Gli hacker nordcoreani stanno utilizzando sempre più l'intelligenza artificiale per rafforzare gli attacchi informatici contro aziende di criptovalute e istituzioni finanziarie, secondo nuove ricerche di cybersecurity. Il cambiamento segnala un'evoluzione più ampia nel modo in cui i gruppi collegati a Pyongyang combinano social engineering, malware e automazione per procurarsi asset digitali — un flusso di entrate diventato sempre più importante per il regime soggetto a sanzioni.

Questa attività aggiunge un ulteriore livello di rischio per gli exchange di criptovalute, le piattaforme fintech e le istituzioni finanziarie. I ricercatori di sicurezza affermano che gli operatori nordcoreani non considerano più l'IA solo come strumento per generare messaggi di phishing convincenti. La stanno invece integrando in più fasi delle loro operazioni. Questo cambiamento è significativo perché i gruppi collegati alla Corea del Nord — inclusi quelli tracciati dalle società di sicurezza con nomi come Lazarus e APT38 — hanno già dimostrato di poter portare a termine alcuni dei più grandi furti di criptovalute mai registrati. L'aggiunta dell'automazione basata sull'IA a questa base potrebbe ampliare il volume e la sofisticazione delle campagne senza richiedere incrementi proporzionali di personale.

L'IA amplia la superficie di attacco

Ricerche recenti hanno rilevato che i gruppi collegati alla Corea del Nord utilizzano piattaforme di large language model, strumenti di coding basati sull'IA e tecnologie di ricerca documentale durante le operazioni informatiche. I ricercatori hanno inoltre identificato documenti generati con l'IA progettati per assomigliare a legittimi materiali di investimento finanziario e di criptovalute.

La tecnologia può aiutare gli attaccanti ad analizzare informazioni, creare comunicazioni convincenti e potenzialmente accelerare lo sviluppo di malware. I sistemi di IA locali possono inoltre ridurre la necessità di inviare informazioni sensibili a servizi esterni, rendendo l'attività più difficile da rilevare — un vantaggio significativo per operatori che agiscono sotto pesanti sorveglianza e sanzioni internazionali.

Inoltre, altre indagini recenti hanno collegato gli operatori nordcoreani a identità generate con l'IA e ambienti video sintetici utilizzati per colpire aziende finanziarie. Queste tattiche possono far apparire più credibili falsi recruiter, dirigenti e contatti commerciali. Lo sviluppo si basa su un pattern ben documentato di operativi nordcoreani che si spacciano per legittimi lavoratori IT e recruiter per infiltrarsi nelle aziende, una strategia su cui le agenzie di intelligence occidentali avvertono pubblicamente da anni.

Le criptovalute restano un obiettivo principale

L'incentivo finanziario rimane significativo. Un importante report del 2026 sulle minacce al settore finanziario ha stimato che gli attori legati alla Corea del Nord hanno sottratto circa 2,02 miliardi di dollari in asset digitali durante il 2025. Questo ha rappresentato un aumento del 51% rispetto all'anno precedente. Comitati delle Nazioni Unite hanno in precedenza riportato che il furto di criptovalute costituisce una delle fonti più importanti di entrate sanzionate per Pyongyang, con proventi collegati ai programmi di armamento.

Le aziende di criptovalute affrontano rischi particolari perché i dipendenti spesso gestiscono chiavi private, infrastrutture di wallet e transazioni di alto valore. Gli attaccanti possono sfruttare relazioni di fiducia piuttosto che attaccare direttamente le reti blockchain.

Gli ultimi sviluppi suggeriscono che l'IA potrebbe rendere quelle campagne più rapide e scalabili. Tuttavia, i ricercatori non hanno stabilito che l'IA da sola sia responsabile degli attacchi né che ogni capacità riportata abbia prodotto furti riusciti.

Per le aziende del settore crypto, la minaccia rafforza l'importanza di una verifica dell'identità più rigorosa, della formazione sulla sicurezza dei dipendenti e del monitoraggio di accessi insoliti. Le agenzie statunitensi e alleate hanno emesso ripetuti avvisi invitando le aziende a scrutinare i lavoratori remoti, verificare i contatti di recruiting e rafforzare i controlli di accesso. Mentre gli operatori nordcoreani continuano ad adattare i propri metodi, l'IA sta diventando un ulteriore strumento in una lunga campagna focalizzata su spionaggio e guadagno finanziario.