Hacker nordcoreani avrebbero trasferito decine di milioni di dollari tramite Hyperliquid, collocando l'exchange on-chain di perpetui al centro di un presunto evento di flussi di fondi illeciti che solleva nuove questioni di controparte e compliance per i trader DeFi. È importante sottolineare che il report descrive la movimentazione di fondi legati ad attori di minaccia statali — non un exploit confermato del protocollo stesso.

Cosa sarebbe avvenuto su Hyperliquid

Secondo il reportaggio alla base di questa storia, portafogli attribuiti a hacker nordcoreani avrebbero fatto transitare decine di milioni di dollari su Hyperliquid, l'exchange on-chain di perpetui citato direttamente nel resoconto. La sola entità della somma è sufficiente a inquadrare l'evento come un fatto di sicurezza e di mercato, e non come un normale flusso di ordini. Per una copertura correlata, si veda Aggiornamento mercato DeFi: TVL, liquidità e attività dei protocolli durante la notte | 1 settembre 2026.

La distinzione è rilevante: le evidenze disponibili indicano fondi trasferiti attraverso o parcheggiati su Hyperliquid, non una violazione degli smart contract di Hyperliquid o del suo fondo di liquidità di supporto. Nessun hash di transazione verificato, timestamp o indirizzo di portafoglio accompagna il report attuale, quindi la specifica traccia on-chain resta non confermata al momento della pubblicazione. Per una copertura correlata, si veda Aggiornamento mercato DeFi: TVL, liquidità e attività dei protocolli | Sera, 31 agosto 2026.

Un flusso di tipo mixing prenderebbe di mira questa piattaforma in particolare per la sua profondità: Hyperliquid figura tra i più grandi protocolli on-chain di derivati per attività, come mostrano le sue metriche di protocollo su DeFiLlama, ed è proprio quella liquidità a consentire trasferimenti di grande entità senza slippage vistoso.

Perché questo ricade nella categoria Rischio per gli utenti DeFi

Defiliban classifica i flussi sospettati legati a hacker nella categoria Rischio perché l'esposizione riguarda chi utilizza la piattaforma e come, non lo sviluppo del prodotto. Un'attività di riciclaggio legata a stati su una DEX di perpetui tocca il rischio di controparte, il rischio di sorveglianza on-chain e l'ombra reputazionale che può accompagnare qualsiasi piattaforma associata ad attori sanzionati.

Il contesto più ampio è ben documentato: i report del Gruppo di Esperti delle Nazioni Unite hanno ripetutamente identificato l'attività informatica nordcoreana contro obiettivi di criptovalute come una significativa fonte di entrate per il regime, motivo per cui flussi di questo tipo vengono trattati come una questione di sanzioni e sicurezza nazionale, e non come semplice rumore di analisi on-chain.

Le operazioni informatiche nordcoreane sono da tempo un obiettivo di sanzioni, con il Tesoro degli Stati Uniti che ha designato infrastrutture di hacking legate alla DPRK e canali di riciclaggio di criptovalute. È questo contesto a far sì che fondi in transito su una piattaforma DeFi attirino immediati controlli di monitoraggio e compliance, anche quando il protocollo è un semplice canale passivo anziché la vittima. L'applicazione della legge statunitense ha in precedenza raggiunto direttamente le infrastrutture a livello di protocollo — in modo più notevole con le sanzioni del Tesoro al servizio di mixing Tornado Cash, poi oggetto di contenzioso e infine revocate nel 2025 — un precedente che mostra come l'associazione con flussi di entità sanzionate possa escalare da problema reputazionale a esposizione legale per le piattaforme DeFi e i loro operatori.

Per gli LP e i trader, la preoccupazione pratica è la contaminazione degli indirizzi e i congelamenti a valle: controparti, rampe di ingresso e uscita on- e off-ramp e piattaforme centralizzate effettuano sempre più spesso screening contro cluster segnalati. Questo schema richiama episodi precedenti come i portafogli legati al Lazarus Group che trasferiscono fondi on-chain e altri movimenti legati alla Corea del Nord che hanno fatto scattare segnali di rischio, dove la storia era il movimento in sé, non un hack.

Cosa osservare in seguito

Il primo segnale è l'eventuale osservazione di trasferimenti aggiuntivi dagli stessi cluster, il che indicherebbe un riciclaggio attivo piuttosto che una mossa di parcheggio isolata. In assenza di un hash di transazione pubblicato, la verifica indipendente tramite un block explorer è il passaggio indispensabile prima che l'importo e il percorso possano essere considerati accertati.

Il secondo riguarda l'eventuale dichiarazione di Hyperliquid o dei suoi contributori dell'ecosistema, la segnalazione degli indirizzi o qualsiasi azione a livello di protocollo, considerata la spinta in corso della piattaforma verso una distribuzione regolamentata negli Stati Uniti tramite un accordo sui perpetui in cui la postura di compliance ha un peso rilevante.

Il terzo è il sentiment: se l'associazione con attori sanzionati sposterà in modo significativo la fiducia dei trader nel breve periodo o il comportamento della liquidità sulla piattaforma. Finché la traccia on-chain non sarà verificata, i lettori dovrebbero considerare la cifra riportata come non confermata e ponderarla di conseguenza.