Perché si sospetta della Corea del Nord per l'enorme furto a Binance

Venerdì qualcuno ha svuotato una parte dei fondi di Binance, la più grande piattaforma di scambio di criptovalute del mondo. Il bottino ammonta a 5,6 miliardi di euro, anche se circa la metà è stata congelata in tempo e non è uscita dal perimetro dell'attacco. Non ci sono ancora prove su chi sia il responsabile.

Due società specializzate nell'analisi delle transazioni in criptovalute, TRM Labs e Chainalysis, hanno però già indicato un nome: TraderTraitor, un gruppo di hacker nordcoreani. Si tratta di un'attribuzione, non di una conferma, e va letta come tale.

Il sospetto ha una sua logica. La Corea del Nord è tra i paesi più isolati al mondo, governata da un regime comunista brutale, e quasi tutti i suoi cittadini non hanno accesso a internet. Eppure da anni lo Stato forma gruppi di hacker specializzati: recluta in modo sistematico gli studenti più abili delle università e li inserisce in squadre che rispondono ai servizi di intelligence.

Il motivo è economico. Il furto di criptovalute è diventato negli ultimi anni uno dei principali canali con cui Pyongyang ottiene la valuta estera necessaria per comprare all'estero ciò che le serve e per finanziare i programmi missilistico e nucleare. Il paese non ha accesso al mercato finanziario internazionale e deve quindi ricorrere a stratagemmi. In passato sono stati la falsificazione sofisticatissima di banconote da 100 dollari, i cosiddetti superdollari, e la vendita di droghe come la metanfetamina.

Si stima che la Corea del Nord abbia a disposizione migliaia di hacker e che dal 2017 abbia compiuto decine di attacchi. Secondo Chainalysis, nel 2025 i gruppi nordcoreani hanno rubato almeno 2,02 miliardi di dollari in criptovalute, il 51 per cento in più rispetto al 2024. Il totale dei furti attribuiti al paese dal 2017 sale così ad almeno 6,75 miliardi di dollari. Se l'attribuzione a TraderTraitor fosse confermata, il solo colpo a Binance varrebbe quasi quanto tutto ciò che Chainalysis stima sia stato rubato dai nordcoreani fino alla fine del 2025.

Lo schema di questi attacchi, semplificando, è sempre lo stesso. Gli hacker colpiscono una piattaforma di scambio come Binance. Poi spostano più volte le criptovalute, facendole passare per diversi servizi e piattaforme, a volte anche su reti differenti, per rendere più difficile seguirne il percorso e risalire ai responsabili. Infine cercano di convertirle in denaro tradizionale o di usarle per acquistare beni e servizi.

TraderTraitor è considerato una delle unità del più ampio Lazarus Group. Nel febbraio del 2025 aveva messo a segno quello che allora era il più grande furto di sempre ai danni di una piattaforma di criptovalute, rubando 1,3 miliardi di euro a Bybit. Secondo gli esperti è molto probabile che lo stesso gruppo sia dietro l'attacco a Binance.

Resta da vedere se arriveranno conferme ufficiali: finché mancano, la responsabilità nordcoreana rimane un'ipotesi autorevole ma non dimostrata.