Gli hacker nordcoreani stanno spostando i circa 6,4 miliardi di dollari rubati a Binance a un ritmo vertiginoso, creando un nuovo wallet cripto circa ogni 25 secondi, secondo l'azienda di analisi blockchain Elliptic, che ha pubblicato lunedì la sua analisi della campagna di riciclaggio.

In meno di quattro giorni, l'attaccante ha disperso i fondi in circa 12.000 wallet su 11 blockchain, eseguendo più di 40.000 transazioni. Elliptic ha descritto l'operazione come altamente automatizzata, ma ha dichiarato di non aver trovato prove dell'uso dell'intelligenza artificiale.

Gli emittenti di stablecoin, tuttavia, si sono mossi più velocemente dei ladri. Circa 2,85 miliardi di dollari, pari al 44% del bottino, sono stati congelati o sequestrati — un netto contrasto con il circa 3% congelato dopo l'hack da 1,5 miliardi di dollari di Bybit ad opera della Corea del Nord a febbraio 2025, che fino ad allora era il furto di criptovalute più grande mai registrato. La breach di Binance è oltre quattro volte più grande.

La velocità si è rivelata cruciale perché le stablecoin rappresentavano 3,46 miliardi di dollari, ovvero il 54%, dei fondi rubati, e i loro emittenti hanno la possibilità di congelarle. Tether ha bloccato gli USDT rubati su Ethereum 37 minuti dopo che erano arrivati nel wallet dell'attaccante, mentre Circle ha congelato tutti gli 823 milioni di dollari in USDC rubati prima che potessero essere scambiati, ha rilevato Elliptic.

Prima che i congelamenti entrassero in vigore, l'hacker ha convertito 434 milioni di USDT in ETH su exchange decentralizzati come Uniswap, ha preso in prestito 19.762 ETH sul protocollo di lending Aave a fronte di altri 59,9 milioni di USDT, e ha scambiato 234 milioni di USDT con il token TRX di Tron. In totale, circa 786 milioni di dollari in stablecoin sono sfuggiti all'intervento degli emittenti.

La breach è iniziata giovedì sera, quando gli attaccanti hanno iniziato a svuotare i hot wallet di Binance — wallet connessi a internet che gli exchange usano per elaborare i prelievi dei clienti, il che li rende lo strato più esposto dell'infrastruttura di custodia di un exchange. L'FBI ha successivamente attribuito il furto a TraderTraitor, un gruppo di hacker nordcoreano legato allo Stato che le autorità statunitensi hanno in precedenza collegato ad altri grandi furti di criptovalute, e ha pubblicato centinaia di indirizzi collegati. Binance, che si è impegnata a coprire tutte le perdite dei clienti, ha riaperto i prelievi domenica e ha registrato circa 3,64 miliardi di dollari di deflussi netti nelle prime nove ore e mezza.

Il riciclaggio successivo è stato incessante. Tron è diventato il canale principale, con l'attività di transazione che ha raggiunto un picco di circa 1.300 trasferimenti in una singola ora. Questo ritmo ha alimentato la speculate che agenti AI stessero orchestrando i movimenti, ma Elliptic ha respinto questa interpretazione, citando tempistiche fisse, importi prestabiliti, tentativi alla cieca e pause che rispecchiano l'orario di lavoro umano. Sebbene il riciclaggio sia chiaramente automatizzato, ha scritto l'azienda, «nulla di ciò che abbiamo visto mostra un agente AI che prende decisioni».

Somme ingenti restano intatte. Circa 3,24 miliardi di dollari si trovano in indirizzi collegati al furto, per lo più in ETH e nei 18.270 Bitcoin rubati, che non si sono mossi dal giorno dell'attacco. Elliptic ritiene che tali fondi siano molto probabilmente ancora detenuti dalla Corea del Nord — gli investigatori delle Nazioni Unite hanno in precedenza riferito che i furti cripto nordcoreani contribuiscono a finanziare i programmi di armamento del paese — mentre il denaro già in movimento nella pipeline di riciclaggio potrebbe essere passato a reti di riciclaggio cinesi. Solo una quantità trascurabile sembra essere stata incassata. Circa 16 milioni di dollari sono inoltre confluiti in indirizzi che detengono proventi dell'exploit di Bitget di settembre.

Basandosi sullo schema osservato dopo l'hack di Bybit, Elliptic prevede che l'attaccante scambierà i suoi ETH con Bitcoin in piccoli lotti e incasserà tramite broker over-the-counter nell'arco di diversi mesi. Ulteriori congelamenti saranno più difficili da ottenere, ha detto l'azienda, perché ETH e Bitcoin non possono essere congelati. Le migliori opportunità rimaste riguardano i servizi centralizzati, dove i fondi prima o poi dovranno emergere — e dove le centinaia di indirizzi pubblicati dall'FBI offrono ai team di compliance uno strumento concreto di screening.

Il furto a Binance conclude un periodo particolarmente duro per la sicurezza del settore cripto. BTCPay Server ha invitato i commercianti a spegnere i propri server lunedì, dopo segnalazioni di attacchi a hot wallet, e l'exchange brasiliano Mercado Bitcoin ha sospeso i prelievi dopo un hack da 40 milioni di dollari. Non è chiaro se alguno dei due episodi sia collegato all'attacco a Binance.