Gli hacker nordcoreani rubano 6,3 miliardi di dollari da Binance in pochi minuti

Tokyo. Hacker legati alla Corea del Nord hanno rubato da Binance, il più grande exchange di criptovalute del mondo, criptovalute per un valore di circa 6,3 miliardi di dollari. L’attacco è iniziato il 29 ottobre intorno alle 16:20, ora della costa orientale degli Stati Uniti, e ha coinvolto fondi conservati in hot wallet connessi a Internet.

Gli aggressori hanno distribuito gli asset su dieci blockchain e in numerose transazioni più piccole. Secondo Chainalysis, hanno scambiato 325 milioni di dollari in stablecoin per Ether del valore di 285 milioni di dollari in meno di 20 minuti, accettando uno sconto superiore al 10 per cento. La rapida conversione mirava a impedire agli emittenti di congelare le stablecoin.

Una risposta d’emergenza che ha coinvolto Binance, emittenti di stablecoin tra cui Tether e Circle, autorità e società di analisi blockchain è riuscita a congelare tra 2,8 e 3 miliardi di dollari, secondo Chainalysis e Binance. Chainalysis ha descritto la risposta coordinata come una prova del fatto che il settore delle criptovalute sta diventando più rapido nel reagire ai furti su larga scala.

Una parte significativa degli asset rubati è costituita da Bitcoin ed Ether, che non possono essere congelati allo stesso modo. TRM Labs ha dichiarato che gli aggressori controllavano ancora più di 420.000 ETH e 18.270 BTC, per un valore di circa 2,4 miliardi di dollari.

Il metodo preciso utilizzato per accedere a Binance resta poco chiaro. L’exchange ha dichiarato che l’attacco è probabilmente iniziato con la compromissione del laptop di un ingegnere informatico. Gli aggressori avrebbero utilizzato il dispositivo per entrare in un sistema di servizi interno e autorizzare prelievi fraudolenti. Al momento non vi è alcuna indicazione che siano state rubate chiavi private dei wallet.

Il co-amministratore delegato di Binance, Richard Teng, ha dichiarato che gli aggressori hanno anche installato malware progettato per cancellare le proprie tracce. Per ottenere l’accesso al laptop e ad altri sistemi potrebbero essere state utilizzate tecniche di ingegneria sociale o phishing, ma il percorso resta oggetto di indagine.

Binance si è impegnata a coprire tutte le perdite dei clienti. Entro domenica, l’exchange ha dichiarato di aver sostituito circa il 95 per cento degli asset rubati, utilizzando il Secure Asset Fund for Users, istituito nel 2018, insieme a riserve societarie del valore di diversi miliardi di dollari. La perdita netta finale potrebbe ridursi se i fondi congelati venissero recuperati, sebbene non sia chiaro se e quando saranno restituiti a Binance.

L’exchange ha gradualmente ripreso i prelievi domenica, iniziando dal Bitcoin. Anche l’FBI, i servizi segreti statunitensi e la divisione Criminal Investigation dell’IRS hanno avvertito i trader dei tentativi del gruppo noto come TraderTraitor di trasferire gli asset rubati. Le agenzie hanno pubblicato un elenco di indirizzi sospetti.

Le autorità hanno dichiarato che gli aggressori continuavano a convertire gli asset rubati principalmente in Ether. Si prevede che riciclino i fondi attraverso piattaforme di finanza decentralizzata e servizi di scambio istantaneo.

Il gruppo è attivo da anni. Mandiant, la società di cybersicurezza di proprietà di Google, lo ha identificato nel 2023 come UNC4899, un attore nordcoreano che in precedenza aveva preso di mira società di criptovalute. Mandiant ha valutato con elevata certezza che UNC4899 fosse un’unità della Reconnaissance General Bureau della Corea del Nord specializzata in criptovalute e che probabilmente corrispondesse a TraderTraitor.

TraderTraitor fa parte di una rete più ampia utilizzata dalla Corea del Nord per ottenere valuta estera attraverso attacchi informatici, operazioni informatiche clandestine e società di facciata. La rete comprende anche Lazarus, APT38—noto anche come Blue Noroff—Andariel e Kimsuky, associati a furti finanziari, ransomware e spionaggio.

Migliaia di lavoratori informatici nordcoreani hanno inoltre ottenuto impieghi nel settore del software all’estero utilizzando false identità, spesso operando da Paesi tra cui Cina e Russia. I loro guadagni vengono trasferiti in gran parte alla Corea del Nord. Chainalysis ha dichiarato che i gruppi nordcoreani inseriscono sempre più spesso questi lavoratori all’interno di società di criptovalute per ottenere accessi privilegiati che in seguito possono sostenere gli attacchi.

Gli hacker del Paese vengono selezionati e formati fin dalla tenera età; agli studenti che dimostrano una forte attitudine per la matematica viene insegnata la programmazione. La formazione competitiva e gli studi presso università di primo piano si concentrano non solo sull’informatica, ma anche sulla soluzione di problemi complessi con risorse limitate.

Questa preparazione ha aiutato i gruppi nordcoreani a diventare efficaci nell’ingegneria sociale e nel phishing. Ora viene utilizzata anche l’intelligenza artificiale per produrre messaggi e candidature di lavoro convincenti rivolti a potenziali obiettivi. Dopo essersi concentrati inizialmente sulle banche, i gruppi si sono spostati verso le criptovalute con l’espansione del settore, e il furto ai danni di Binance dimostra la portata ancora attuale di questa minaccia.

Fonti: Handelsblatt.