Guerra cibernetica crypto della Corea del Nord: cosa cambia per la custodia

Binance ha stimato l’impatto complessivo dell’incidente in circa $6.3 billion e ha dichiarato che avrebbe coperto le perdite con SAFU e i fondi aziendali. TRM Labs ha tracciato circa $6.36 billion in uscita dai wallet di Binance su dieci blockchain; gran parte dei movimenti si è concentrata in circa 20 minuti, a partire dalle 20:05 UTC del 29 ottobre 2026.

Il 31 ottobre 2026, l’FBI ha attribuito pubblicamente alla Corea del Nord il furto di oltre $6 billion in asset virtuali da Binance. TRM Labs ha attribuito con elevata certezza il furto all’unità TraderTraitor della Corea del Nord, sulla base di intelligence on-chain e off-chain.

In un’intervista a Cointelegraph, Ari Redbord, dirigente di TRM Labs, ha definito l’attacco una “guerra cibernetica”. Ha esortato i governi a condurre operazioni cibernetiche offensive contro gli hacker nordcoreani e le reti di riciclaggio e le banche di cui si servono. Resta da vedere se qualche governo adotterà questa linea.

Secondo l’indagine iniziale di Binance, la compromissione del laptop di un ingegnere DevOps avrebbe consentito l’accesso a un service container. L’exchange ha dichiarato di non aver trovato prove di una fuga delle chiavi private dei wallet.

TRM Labs ha riferito che l’attaccante ha utilizzato una delega EIP-7702 contro un hot wallet Ethereum, mentre i wallet sulle altre nove chain hanno eseguito normali trasferimenti firmati. Secondo la valutazione di TRM, questi schemi indicano una compromissione dell’infrastruttura di firma di Binance. Nella ricerca fornita non è stata ancora individuata una revisione tecnica indipendente che convalidi la ricostruzione completa e le misure correttive.

Tether ha dichiarato di aver congelato oltre $1.5 billion in USDT entro 30 minuti dall’attacco del 29 ottobre. La ricerca fornita non permette di stabilire quanta parte delle criptovalute rubate sarà infine sequestrata o recuperata, anziché restare semplicemente congelata. Resta inoltre da chiarire quanta parte dei Bitcoin e degli Ether non congelati passerà attraverso exchange, bridge, protocolli DeFi o broker over-the-counter.

Per un trader che confronta la custodia su un exchange centralizzato con un percorso in self-custody verso i perpetual on-chain, l’incidente evidenzia diversi aspetti che non vanno confusi. Il punto di accesso segnalato, l’attività di firma, la copertura delle perdite dei clienti e il congelamento degli asset riguardano infatti componenti distinte della risposta.

• Consulta l’aggiornamento di Binance sull’incidente per la sua ricostruzione del punto di accesso, l’assenza di prove di una fuga delle chiavi private dei wallet e l’impegno a coprire le perdite.
• Confronta questa ricostruzione con l’analisi on-chain di TRM Labs, inclusi la delega EIP-7702 e i trasferimenti firmati sulle altre chain.
• Considera il congelamento segnalato da Tether come un intervento specifico, non come il totale finale recuperato; nella ricerca fornita, l’importo che verrà infine sequestrato o recuperato resta da determinare.
• Cerca una revisione tecnica indipendente che convalidi la ricostruzione completa dell’attacco e le misure correttive di Binance prima di considerare definitivamente accertata la causa.