Hacker nordcoreani hanno rubato una cifra stimata di 7,61 miliardi di dollari in 38 episodi tra gennaio e ottobre — una media di circa 200 milioni di dollari per episodio — secondo un rapporto pubblicato il 6 novembre dall'azienda di intelligence blockchain BitOK. L'azienda ha dichiarato che i sei attacchi più grandi non hanno richiesto la violazione del codice degli smart contract. Gli aggressori hanno invece preso il controllo di dipendenti, dispositivi di firma e sistemi di prelievo.

BitOK ha conteggiato furti ai danni di exchange, piattaforme di finanza decentralizzata e altre attività legate alle criptovalute. Sul totale stimato, 2,86 miliardi di dollari sono stati bloccati tramite congelamenti e sequestri, mentre 4,75 miliardi — circa il 62% del totale stimato — sono rimasti irrecuperabili. Le cifre descrivono molti episodi distinti, piuttosto che una singola transazione o un unico attacco coordinato.

I sistemi di firma sono diventati la principale superficie d'attacco

Il rapporto identifica i sistemi che autorizzano i prelievi come bersaglio primario. Nel caso di Binance, ha dichiarato BitOK, gli aggressori hanno utilizzato il laptop di un ingegnere DevOps e un contenitore di un servizio di firma. I trasferimenti risultanti recavano firme valide o superavano i controlli standard, nonostante l'ambiente di firma fosse stato compromesso — per la blockchain, un prelievo correttamente firmato è valido indipendentemente da chi controllasse il dispositivo che l'ha generato.

Altri episodi hanno coinvolto firmatari multisig presso Drift, un verificatore di bridge presso KelpDAO e il sistema di wallet di Bitget. BitOK ha dichiarato che gli aggressori hanno testato le rotte con piccoli importi prima di eseguire furti più consistenti. Nel caso di Binance, il contratto dell'attacco era pubblicamente attivo quattro ore prima del furto principale.

Il rapporto descrive anche un rapido spostamento dalle stablecoin verso ETH, un asset che gli emittenti non possono congelare. Tether ha ricevuto la prima richiesta di congelamento 34 minuti dopo il prelievo da Binance; a quel punto, 345 milioni di USDT avevano già lasciato l'indirizzo originale. BitOK ha dichiarato che il 43% dei fondi rubati nell'attacco a Binance è stato congelato o sequestrato, a fronte del 6% negli altri attacchi principali messi insieme.

Tracce condivise collegano episodi distinti

BitOK ha dichiarato che indirizzi di regolamento condivisi hanno collegato cinque attacchi, dal furto presso KelpDAO ad aprile all'episodio di Binance a ottobre. L'azienda ha tracciato i saldi residui che sono confluiti in un wallet di raccolta. Il 31 agosto, 150 indirizzi si sono svuotati in quel wallet collettore nell'arco di 3 minuti e 36 secondi, lasciando sul posto 0,27 ETH.

L'azienda ha interpretato la traccia condivisa come prova di un unico operatore di riciclaggio, lasciando tuttavia aperta la possibilità che intrusioni diverse siano state condotte da team differenti. Il rapporto non identifica individui incriminati o condannati per gli episodi del 2026, lasciando irrisolta la relazione tra coloro che hanno ottenuto l'accesso e coloro che hanno mosso i fondi.

BlockTelegraph aveva precedentemente riportato gli outflow di Binance dopo l'hack, compresi i 4,7 miliardi di dollari di outflow netti registrati dall'exchange dopo la ripresa dei prelievi. Un altro rapporto ha esaminato i permessi dei wallet legati ai wallet di Binance. La sua copertura di Bitget ha dettagliato la zero-day collegata al furto.

Il recupero dipende dall'intervento tempestivo

Le cifre di BitOK mostrano quanto i tempi abbiano condizionato gli esiti del recupero. Le stablecoin o gli asset detenuti presso un servizio in grado di bloccare i trasferimenti offrivano una possibilità di fermare i movimenti. Una volta che gli aggressori avevano convertito i fondi in ETH o instradato i fondi attraverso altri servizi e blockchain, il recupero diveniva notevolmente più difficile, secondo il rapporto.

Il prossimo focus di sicurezza del rapporto riguarda le chiavi di firma e le persone o i sistemi che le controllano. Indica dispositivi dei dipendenti, contenitori e percorsi di approvazione come parte del perimetro di sicurezza prima che le transazioni raggiungano una blockchain. Il resoconto evidenzia anche il valore dei piccoli saldi residui: il collettore da 0,27 ETH ha contribuito a collegare indirizzi associati ad attacchi distinti.

La stima 2026 di BitOK copre gli episodi fino a ottobre ed è stata pubblicata il 6 novembre. Il rapporto presenta i collegamenti di riciclaggio condivisi come un modo per connettere i movimenti di denaro, lasciando aperta la questione se le intrusioni distinte provengano da un unico team. Il resoconto colloca il rilevamento rapido e le richieste di congelamento tra le misure di risposta che hanno determinato ciò che è stato possibile recuperare.