L’FBI ha attribuito al gruppo nordcoreano TraderTraitor il gigantesco attacco informatico contro Binance, la maggiore piattaforma mondiale per lo scambio di criptovalute. Il furto, quantificato in 6,3 miliardi di dollari, rappresenta un’operazione senza precedenti per dimensioni. Binance ha dichiarato di avere già coperto il 95% delle perdite utilizzando risorse proprie e di avere ripristinato i prelievi domenica. Dietro questa incursione si nasconde un’organizzazione che negli ultimi anni ha accumulato un patrimonio criminale di dimensioni impressionanti, prendendo di mira exchange, società tecnologiche e investitori privati. TraderTraitor non ha una sede identificabile, un sito internet o portavoce conosciuti. È il nome utilizzato dalle autorità statunitensi per indicare un gruppo di hacker nordcoreani specializzato nel furto di criptovalute. Le società di cybersicurezza lo identificano con denominazioni differenti: Microsoft utilizza Jade Sleet, Mandiant, controllata da Google, UNC4899, mentre Palo Alto Networks parla di Slow Pisces. FBI, polizia giapponese e Dipartimento della Difesa americano impiegano questi identificativi per descrivere le attività della stessa organizzazione. La formazione appartiene alla rete più ampia conosciuta come Gruppo Lazarus, un insieme di unità informatiche riconducibili al regime di Pyongyang. Secondo le valutazioni occidentali, molte di queste strutture dipendono dal Reconnaissance General Bureau, l’intelligence militare nordcoreana. Nelle prime comunicazioni ufficiali, Washington aveva associato TraderTraitor anche ai nomi Lazarus, APT38, BlueNoroff e Stardust Chollima.
Una fonte di finanziamento per il regime
A differenza dei gruppi informatici statali impegnati prevalentemente nello spionaggio, TraderTraitor ha come obiettivo prioritario l’acquisizione di risorse finanziarie. La Corea del Nord, sottoposta a severe sanzioni internazionali e isolata da buona parte del sistema bancario mondiale, ha trovato nelle valute digitali uno strumento per procurarsi denaro al di fuori dei circuiti tradizionali. Stati Uniti, Giappone e Corea del Sud hanno dichiarato che contrastare questi furti significa impedire a Pyongyang di finanziare i propri programmi missilistici e le armi di distruzione di massa. Anche secondo Chainalysis, società specializzata nell’analisi delle transazioni blockchain, le criptovalute sottratte vengono destinate proprio a sostenere gli obiettivi strategici del regime. Il nome TraderTraitor comparve pubblicamente nell’aprile 2022, quando FBI, Cybersecurity and Infrastructure Security Agency (CISA) e Dipartimento del Tesoro statunitense diffusero un’allerta congiunta. Il documento ricostruiva attività iniziate almeno nel 2020 contro imprese operanti nel settore blockchain. Nel mirino erano finite piattaforme di scambio, progetti di finanza decentralizzata, videogiochi play-to-earn, fondi di investimento specializzati e persone che possedevano consistenti quantità di criptovalute. Tra gli strumenti impiegati figuravano applicazioni per il trading apparentemente affidabili, ma contenenti programmi dannosi. Una delle tecniche più utilizzate è l’ingegneria sociale. Gli hacker costruiscono profili falsi, si presentano come selezionatori di personale su LinkedIn e avvicinano i dipendenti delle aziende con offerte di lavoro. Successivamente inviano esercitazioni tecniche e test di selezione che nascondono codice malevolo. Il sistema venne utilizzato nel 2024 contro DMM Bitcoin, exchange giapponese. Un componente del gruppo, fingendosi un reclutatore, contattò un dipendente di Ginco, società che sviluppa software per portafogli di criptovalute. Alla vittima fu trasmesso uno script Python, presentato come prova preliminare per una candidatura. Circa due mesi dopo, gli aggressori sfruttarono l’accesso ottenuto per alterare una richiesta di trasferimento legittimamente predisposta da un dipendente dell’exchange. Furono sottratti 4.502,9 bitcoin, equivalenti a circa 308 milioni di dollari. L’FBI ha evidenziato che gli hacker cercano spesso di compromettere più dipendenti della medesima organizzazione, aumentando le possibilità di penetrare nelle infrastrutture. Un’altra modalità operativa riguarda gli attacchi alla catena di fornitura. Invece di entrare direttamente nei sistemi dell’obiettivo, gli aggressori violano quelli di un fornitore informatico considerato affidabile e utilizzano successivamente quell’accesso per raggiungere i clienti. Nel 2023 Mandiant attribuì a UNC4899 un’intrusione ai danni di JumpCloud, società specializzata nella gestione delle identità digitali. L’azienda avrebbe potuto rappresentare un punto di ingresso verso numerosi operatori del comparto delle criptovalute.
