Hacker informatici attribuiti alla Corea del Nord hanno prosciugato 6,3 miliardi di dollari da Binance la settimana scorsa, nel furto di criptovalute più grande mai registrato, e le tecniche utilizzate riflettono un manuale ampio e in continua evoluzione: infiltrarsi nelle aziende con identità finte, avvelenare librerie di codice ampiamente utilizzate, compromettere le infrastrutture dei wallet e impiegare sempre più l'intelligenza artificiale per rendere ogni passaggio più convincente.

La portata della minaccia è notevole. Una stima attribuisce il 60% di tutte le perdite crypto dell'anno scorso a gruppi legati alla Repubblica Popolare Democratica di Corea (DPRK). Questi attori utilizzano diversi vettori di attacco contemporaneamente, il che li rende più difficili da colgere sul fatto.

La settimana scorsa, sono bastati appena 20 minuti agli attaccanti attribuiti alla Corea del Nord per prosciugare 6,3 miliardi di dollari da Binance, il più grande hack crypto mai registrato. Secondo l'exchange, hanno compromesso il computer di lavoro di un ingegnere di Binance tramite un finto colloquio, hanno usato uno strumento AI interno per prendere il controllo dei computer di altri ingegneri e poi hanno usato credenziali rubate per dirottare un servizio interno di firma dei wallet.

— Binance (@binance) November 3, 2026

In passato, gli hacker nordcoreani erano noti per farsi assumere presso aziende crypto con identità finte, attaccare attraverso infrastrutture di terze parti e avvelenare librerie di codice ampiamente utilizzate. Più di recente, hanno iniziato a usare l'AI per rendere tutto più convincente. Questi sono i metodi che si conoscono negli attacchi crypto.

Dipendenti finti

Il chief security officer di Binance, Jimmy Su, ha dichiarato a Decrypt nell'agosto 2025 che l'exchange scarta ogni giorno curriculum sospettati di provenire dalla Corea del Nord, e che "quasi tutti i grandi hack della DPRK" all'epoca avevano coinvolto un dipendente finto che aiutava a facilitare l'attacco.

Su ha detto che nei curriculum ci sono segnali rivelatori che indicano che il candidato proveniva dalla Corea del Nord, ma l'exchange non ha voluto rivelare i dettagli di questi campanelli d'allarme. A volte, però, gli attori malintenzionati arrivano alla fase del colloquio, dove usano deepfake per cambiare il proprio volto e la propria voce.

"L'unico vero buon metodo di rilevamento è che hanno quasi sempre una connessione internet lenta," ha detto a Decrypt. "Durante la chiamata stanno lavorando la traduzione e il modificatore di voce … per questo hanno sempre un ritardo."

Coloro che vengono effettivamente assunti tendono a essere sospettosamente bravi nel lavoro. Su ha detto che i lavoratori nordcoreani sono spesso tra i migliori di un'azienda, probabilmente perché più persone possono condividere lo stesso ruolo a turni tra fusi orari diversi.

La minaccia non si è attenuata. Binance ha dichiarato che il suo team di sicurezza ha rilevato e prevenuto 57 casi sospetti di minacce informatiche legate alla Corea del Nord nel 2026, utilizzando tecniche che vanno da colloqui di lavoro fraudolenti a app finte per videoconferenze.

Colloqui finti

Gli attaccanti ribaltano anche la truffa, fingendosi recruiter per prendere di mira persone che già lavorano in aziende crypto di alto profilo. Spesso, l'attaccante sostiene che ci sia un problema video o audio durante il colloquio e invia alla vittima un link per aggiornare Zoom, che infetta il dispositivo con malware.

"Il gruppo DPRK [cerca anche] di programmare chiamate con i dipendenti che affacciano verso l'esterno," ha detto Su a Decrypt. "O come progetto DeFi o come società di investimento. Peggio ancora, li reclutano per un lavoro di alto livello, pagando il doppio o il triplo, solo per portarli a un colloquio."

È così che è iniziato l'attacco a Binance, secondo l'exchange. A settembre, un ingegnere software di Binance è stato contattato tramite una piattaforma di ricerca di lavoro legittima da qualcuno che si fingeva un direttore di progetto, il quale ha organizzato due colloqui. Nel primo, un presunto rappresentante delle risorse umane ha costruito fiducia durante una videochiamata in diretta condividendo un account social pieno di foto e video personali, un approccio che Binance ha definito "più avanzato e ingannevole di quanto visto in precedenza."

Nel secondo colloquio, condotto su un'app di chat, all'ingegnere è stato chiesto di scaricare un "compito" sul suo computer di lavoro. Il repository di codice conteneva un malware fino ad allora sconosciuto che veniva eseguito durante l'installazione, sostituiva uno strumento di sviluppo legittimo con una versione dannosa e si collegava a un server controllato dagli attaccanti, eludendo gli strumenti di sicurezza di Binance.

Metodi simili sono stati utilizzati su larga scala altrove. Un gruppo legato alla Corea del Nord ha infettato almeno 30.000 dispositivi in più di 100 paesi tra circa dicembre 2025 e luglio 2026, sottraendo fondi o credenziali da più di 7.000 wallet crypto e spostando circa 10,71 milioni di dollari verso la Corea del Nord.

Quel gruppo, noto come WaterPlum o Contagious Interview, si fingeva un'azienda di AI, crypto o NFT e assegnava ai candidati un colloquio tecnico o un compito di programmazione che richiedeva di scaricare file pieni di malware. Alcuni usavano software AI per lo swap dei volti durante i colloqui, prima di interrompere il proprio video e chiedere al candidato di fare lo stesso, adducendo una connessione scadente.

