Il gruppo Lazarus della Corea del Nord è emerso come principale sospettato di un attacco su larga scala alle criptovalute contro Binance verificatosi il 29 ottobre, in cui sarebbero stati sottratti circa 6,3 miliardi di dollari in asset digitali — un bottino che, se confermato, costituirebbe il furto più grande nella storia delle criptovalute.

Gli investigatori blockchain hanno identificato somiglianze tra l'operazione e precedenti campagne attribuite a hacker nordcoreani. I ricercatori di sicurezza ritengono che il sofisticato attacco abbia coinvolto TraderTraitor, un'unità di hacker collegata a Lazarus che le agenzie statunitensi hanno precedentemente segnalato in avvisi congiunti per attacchi rivolti ad aziende del settore crypto. Esperti delle Nazioni Unite hanno precedentemente riferito che le criptovalute rubate hanno rappresentato una fonte significativa di entrate per la Corea del Nord. Le autorità non hanno ufficialmente confermato l'identità dei responsabili e le indagini sono ancora in corso.

Gli investigatori blockchain indicano hacker nordcoreani

L'investigatore blockchain ZachXBT ha identificato il gruppo Lazarus come probabile autore della violazione della sicurezza di Binance, come riportato da CoinDesk. Separatamente, la società di intelligence blockchain TRM Labs ha espresso alta confidenza sul fatto che l'unità TraderTraitor della Corea del Nord abbia orchestrato l'operazione.

Secondo TRM Labs, gli attaccanti hanno spostato circa 6,36 miliardi di dollari dai wallet di Binance attraverso 10 reti blockchain, con la maggior parte delle transazioni completata in circa 20 minuti — un ritmo che suggerisce un'ampia preparazione e un'esecuzione coordinata. I ricercatori hanno individuato paralleli con precedenti attacchi nordcoreani alle criptovalute, tra cui attività sospette dei wallet e preparazione anticipata delle transazioni, sebbene gli investigatori continuino a esaminare le prove prima di giungere a una conclusione definitiva.

Binance identifica una possibile violazione della sicurezza

Binance ha dichiarato che la violazione potrebbe essere stata resa possibile da un laptop compromesso appartenente a un ingegnere DevOps. La presunta intrusione avrebbe consentito l'accesso non autorizzato a un service container, che gli attaccanti avrebbero utilizzato per avviare transazioni di prelievo fraudolente — un dettaglio che sottolinea perché i controlli di accesso interni degli exchange centralizzati restano una linea di difesa fondamentale accanto alle tutele on-chain.

L'exchange ha sottolineato che non è stata trovata alcuna prova di fughe delle chiavi private dei wallet. Binance ha inoltre sospeso temporaneamente depositi e prelievi rafforzando al contempo i controlli di sicurezza e indagando sull'incidente.

Secondo l'ultima dichiarazione dell'azienda, circa 3 miliardi di dollari in asset interessati erano già stati congelati grazie alla collaborazione con partner blockchain. Binance si è impegnata a coprire le perdite dei clienti utilizzando il suo Secure Asset Fund for Users — una riserva di emergenza istituita nel 2018 — e le risorse aziendali.

Il furto di criptovalute record solleva preoccupazioni nel settore

Il sospetto coinvolgimento di Lazarus segue diversi importanti attacchi alle criptovalute attribuiti in passato a hacker nordcoreani. A febbraio 2025, attaccanti collegati al gruppo hanno sottratto circa 1,5 miliardi di dollari dall'exchange di criptovalute Bybit, e le autorità statunitensi hanno anche collegato il gruppo al furto del 2022 di circa 600 milioni di dollari dal bridge della Ronin Network. L'ultimo incidente supera significativamente quel precedente record ed evidenzia le vulnerabilità persistenti dell'infrastruttura centralizzata delle criptovalute.

La violazione ha inoltre turbato i mercati degli asset digitali. Bitcoin è sceso sotto i 77.000 dollari durante la reazione iniziale del mercato, mentre Ethereum e BNB, legato a Binance, hanno registrato cali sostanziali.

Gli esperti di sicurezza si attendono che l'indagine si concentri su come gli attaccanti siano riusciti ad accedere ai sistemi di autorizzazione delle transazioni di Binance. Nel frattempo, gli sforzi per tracciare e congelare le criptovalute rubate restano fondamentali per limitare i danni finanziari. Con i proventi dispersi su 10 reti, il recupero dipenderà probabilmente dal coordinamento continuo tra exchange, società di analisi e forze dell'ordine, e l'attenzione ora si sposta su se le autorità emetteranno un'attribuzione formale, se sarà possibile congelare ulteriori asset e quando Binance ripristinerà pienamente i servizi di deposito e prelievo.