I miliardi sottratti in quattro anni
I dati di Chainalysis mostrano la crescita delle operazioni nordcoreane. Nel 2023 furono rubati circa 660 milioni di dollari. Nel 2024 il bottino raggiunse 1,34 miliardi attraverso 47 attacchi, pari al 61% di tutte le criptovalute sottratte nel mondo. Nel 2025 il valore salì ad almeno 2,02 miliardi, soprattutto per effetto dell’incursione contro Bybit. Gli hacker nordcoreani furono responsabili del 76% del valore complessivo sottratto attraverso attacchi alle società di criptovalute. Alla fine dello stesso anno, Chainalysis stimava in almeno 6,75 miliardi di dollari il totale accumulato dalle organizzazioni nordcoreane. Un aspetto particolarmente rilevante riguarda il cambiamento della strategia: gli attacchi sono diminuiti numericamente, ma le somme sottratte sono aumentate. Il gruppo sembra avere abbandonato le incursioni indiscriminate per concentrarsi su obiettivi capaci di garantire guadagni molto più elevati. Tra le tecniche figurano l’infiltrazione di informatici nordcoreani nelle aziende del settore e l’impersonificazione di dirigenti. Dopo ogni operazione, il denaro viene trasferito attraverso un percorso di riciclaggio che può durare circa 45 giorni e coinvolge exchange, bridge tra diverse blockchain e servizi di mixing, utilizzati per rendere meno tracciabile la provenienza delle risorse. La sequenza degli attacchi permette di comprendere come si sia sviluppata questa attività. Nel marzo 2022 venne violato il bridge Ronin, utilizzato dal videogioco Axie Infinity. Il furto ammontò a circa 620 milioni di dollari e l’FBI indicò Lazarus come responsabile. Nel giugno successivo fu colpito il bridge Horizon di Harmony, dal quale sparirono altri 100 milioni. Nel 2023 gli obiettivi si ampliarono ai portafogli digitali e alle piattaforme di gioco d’azzardo. Atomic Wallet registrò una perdita di circa 100 milioni di dollari, mentre Stake.com subì un attacco da 41 milioni. Entrambi gli episodi furono attribuiti dalle autorità americane alla Corea del Nord. Il 2024 segnò un’ulteriore escalation. Oltre al caso DMM Bitcoin, Stati Uniti e Corea del Sud attribuirono a Pyongyang la sottrazione di 235 milioni di dollari dall’exchange indiano WazirX e di 50 milioni da Radiant Capital. Washington, Tokyo e Seul indicarono inoltre gli hacker nordcoreani come responsabili del furto di 50 milioni di dollari ai danni della piattaforma sudcoreana Upbit. Nel febbraio 2025 arrivò il colpo più clamoroso: da Bybit furono sottratti circa 401.000 token Ether, per un valore vicino a 1,5 miliardi di dollari. Gli hacker avevano compromesso il computer di uno sviluppatore di Safe, società che forniva all’exchange l’interfaccia per la gestione dei portafogli. Attraverso l’inserimento di codice dannoso riuscirono a modificare le operazioni di autorizzazione. Quello che appariva come un normale trasferimento si trasformò nell’invio delle risorse verso gli aggressori. L’FBI attribuì l’operazione a TraderTraitor appena cinque giorni dopo. L’attacco a Binance rappresenta un ulteriore salto di scala e concentra le tecniche affinate dal gruppo nel corso degli anni: manipolazione dei dipendenti, accessi clandestini, alterazione delle procedure di firma delle transazioni e riciclaggio attraverso circuiti digitali difficili da controllare. Il precedente primato di Bybit, circa 1,5 miliardi di dollari, è stato superato di oltre quattro volte. Binance assicura che i clienti non subiranno perdite, ma per l’FBI la movimentazione e il riciclaggio dei fondi sottratti sono ancora in corso.