Microsoft dichiara che tre gruppi di hacker nordcoreani hanno ormai integrato l'intelligenza artificiale nelle loro operazioni di attacco quotidiane, collocandoli al livello più alto della scala di valutazione dell'azienda. Microsoft (NASDAQ: MSFT) valuta come alto l'uso complessivo dell'IA nell'hacking da parte della Corea del Nord.

I risultati arrivano mentre la Corea del Nord viene ritenuta responsabile del più grande furto di criptovalute mai registrato — l'hack da 6,36 miliardi di dollari ai danni di Binance.

Come gli hacker nordcoreani usano l'IA

In un report pubblicato giovedì, Microsoft Threat Intelligence ha classificato otto dei gruppi di hacking più attivi della Corea del Nord su una scala a quattro livelli: emergente, in espansione, in accelerazione e operationalized. "Operationalized" — il livello massimo — significa che l'IA è integrata nell'intera operatività di un gruppo.

Jade Sleet, Coral Sleet e Jasper Sleet si collocano al livello più alto, mentre Diamond Sleet, Onyx Sleet, Pearl Sleet e Sapphire Sleet sono al livello di accelerazione. Emerald Sleet è al livello di espansione e nessun gruppo occupa attualmente il livello emergente. I nomi "Sleet" sono le designazioni di Microsoft per gli attori nordcoreani sostenuti dallo Stato, parte di un sistema di nomenclatura specifico del fornitore in cui altre società di sicurezza applicano le proprie etichette alle stesse unità.

Microsoft ha collegato le classifiche ad attività specifiche. Jade Sleet ha condotto campagne attraverso tre società finte in una sola settimana. Coral Sleet ha trovato un modo per inserire malware in depositi di codice privati. Onyx Sleet ha generato decine di messaggi di phishing personalizzati nel giro di pochi minuti. Diamond Sleet ha usato l'IA per creare persone finte e società di copertura per ingannare i propri bersagli. Un gruppo, secondo quanto riferito, ha prodotto oltre 100 esche PDF personalizzate rivolte a utenti sudcoreani tra agosto e settembre — un lavoro che un tempo richiedeva giorni per ogni bersaglio.

I gruppi si sono affidati anche a strumenti di coding basati sull'IA. Secondo Microsoft, gli operatori hanno usato strumenti come Cursor, un editor di codice basato sull'IA ampiamente utilizzato, per scrivere codice, correggere errori e sviluppare metodi per eludere i rilevamenti. Onyx Sleet e Pearl Sleet hanno usato ARTEX, uno strumento open source che verifica le debolezze dei sistemi, collegabile a un modello di IA e istruibile per esplorare bersagli in autonomia. Storm-0940, un gruppo legato alla Cina, avrebbe usato ARTEX contro ConnectWise.

Gli analisti di Microsoft ritengono che gli esseri umani restino principalmente al comando delle operazioni di hacking nordcoreane, con l'IA usata per accelerare attività che i gruppi svolgevano già, come l'esplorazione dei bersagli, la produzione di contenuti di phishing e il mantenimento delle identità finte.

Microsoft ha dichiarato che gli exchange di criptovalute e le società finanziarie sono tra i bersagli più comuni delle operazioni informatiche nordcoreane, poiché le campagne mirano principalmente a raccogliere fondi per il regime e a reperire informazioni. Questo focus coincide con la ricerca di TRM Labs, che ha rilevato come la Corea del Nord abbia rubato il 76% del valore totale degli hack di criptovalute nel 2026 con soli due attacchi.

L'IA ha avuto un ruolo nell'hack di Binance?

Finora non ci sono prove che gli autori dell'hack di Binance abbiano usato l'IA, e il report di Microsoft non collega il furto ad alcuna tecnica basata sull'IA.

L'hack di Binance, descritto come il più grande furto di criptovalute mai registrato, è avvenuto il 29 ottobre. La società di ricerca blockchain TRM Labs ha dichiarato che un attaccante ha spostato circa 6,36 miliardi di dollari dai wallet di Binance attraverso dieci blockchain, per lo più in circa 20 minuti. In un post sul blog, TRM ha attribuito l'attacco a TraderTraitor, che definisce l'unità di hacking d'élite della Corea del Nord — un raggruppamento che Microsoft traccia come Jade Sleet — dichiarando di avere un'elevata confidenza in questa conclusione. Jonathan Levin, co-fondatore di Chainalysis, è giunto alla stessa conclusione su X.

Secondo quanto riportato da Cryptopolitan, la versione dei fatti fornita da Binance descrive come gli attaccanti siano entrati, ma non quali strumenti abbiano usato. L'exchange ha inizialmente affermato che il laptop di un ingegnere compromesso sembrava essere il punto di ingresso, ma un'indagine successiva ha individuato ulteriori "punti di violazione".

Binance ha congelato circa 3 miliardi di dollari dei fondi rubati, sospeso i prelievi e si è impegnata a coprire le perdite degli utenti. Poiché la ricostruzione dell'exchange non arriva agli strumenti degli attaccanti, il ruolo eventuale dell'IA nel furto resta una domanda aperta mentre le indagini proseguono.