La Corea del Nord avrebbe sottratto circa 9,6 miliardi di dollari in criptovalute dal 2019. La cifra proviene da unfolded, un account specializzato in dati cripto, che ha pubblicato il suo conteggio il 30 ottobre 2026, secondo il Journal du Coin. L’attacco informatico a Binance del 29 ottobre 2026 vale da solo due terzi di questo totale. Senza di esso, i furti attribuiti a Pyongyang scendono a 3,2 miliardi di dollari in sei anni.
Binance, la più grande piattaforma di scambio di criptovalute al mondo, ha perso circa 6,3 miliardi di dollari secondo le sue stesse cifre, come spiega nel dettaglio il nostro articolo sull’attacco informatico a Binance.
Perché Binance domina il bilancio nordcoreano?
Un solo furto supera i più grandi attacchi informatici della storia del settore messi insieme. Secondo il Journal du Coin, i nove maggiori attacchi informatici cripto messi insieme, da Mt. Gox a FTX passando per Bybit, totalizzano 5,4 miliardi di dollari. Il furto subito da Binance supera questo totale di circa un miliardo.
L’importo esatto dipende da chi fa il conto. La società di analisi della blockchain Chainalysis indica 6,4 miliardi di dollari, la concorrente TRM Labs 6,36 miliardi e Binance circa 6,3 miliardi, sempre secondo il Journal du Coin. Lo scarto resta esiguo rispetto al totale.
Fino a ottobre 2026, il record apparteneva a Bybit, un’altra piattaforma di scambio. Il furto di febbraio 2025 vi aveva raggiunto circa 1,5 miliardi di dollari, ricordava 2clics nel suo articolo su Binance.
Quali attacchi informatici cripto sono attribuiti alla Corea del Nord dal 2019?
La tabella di unfolded si basa su DefiLlama, Chainalysis, l’FBI e società di sicurezza. Il Journal du Coin ne cita i principali bersagli e i relativi importi.
| Anno | Bersaglio | Importo citato | Chi attribuisce |
|---|---|---|---|
| 2019 | Piattaforma di scambio Upbit | 49 milioni di dollari | Conteggio di unfolded |
| 2022 | Ponte Ronin del gioco Axie Infinity | 624 milioni di dollari | Conteggio di unfolded |
| 2025 | Piattaforma di scambio Bybit | 1,4 miliardi di dollari secondo DefiLlama, circa 1,5 miliardi secondo l’FBI | FBI |
| 2026 | Protocollo Drift | 295 milioni di dollari | Società di sicurezza |
| 2026 | Protocollo Kelp DAO | 293 milioni di dollari | Conteggio di unfolded |
| 2026 | Piattaforma di scambio Bitget | 387 milioni di dollari | Società di sicurezza |
| 2026 | Piattaforma di scambio Binance | Da 6,3 a 6,4 miliardi di dollari secondo le stime | Società di sicurezza |
L’elenco di unfolded comprende anche il ponte Harmony nel 2022 e il portafoglio Atomic Wallet nel 2023. Il 2026 segna una netta accelerazione: Drift, Kelp DAO, Bitget e poi Binance sono caduti tutti quest’anno.
Come operano gli hacker nordcoreani?
Presso Binance, gli hacker hanno preso di mira i portafogli connessi, o hot wallet. Questi portafogli servono ai prelievi correnti dei clienti di una piattaforma. Come punto d’ingresso, l’azienda indica il computer compromesso di un ingegnere DevOps, incaricato della gestione operativa dei sistemi. Nessuna chiave privata sarebbe trapelata, secondo l’azienda.
La velocità fa parte del metodo. Secondo TRM Labs, citata dal Journal du Coin, la maggior parte del bottino di Binance è uscita in una ventina di minuti.
Il riciclaggio segue immediatamente. L’FBI, la polizia federale statunitense, lo ha descritto nel suo avviso pubblico del 26 febbraio 2025 su Bybit. Gli hacker convertivano una parte dei fondi in bitcoin e in altri asset virtuali. Li disperdevano poi su migliaia di indirizzi, su diverse blockchain. L’FBI si aspettava una conversione finale in valuta tradizionale.
Lo scenario Binance segue lo stesso schema, secondo il Journal du Coin:
- centinaia di milioni di USDT convertiti in ether sulla piattaforma decentralizzata Uniswap;
- circa 19’760 ether presi in prestito sul protocollo di prestito Aave;
- 18’270 bitcoin frazionati in piccole somme successive, una tecnica chiamata peel chain;
- i primi fondi passati attraverso il protocollo THORChain, già utilizzato dopo Bybit.
Il precedente Bybit dà la scala temporale. Agli hacker era servita una decina di giorni per riciclare la maggior parte degli ether rubati, in gran parte tramite THORChain, ricorda il Journal du Coin.
Chi attribuisce questi furti a Pyongyang?
Per Bybit, l’attribuzione è ufficiale. Nel suo avviso del 26 febbraio 2025, l’FBI dichiara la Corea del Nord responsabile del furto di circa 1,5 miliardi di dollari, commesso intorno al 21 febbraio 2025. Chiama questa attività TraderTraitor. Invita le piattaforme di scambio, i ponti, i servizi di finanza decentralizzata e le società di analisi a bloccare le transazioni legate agli indirizzi degli hacker.
Per Binance, si sono pronunciate soltanto società private. Chainalysis attribuisce l’attacco a TraderTraitor, una cellula nordcoreana legata al gruppo Lazarus. Il suo argomento: fondi rubati a Bitget e a Binance si sono mescolati su un indirizzo comune. TRM Labs giunge alla stessa conclusione «con un elevato grado di fiducia», secondo il Journal du Coin.
