziazioni a causa di un altro exploit, a dimostrazione di quanti fronti debbano affrontare contemporaneamente i team di sicurezza.

Le conseguenze potrebbero essere senza precedenti

TRM ha dichiarato di stare allertando i partner tramite la propria rete Beacon e ha esortato gli exchange a vagliare i depositi alla ricerca di indirizzi contrassegnati come appartenenti agli aggressori. Allo stesso tempo, Binance ha promesso un’analisi tecnica dettagliata una volta completata l’indagine preliminare.

La questione chiave ora è la rapidità, poiché ogni ora in cui gli ETH e i BTC dell’autore dell’attacco rimangono non mescolati offre agli investigatori più tempo per individuare le vie di fuga, mentre i precedenti della Corea del Nord suggeriscono che il gruppo cercherà di incassare tramite desk OTC prima che le tracce si raffreddino.