Avvelenamento delle librerie

Su ha inoltre detto a Decrypt che gli hacker nordcoreani avvelenano le librerie di codice pubbliche, classificandolo come il secondo metodo di attacco più comune—dopo i dipendenti finti.

I pacchetti Node Package Manager (NPM) sono raccolte di codice open source riutilizzabile su cui gli sviluppatori fanno spesso affidamento. Gli attaccanti possono clonare questi pacchetti e introdurre una piccola riga di codice dannoso mantenendo intatta la funzione originale. Ciò significa che una vittima potrebbe usare una libreria avvelenata senza accorgersene, con il codice dannoso che si radica sempre più a fondo nel tempo man mano che viene costruito altro software sopra di esso.

A settembre 2025, l'azienda di sicurezza informatica ReversingLabs ha trovato due pacchetti NPM che usavano smart contract Ethereum per scaricare malware, una cosa che l'azienda ha detto di non aver mai visto prima. I pacchetti erano legati a una rete più ampia di repository GitHub, per lo più presentati come trading bot crypto, con migliaia di commit e stelle che ReversingLabs ritiene essere per lo più falsi.

La tattica faceva parte di una "campagna sofisticata" di attori malintenzionati che tentavano di violare gli utenti tramite librerie di codice pubbliche legate alla blockchain avvelenate—un vettore di attacco che Binance ha precedentemente attribuito a hacker nordcoreani. Per contrastare la minaccia, ha detto Su, Binance fa esaminare ai dipendenti le librerie NPM in modo minuzioso.

Strumenti di sviluppo manomessi hanno avuto un ruolo anche nell'hack a Binance. A giugno, un membro del team DevOps dei wallet di Binance ha scaricato un'installazione manomessa di Homebrew, un popolare installer di software, mentre tentava di installare uno strumento di coding AI trovato tramite un motore di ricerca, ha detto l'exchange. Il team di sicurezza ha individuato il problema, ha sostituito il dispositivo e ha ruotato le sue credenziali, ma l'incidente ha esposto agli attaccanti l'ingegnere e i suoi colleghi del team dell'infrastruttura dei wallet.

Attacchi alle infrastrutture

Prima di Binance, il record negativo del più grande hack crypto apparteneva a Bybit, che ha perso 1,4 miliardi di dollari a febbraio 2025—meno di un quarto della cifra sottratta a Binance. Le aziende di cybersecurity hanno rivelato che gli hacker nordcoreani hanno realizzato l'attacco piantando codice dannoso nell'infrastruttura di Safe, un fornitore di wallet crypto utilizzato dall'exchange.

Le aziende di sicurezza hanno detto che codice JavaScript dannoso è stato iniettato direttamente nell'infrastruttura online di Safe, anche se non è chiaro come gli attaccanti siano riusciti a farlo. L'infrastruttura di Bybit "non è stata compromessa," ha detto l'exchange a Decrypt—l'hack è avvenuto unicamente perché una terza parte è stata sfruttata.

L'attacco a Binance, al contrario, ha preso di mira i sistemi stessi dell'exchange. Il 29 ottobre, l'attaccante ha usato credenziali rubate per distribuire un container—un ambiente software isolato usato per eseguire servizi all'interno dell'infrastruttura di un'azienda—e ottenere accesso non autorizzato a un servizio interno di firma dei wallet, che gli ha permesso di avviare transazioni al di fuori del normale processo di prelievo di Binance. Su Ethereum, ha usato il servizio di firma per sfruttare l'EIP-7702, un meccanismo che consente a un account di delegare i diritti di esecuzione a uno smart contract, dando a un contratto controllato dall'attaccante il controllo parziale su un hot wallet di Binance, il wallet connesso a internet su cui gli exchange fanno affidamento per gestire i prelievi dei clienti.

Le autorizzazioni on-chain hanno continuato a funzionare anche dopo che Binance ha sospeso i prelievi. Poiché l'hot wallet utilizzava la multi-party computation, un approccio che divide il controllo delle chiavi tra più parti, in modo che nessun singolo partecipante detenga la chiave completa, non esisteva una singola chiave privata che Binance potesse usare per revocarle rapidamente, ha detto l'exchange.

Truffe potenziate dall'AI

Ognuno dei vettori di attacco sopra citati può essere potenziato con strumenti di intelligenza artificiale.

All'inizio di quest'anno, Google ha segnalato una campagna di malware basata sull'AI mirata alle aziende crypto proveniente dalla Corea del Nord. Anche Su di Binance ha osservato che gli strumenti AI possono essere usati per aumentare l'efficacia degli attacchi.

Le preoccupazioni per gli hack potenziati dall'AI sono aumentate negli ultimi mesi, con il co-fondatore di Ethereum Vitalik Buterin che ha detto a ottobre che è "plausibile" che l'AI possa violare la crittografia entro i prossimi due anni. Ciò è arrivato nel mezzo di un'esplosione della matematica guidata dall'AI, con OpenAI che ha dichiarato di aver risolto in pochi giorni un problema matematico vecchio di 90 anni, e gli esperti hanno esortato il settore a prepararsi ad attacchi basati sull'AI contro la crittografia.

Non ci sono segnalazioni confermate di hacker nordcoreani che usino l'AI per violare la crittografia. Ma viste la rapidità con cui hanno adottato l'AI altrove, il settore potrebbe doversi preparare anche a questo.