Gli hacker collegati alla Corea del Nord hanno rappresentato quasi l'89% delle perdite segnalate per attacchi crittografici nel 2026, secondo i risultati pubblicati da Chainalysis il 30 ottobre. Il dato è giunto dopo il furto di circa 6,3 miliardi di dollari da Binance a ottobre, mentre Pyongyang ha respinto separatamente una dichiarazione internazionale che chiedeva una più rigorosa applicazione delle sanzioni.

L'entità delle perdite da attacchi crittografici di quest'anno

I dati della società includono i casi segnalati fino al 29 ottobre. Dei 22,34 miliardi di dollari persi a causa di attacchi crittografici dal 2021, circa il 59% — ovvero 13,24 miliardi di dollari — è attribuito al presunte cybercrimine nordcoreano. Gli attacchi sospettati di essere collegati alla Corea del Nord rappresentano quasi l'89% delle perdite segnalate per attacchi crittografici finora quest'anno, rispetto a una quota del 15% nel 2021. La perdita media segnalata per attacco sospettato legato alla DPRK è salita da 50,65 milioni di dollari nel 2021 a 185,65 milioni di dollari dal 2026 a oggi, circa 3,7 volte maggiore.

Gli attacchi sospettati di essere collegati alla Corea del Nord rappresentano quasi l'89% delle perdite segnalate per attacchi crittografici finora quest'anno. Nel 2021, quella quota era del 15%. La perdita media segnalata per attacco sospettato legato alla DPRK è salita da 50,65 milioni di dollari nel 2021 a 185,65 milioni di dollari dal 2026 a oggi, circa 3,7 volte maggiore. Dal 2021… pic.twitter.com/zT4nFqqvWK

— Chainalysis (@chainalysis) 30 ottobre 2026 (post di origine)

Chainalysis ha sottolineato che queste percentuali riflettono il valore attribuito agli attaccanti, e non il numero effettivo dei casi o le conclusioni dei tribunali. Poiché i dati coprono solo i casi segnalati fino al 29 ottobre, i totali definitivi di fine anno potrebbero comunque cambiare man mano che vengono segnalati ulteriori incidenti.

Perché le perdite da attacchi crittografici nordcoreani stanno aumentando?

Chainalysis stima che il valore medio di un attacco crittografico associato alla Corea del Nord sia salito a 185,65 milioni di dollari nel 2026 da 50,65 milioni di dollari nel 2021, un aumento di 3,7 volte. La società aveva in precedenza stimato il valore delle criptovalute rubate dagli hacker nordcoreani in 2,02 miliardi di dollari nel 2025, in aumento del 51% rispetto al 2024 a causa di un numero inferiore di attacchi ma di incidenti più grandi.

Uno di questi grandi incidenti è stato l'attacco a Bybit di febbraio 2025, che ha causato perdite di circa 1,5 miliardi di dollari. Secondo Chainalysis, i tre maggiori incidenti informatici hanno rappresentato il 69% delle perdite dai servizi di criptovalute nel 2025.

I ricercatori hanno inoltre descritto truffe di phishing e dipendenti IT remoti che tentavano di ottenere l'accesso alle società crittografiche. Privilegi di firma rubati possono consentire agli attaccanti di prelevare fondi senza sfruttare alcuna vulnerabilità nel protocollo blockchain stesso.

I dati di quest'anno sono stati fortemente influenzati dall'attacco a Binance di ottobre, in cui l'exchange ha riportato circa 6,3 miliardi di dollari di prelievi non autorizzati.

Come è stato tracciato l'attacco a Binance?

Chainalysis ha collegato l'attacco a TraderTraitor, un threat actor che classifica come appartenente alla Corea del Nord. La società ha affermato di aver tracciato il movimento dei fondi da Binance e identificato collegamenti con i fondi rubati nell'attacco a Bitget di settembre, un incidente che la società ritiene anch'esso essere stato eseguito da attori operanti in Corea del Nord. Chainalysis ha descritto questo come la sua prova più solida finora, ma non ha ancora determinato come l'attaccante abbia ottenuto l'autorizzazione di firma necessaria. Binance non ha ancora rilasciato la sua spiegazione tecnica della questione. (Fonte: Finance Magnates) Come l'attaccante abbia ottenuto quell'autorizzazione di firma resta la domanda centrale irrisolta del caso.

TRM Labs ha confermato in modo indipendente che il colpo appartiene a TraderTraitor. Il suo rapporto del 30 ottobre ha indicato che un totale di 6,36 miliardi di dollari è stato trasferito su dieci reti diverse in 20 minuti. TRM Labs ha anche accertato che la Corea del Nord è stata responsabile dell'85% delle perdite da attacchi crittografici nel 2026.

Dove sono finiti gli asset rubati?

Chainalysis ha rilevato che migliaia di transazioni si sono mosse avanti e indietro tra indirizzi. Questi indirizzi iniziavano ricevendo un TRX prima di ricevere somme maggiori e inviare nuovamente i fondi. Secondo gli investigatori, questo comportamento ripetitivo indicava un riciclaggio automatizzato successivo all'attacco. Tuttavia, non sono riusciti a determinare chi abbia programmato il software né il metodo utilizzato per il compromesso iniziale.

L'hacker ha trasferito 500 milioni di dollari in stablecoin verso percorsi di conversione. In meno di 20 minuti, quasi 325 milioni di dollari di esse sono stati convertiti in 285 milioni di dollari in ETH, mentre 175 milioni di dollari sono stati mantenuti in portafogli intermedi.

Gli emittenti di stablecoin e i loro partner del settore hanno congelato quasi 2,8 miliardi di dollari, secondo Chainalysis. Lo snapshot precedente di TRM Labs riportava il congelamento di quasi 2,7 miliardi di dollari, riflettendo momenti diversi del processo di rendicontazione. Il congelamento delle stablecoin può impedirne il movimento fino alla conversione. Il bitcoin nativo ed Ethereum non hanno emittente e pertanto non possono essere congelati, rendendo il tempo essenziale quando si indaga su attacchi che coinvolgono questi asset. Se ulteriori fondi rubati possano essere congelati prima della conversione rimane una domanda aperta.

Perché Pyongyang ha respinto la dichiarazione sulle sanzioni?

Il 31 ottobre, la Corea del Nord ha respinto i tentativi multilaterali di applicare sanzioni alle sue attività oltre i confini nazionali. Il ministero degli Esteri del paese ha dichiarato che sanzioni e pressioni non avrebbero influito sulla sua politica degli armamenti nucleari, secondo i media statali.

Una lettera aperta di 11 nazioni e dell'Unione Europea, rilasciata il 28 ottobre, si riferiva ai lavoratori all'estero, alle operazioni nel cyberspazio e alla cooperazione militare con la Russia. Chiedeva agli stati membri delle Nazioni Unite di far rispettare le risoluzioni del Consiglio di Sicurezza già adottate. I firmatari hanno stabilito un collegamento tra le politiche sanitarie e il finanziamento di programmi di armamenti illeciti.

La lettera diplomatica non ha nominato alcuna delle parti responsabili del furto di criptovalute da Binance. I risultati di Chainalysis e TRM Labs possono essere considerati un'attribuzione investigativa. Per ora, l'attribuzione del furto di ottobre proviene da analisi del settore privato piuttosto che da una qualsiasi designazione formale da parte dei governi firmatari della lettera.