L'hack da 6,3 miliardi di dollari subito da Binance ha scosso il settore delle criptovalute, dimostrando quanto lontano gli hacker sostenuti dagli Stati possano — e vogliano — arrivare, dopo una serie di incidenti di cybersecurity sempre più gravi: questa volta a essere colpito è stato il più grande exchange di criptovalute al mondo.

TRM Labs, una società di blockchain intelligence, è stata in prima linea negli sforzi per fermare il furto, pubblicando un rapporto nelle conseguenze dell'attacco. La società è stata tra le prime ad attribuire la violazione a TraitorTrader, un gruppo di hacker nordcoreano, citando prove onchain e offchain "inesdiaguibili". Lo stesso gruppo era dietro l'hack da 1,5 miliardi di dollari subito da Bybit a febbraio 2025.

In un'analisi post-incidente pubblicata il 3 novembre, Binance ha dichiarato che gli attaccanti si sono spacciati per recruiter per installare malware sul computer di lavoro di un ingegnere, per poi utilizzare uno strumento di AI interno compromesso per raggiungere il servizio di firma dei wallet dell'exchange.

Ari Redbord, responsabile globale per le politiche e gli affari governativi di TRM Labs, ha detto a Cointelegraph che, sebbene la risposta coordinata del settore all'attacco sia stata senza precedenti, "ne vedremo solo molto di più".

Una risposta senza precedenti da parte del settore

La velocità e l'entità della reazione del settore sono stati tra i fattori che hanno colpito Redbord. Tether ha bloccato 971,1 milioni di token USDt (USDT) appena 37 minuti dopo il principale trasferimento dei fondi, e gli emittenti di stablecoin insieme hanno bloato token per un valore di circa 2,67 miliardi di dollari, secondo TRM.

"Non era mai stato fatto nulla del genere", ha detto Redbord. "Sono riusciti a recuperare il 40% fin da subito."

La corsa per intercettare i fondi rubati prima che gli hacker possano spostarli offchain è una parte cruciale della difesa contro attacchi di questo tipo. Redbord ha spiegato che la Beacon Network, un sistema di condivisione delle informazioni lanciato da TRM nel 2025, ha permesso alle aziende di coordinarsi rapidamente per immobilizzare i fondi prima di lavorare al loro sequestro.

"Di norma vedo qualche avviso Beacon al giorno, forse. Negli ultimi giorni ne ho visti, non so, centinaia o forse persino un migliaio", ha detto.

La spinta verso il coordinamento arriva mentre Bloomberg ha riportato il 4 novembre che la T3 Financial Crime Unit, formata da TRM con Tron e Tether a settembre 2024, si è sciolta alla fine di agosto, con fonti che citano risposte lente e scarso coordinamento. Tether ha dichiarato che continuerà a collaborare con TRM tramite Beacon. Il rapporto ricorda quanto il playbook di risposta rapida del settore dipenda dalla cooperazione tra aziende — e quanto questi accordi possano essere fragili.

Sebbene Redbord abbia chiesto un maggiore coordinamento, ha avvertito che tali sforzi potrebbero fare poco per scoraggiare futuri attacchi. Ha rilevato che il furto del 29 ottobre da parte della Corea del Nord equivaleva a circa un terzo del PIL del paese e rappresentava metà dei 12,5 miliardi di dollari rubati da hacker sostenuti dagli Stati dal 2017. Anche se gli attaccanti recuperassero solo 1 miliardo di dollari, il potenziale guadagno rimane enorme, ha sostenuto.

"La Corea del Nord continuerà a farlo finché sarà efficace", ha detto.

Dalla difesa all'attacco

Redbord ha sostenuto che fermare tali attacchi richiede azioni offensive da parte dei governi in risposta all'uso che la Corea del Nord fa di hacker che operano come braccio dello Stato. Il rapporto sul divario di capacità di TRM ha rilevato che il divario tra attaccanti e difensori della cybersecurity continua ad ampliarsi, spinto dall'adozione precoce da parte degli hacker di tecnologie all'avanguardia come l'AI. Ha detto che le forze dell'ordine e i team di compliance hanno bisogno dell'AI per trovare e correggere le vulnerabilità con la stessa rapidità con cui gli hacker possono sfruttarle. La violazione di Binance ha offerto un caso di studio: un falso messaggio di un recruiter ha installato il malware, uno strumento di AI interno compromesso ha aperto la strada verso l'interno, e il servizio di firma dei wallet è diventato il bersaglio.

"Ogni volta che la Corea del Nord ci attacca, dovremmo attaccarla a nostra volta", ha continuato, chiedendo operazioni informatiche offensive e azioni contro le reti di riciclaggio e le banche che gli hacker utilizzano per incassare. "Questa è una guerra informatica", ha detto.