BitOK: i furti di criptovalute legati alla Corea del Nord hanno raggiunto i 7,61 miliardi di dollari nel 2026

Secondo quanto riportato, si è passati dallo sfruttamento di vulnerabilità del codice alla compromissione dei sistemi di firma

La società di intelligence blockchain BitOK stima che tra gennaio e ottobre 2026 gli hacker nordcoreani abbiano rubato 7,61 miliardi di dollari in criptovalute in 38 attacchi. Il rapporto individua sei attacchi di rilievo e afferma che sono riusciti a prendere il controllo delle persone o dei sistemi che autorizzano i prelievi, anziché sfruttare il codice. Questa distinzione è importante nelle verifiche di sicurezza: secondo quanto riportato, gli attacchi hanno avuto origine al di fuori della logica degli smart contract che gli audit standard del codice sono progettati per esaminare.

BitOK afferma che 2,86 miliardi di dollari sono stati congelati o sequestrati, lasciando 4,75 miliardi irraggiungibili. Binance rappresenta 6,41 miliardi di dollari del totale riportato, mentre 32 furti di minore entità ai danni di persone e aziende ammontano complessivamente a 178,4 milioni di dollari. Queste cifre descrivono perdite fortemente concentrate, con un solo exchange che costituisce la maggior parte del valore riportato. Mostrano inoltre che i recuperi ottenuti tramite interventi non hanno tenuto il passo con l'ammontare rubato.

I dati coprono un periodo definito, da gennaio a ottobre 2026, e sono stime attribuite a BitOK. La conclusione principale del rapporto non è che la sicurezza del codice sia diventata irrilevante, bensì che i controlli sul solo codice non abbiano impedito i sei incidenti più gravi. In tutti i casi, i prelievi erano corredati da firme valide o avevano superato i controlli ordinari. La fonte non specifica come BitOK abbia calcolato la stima totale; le somme riportate vanno quindi intese come valutazioni della società.

Come gli aggressori hanno ottenuto l’autorizzazione

Nel caso di Binance, BitOK individua nel laptop di un ingegnere DevOps e in un container del servizio di firma il punto d’ingresso degli aggressori. Questa ricostruzione è coerente con i risultati precedenti sull’incidente di ottobre citati nella fonte. Il rapporto colloca quindi la compromissione negli strumenti e negli accessi usati per autorizzare i prelievi, non in una falla identificata nel codice di prelievo. La fonte non descrive nel dettaglio la sequenza completa con cui il laptop o il container sono stati compromessi.

Altri casi di rilievo hanno coinvolto sistemi diversi: i firmatari del multisig di Drift, una piattaforma di trading basata su Solana; un singolo verificatore del bridge di KelpDAO; e il sistema di wallet di Bitget. Questi esempi riguardano infrastrutture di trading, bridge ed exchange, ma secondo BitOK hanno un esito comune: è stata ottenuta un’autorizzazione valida o sono stati soddisfatti i controlli ordinari. La preoccupazione pratica sollevata dal rapporto è che proteggere il codice di ogni applicazione potrebbe non bastare se il processo di firma può essere preso di mira.

Secondo BitOK, prima di ogni colpo gli operatori hanno testato il percorso esatto con importi ridotti. Nel caso di Binance, il contratto d’attacco era attivo pubblicamente quattro ore prima del furto. Questo dettaglio suggerisce che l’operazione abbia incluso una fase di test visibile on-chain prima del trasferimento ingente. Non dimostra quali sistemi di monitoraggio fossero attivi né se il test avrebbe potuto essere riconosciuto in quel momento, ma mostra perché le piccole transazioni preliminari possano essere rilevanti per le indagini.

La corsa a spostare i fondi e i limiti dei congelamenti

Il campione di BitOK, composto da 540 transazioni, mostra anche una distribuzione oraria più simile a quella di una giornata lavorativa che a un’attività continuativa: il 48% è avvenuto tra le 16:00 e le 21:00, ora di Pyongyang, e il rapporto non ha registrato attività nei giorni festivi nordcoreani. Sabato, domenica e lunedì hanno rappresentato insieme solo il 10% delle transazioni. Questi schemi possono aiutare a descrivere il comportamento degli operatori, anche se la fonte non afferma che l’orario, da solo, possa identificare chi ha avviato un determinato trasferimento.

Una volta iniziato un attacco, lo schema cambiava. Il rapporto afferma che gli script prendevano il controllo e i movimenti di fondi proseguivano ininterrottamente. Il contrasto tra un orario operativo relativamente regolare e movimenti automatizzati e continui dopo un incidente è rilevante per gli investigatori che tracciano le transazioni. Significa anche che una compromissione iniziale può portare rapidamente ad attività non soggette allo stesso apparente schema legato agli orari di lavoro. BitOK non identifica gli specifici strumenti di automazione utilizzati.

La velocità è fondamentale per poter congelare i fondi, afferma BitOK. Entro pochi minuti dal furto, gli operatori hanno convertito le stablecoin in ETH oppure hanno preso in prestito ETH fornendo come garanzia gli asset rubati; il rapporto osserva che un emittente non può congelare ETH. Dopo l’exploit del bridge rsETH di aprile, 52.440 ETH sono usciti dai protocolli di prestito in poco più di otto minuti. Ciò lascia una finestra ristretta per gli interventi sugli asset il cui emittente è ancora in grado di congelarli.

Una breve traccia di transazioni collega attacchi distinti

Il processo di riciclaggio poteva poi interrompersi prima che i fondi tornassero a muoversi. Dopo l’incidente rsETH, secondo quanto riferito, gli asset sono rimasti inattivi per 2,5-5 giorni, prima che gli script li instradassero attraverso THORChain, un protocollo di scambio cross-chain. BitOK ha inoltre conteggiato 2.257 scambi collegati a Binance, per un valore di 55,8 milioni di dollari, con costi complessivi dello 0,50%. Queste cifre indicano che, in questo campione, trasferire fondi tramite scambi era relativamente economico; non stabiliscono il costo del riciclaggio per ogni singolo attacco.

La differenza nei tassi di recupero evidenzia i limiti dei congelamenti. BitOK afferma che è stato congelato o sequestrato il 43% dei fondi rubati a Binance, contro il 6% del totale degli altri principali attacchi. Anche nel caso di Binance, il tempismo è stato determinante: Tether ha ricevuto la prima richiesta di congelamento 34 minuti dopo il prelievo, quando 345 milioni di USDT avevano già lasciato l’indirizzo originale. Il rapporto afferma che i congelamenti hanno funzionato solo sulle stablecoin che non erano ancora state trasferite.

Un errore durante la ripulitura ha fornito un’altra pista investigativa. Dopo aver instradato 5.047 ETH tramite Umbra e il bridge Stargate, un operatore ha raccolto i residui in un unico wallet; il 31 agosto, 150 indirizzi vi hanno fatto confluire i fondi nell’arco di tre minuti e 36 secondi. Il wallet collettore ha ricevuto appena 0,27 ETH, ma gli indirizzi di regolamento condivisi collegano cinque attacchi, da quello a KelpDAO in aprile a quello a Binance in ottobre. BitOK individua un unico operatore responsabile del riciclaggio, pur ammettendo che gli hack potrebbero essere stati condotti da team diversi.

Fonte: BeInCrypto