Elliptic, un’altra società di analisi, si mostra più prudente. Giudica l’attribuzione «probabile», poiché la corrispondenza riguarda soltanto 39’000 dollari di fondi di Binance. Nessun governo ha confermato e l’FBI non si è espresso. Unfolded stesso precisa che, per Binance, Bitget e Drift, l’attribuzione proviene dalle società di sicurezza. Drift potrebbe essere opera di un’unità nordcoreana distinta da Lazarus.
Quale parte del bottino è stato possibile bloccare?
Gli emittenti di stablecoin hanno congelato una parte importante dei fondi di Binance, secondo il Journal du Coin:
- Tether: circa 1,77 miliardi di USDT;
- Circle: 823 milioni di USDC;
- Ripple: 40,5 milioni di RLUSD;
- World Liberty Financial: 27,8 milioni di USD1;
- il consiglio di sicurezza della rete Arbitrum: 8’426 ether.
Elliptic conta 2,84 miliardi di dollari bloccati, ossia il 44% del bottino. Binance parla di 3 miliardi. Elliptic stima inoltre 3,3 miliardi di dollari ancora fuori portata, ripartiti su una quarantina di indirizzi. Un congelamento non è una restituzione: i fondi bloccati devono ancora essere resi con un’operazione distinta.
Sicurezza degli exchange: che cosa chiede la Svizzera ai fornitori di servizi cripto?
In Svizzera, diverse norme esistenti disciplinano i fornitori di servizi cripto. Riguardano la custodia, la tracciabilità dei trasferimenti e le sanzioni.
Il 12 gennaio 2026, l’Autorità federale di vigilanza sui mercati finanziari (FINMA) ha pubblicato la sua comunicazione sulla vigilanza 01/2026, che precisa come valuta la custodia dei criptoasset. Vi descrive i rischi legati alla custodia di bitcoin o ether, provenienti dai registri distribuiti. Padroneggiarli richiede, secondo la FINMA, «conoscenze specifiche e un’infrastruttura tecnica solida».
Il ricorso a un depositario estero non solleva l’istituto svizzero dalle sue responsabilità. La FINMA esige fornitori sorvegliati in modo adeguato, in Svizzera come all’estero, e regole chiare di protezione in caso di fallimento. I criptoasset dei clienti non devono confluire nella massa fallimentare del depositario. La responsabilità spetta sempre all’istituto autorizzato.
La tracciabilità passa dalla travel rule della FINMA. La sua comunicazione 02/2019 sottopone i trasferimenti di cripto alle stesse regole d’informazione di un bonifico. In assenza di un sistema di trasmissione sulla blockchain, un istituto sorvegliato può inviare cripto soltanto ai portafogli esterni dei propri clienti identificati.
Il primo livello resta la legge sul riciclaggio di denaro (LRD). La messa a disposizione di wallet e il commercio di valute virtuali vi sono assoggettati, con affiliazione a un organismo di autodisciplina. Accettare criptoasset dal pubblico può rientrare nella licenza Fintech. I dettagli figurano nella nostra pagina sull’autorizzazione FINMA per le cripto.
Si applicano anche le sanzioni contro la Corea del Nord. Il Consiglio federale ha adottato misure coercitive il 25 ottobre 2006, a causa del programma nucleare nordcoreano. L’ordinanza del 18 maggio 2016 (RS 946.231.127.6) le raggruppa, secondo la Segreteria di Stato dell’economia (SECO). Prevede il congelamento degli averi e delle risorse economiche e l’obbligo di dichiarare gli averi congelati. Vieta inoltre le operazioni finanziarie legate ai programmi nucleari e missilistici. La pagina della SECO non menziona specificamente i criptoasset.
Che cosa cambia per un cliente in Svizzera
Il primo riflesso consiste nel verificare chi detiene le proprie cripto. Binance afferma di non avere una sede centrale fissa. Dall’inizio del 2026, la sua attività mondiale passa soprattutto da società sorvegliate ad Abu Dhabi, ricordava finews.ch, citato da 2clics. Per un cliente in Svizzera si tratta quindi di una piattaforma estera.
Un istituto autorizzato non elimina ogni rischio. In caso di fallimento di un istituto Fintech, i fondi dei clienti non sono né privilegiati né coperti dalla garanzia dei depositi. La FINMA pubblica due rubriche da consultare prima di aprire un conto: «Imprese autorizzate» e «Allerte». Il nostro articolo sulla lista di allerta della FINMA ne spiega l’uso; non è né esaustiva né sempre aggiornata.
Una promessa di rimborso resta una dichiarazione della piattaforma. Binance si impegna a coprire le perdite con il suo fondo di riserva SAFU e i suoi fondi propri. Nessun terzo garantisce questo impegno. Il quadro generale è riassunto nella nostra pagina FINMA e criptovalute.
Che cosa non si sa ancora
- L’attribuzione ufficiale del furto a Binance: l’FBI, che aveva indicato TraderTraitor per Bybit in cinque giorni, non si è pronunciato.
- La sorte dei 3,3 miliardi di dollari ancora fuori portata secondo Elliptic, e la restituzione dei fondi congelati a Binance.
Fonti
- Journal du Coin: Hack cripto, la Corea del Nord ha rubato 9,6 miliardi di dollari dal 2019
- FBI (IC3): North Korea Responsible for $1.5 Billion Bybit Hack, avviso del 26 febbraio 2025
- FINMA: comunicazione sulla custodia di criptoasset, 12 gennaio 2026
- SECO: misure nei confronti della Corea del Nord
