Il mondo delle criptovalute ha un problema di hacking. E sempre più spesso questo problema rimonta fino a Pyongyang.

Secondo i dati pubblicati dall'azienda di analisi blockchain Chainalysis il 30 ottobre 2026, gli hack sospettati come legati alla Corea del Nord hanno rappresentato quasi l'89% delle perdite segnalate per attacchi alle criptovalute nel 2026. Nel 2021, quella quota era pari al solo 15%. Anche le perdite medie per attacco sono più che triplicate dal 2021, a conferma che le operazioni attribuite alla DPRK sono ora alla base della grande maggioranza delle criptovalute rubate.

È proprio questa concentrazione a distinguere il 2026 per il settore: quando un unico attore legato a uno Stato accounted per la maggior parte delle perdite segnalate, la pianificazione della sicurezza degli exchange e il tracciamento degli incidenti ruotano sempre più attorno a un unico profilo di minaccia ben documentato, anziché a un panorama diffuso di aggressori.

I numeri dietro l'impennata

Chainalysis ha tracciato le perdite segnalate da hack crypto dal 2021 al 29 ottobre 2026. In quell'arco di tempo, le perdite totali segnalate si sono attestate attorno a un valore stimato di 22,34 miliardi di dollari. Gli hack attribuiti alla DPRK hanno costituito una quota stimata di 13,24 miliardi di dollari del totale, pari a circa il 59% di tutte le perdite segnalate nel periodo.

La cifra più indicativa può essere la dimensione di ogni singolo attacco. Secondo Chainalysis, la perdita media per incidente attribuito alla DPRK era di 50,65 milioni di dollari nel 2021. Nel 2026, da inizio anno, quella media è salita a 185,65 milioni di dollari — rendendo ogni attacco più di tre volte più costoso rispetto a cinque anni fa.

Nel complesso, i dati indicano colpi meno numerosi ma più imponenti, anziché un flusso di piccoli attacchi. La concentrazione delle perdite in una manciata di eventi importanti, invece di un aumento generalizzato del volume degli hack, suggerisce un focus deliberato su obiettivi di alto valore. Significa anche che singoli incidenti possono da soli condizionare i totali annuali — una dinamica visibile nei due attacchi del 2026 descritti di seguito.

I grandi colpi del 2026

Due incidenti dominano i totali dell'anno. Il più grande è un hack a Binance il 29 ottobre 2026, con perdite stimate in circa 6,3-6,4 miliardi di dollari. In precedenza, a settembre 2026, un exploit su Bitget ha causato una perdita di 387 milioni di dollari.

Entrambi gli incidenti sono stati collegati a TraderTraitor, un gruppo informatico nordcoreano legato a una serie di attacchi di alto valore.

Le tecniche impiegate non sono forzature brute del codice. Gli attacchi hanno fatto affidamento su metodi sofisticati come l'ingegneria sociale, che prende di mira le persone anziché il software, e il riciclaggio multichain, che sposta i fondi rubati su più blockchain per oscurare le tracce. Quei punti di accesso si trovano nelle operazioni e nel personale, più che nel codice — una caratteristica ricorrente negli incidenti attribuiti finora al gruppo.

Un secondo parere da TRM Labs

Chainalysis non è l'unica azienda a monitorare questa tendenza. La concorrente TRM Labs stima la quota della Corea del Nord sul valore totale degli hack nel 2026 intorno all'85%.

TRM Labs colloca il furto cumulativo di criptovalute da parte del regime dal 2017 a oggi a circa 12,8-13,5 miliardi di dollari. L'azienda stima che 7,4 miliardi di dollari siano stati rubati solo nel 2026, da inizio anno.

Le due aziende utilizzano metodi e finestre temporali diverse, quindi le loro cifre non coincidono perfettamente. La direzione, tuttavia, è la stessa: entrambe mostrano un'attività legata alla Corea del Nord dominante nel furto di criptovalute quest'anno. Per chi valuta i numeri, questa convergenza indipendente è il contesto chiave — i totali riportati variano in base alla metodologia, ma il dato di fondo è confermato da due dataset separati.

Come siamo arrivati fin qui

Nel 2021, gli hack legati alla Corea del Nord erano una minaccia tra le tante. I dati di Chainalysis collocano la loro quota delle perdite di quell'anno al 15%, il che significa che la maggior parte delle criptovalute rubate finiva ad altri aggressori.

Gruppi come TraderTraitor sono da allora diventati nomi ricorrenti nei report sulle violazioni. Lo schema è stato costante: prendere di mira le grandi piattaforme, sfruttare i punti di accesso umani e poi riciclare i proventi attraverso più reti.

Con i bilanci di fine anno ancora in sospeso, le cifre da seguire saranno i prossimi aggiornamenti di Chainalysis e TRM Labs — sia per verificare se la concentrazione del 2026 reggerà fino a dicembre, sia per vedere come la metodologia di ciascuna azienda tiene conto degli incidenti Binance e Bitget nei totali finali.