Roma, 13 nov. (askanews) – Trasformare ogni vittima in un’esca per colpirne altre: è il sistema ricostruito dall’Fbi nell’ultima inchiesta sugli hacker nordcoreani. Video rubati, falsi incontri online e intelligenza artificiale hanno alimentato una campagna di furti di criptovalute da oltre 400 milioni di dollari, circa 345 milioni di euro, in 18 mesi. Gli investigatori hanno sequestrato oltre 900 registrazioni webcam, utilizzate per ingannare nuovi bersagli. Una tecnica che contribuisce a spiegare i successi degli hacker legati a Pyongyang, ai quali nel 2026 sono stati attribuiti furti per miliardi di dollari.
Il meccanismo era relativamente semplice. Gli hacker prendevano il controllo di un account Telegram o di un altro sistema di messaggistica e, fingendosi il legittimo proprietario, invitavano amici o colleghi a una videoconferenza. Durante l’incontro comparivano volti familiari, riprodotti attraverso registrazioni rubate oppure ricreati con l’intelligenza artificiale. A quel punto veniva simulato un problema tecnico, per esempio il microfono che non funzionava. Per risolverlo, la vittima veniva convinta a cliccare su un collegamento o installare un programma che in realtà permetteva agli aggressori di sottrarre password, informazioni personali e dati necessari per accedere ai portafogli digitali.
L’inganno poteva ripetersi all’infinito: durante le false riunioni gli hacker registravano anche le nuove vittime, ottenendo immagini da utilizzare per truffare altre persone. Il furto del denaro poteva avvenire anche mesi dopo il primo contatto, quando gli aggressori decidevano di sfruttare le informazioni raccolte.
La forza degli hacker nordcoreani, dunque, risiede soprattutto nella capacità di manipolare le persone che utilizzano sofisticati sistemi informatici, più ancora che penetrare in questi. Un’indagine pubblicata a febbraio da Mandiant, società del gruppo Google, aveva già documentato un caso nel quale gli aggressori, utilizzando l’account Telegram rubato a un dirigente del settore delle criptovalute, avevano organizzato una falsa riunione Zoom. La vittima era stata convinta a installare un programma spia con il pretesto di risolvere un problema audio.
La dimensione economica del fenomeno emerge dall’ultimo rapporto di TRM Labs, società specializzata nell’analisi delle transazioni in criptovalute. Secondo lo studio, pubblicato il 30 ottobre, nei primi dieci mesi del 2026 gli hacker nordcoreani hanno sottratto circa 7,4 miliardi di dollari, pari a 6,4 miliardi di euro: l’85% del valore di tutte le criptovalute rubate nel mondo nello stesso periodo. Dal 2017, il bottino complessivo attribuito a Pyongyang raggiungerebbe i 12,8 miliardi di dollari, circa 11 miliardi di euro.
A far esplodere le cifre del 2026 è stato soprattutto l’attacco del 29 ottobre contro Binance, una delle maggiori piattaforme mondiali per lo scambio di criptovalute, con un furto stimato in oltre 6,3 miliardi di dollari. L’FBI lo ha attribuito al gruppo TraderTraitor, già ritenuto responsabile dell’attacco da circa 1,5 miliardi di dollari contro Bybit nel febbraio 2025 e di quello da 308 milioni contro la giapponese DMM Bitcoin nel 2024.
Proprio il caso giapponese è emblematico. Secondo la ricostruzione congiunta dell’Fbi e della polizia nipponica, un hacker si era presentato su LinkedIn come un selezionatore di personale, convincendo un dipendente di una società informatica a eseguire un falso test di assunzione. Il programma conteneva invece istruzioni malevole che avevano consentito agli aggressori di impadronirsi dei suoi accessi e, successivamente, sottrarre oltre 4.500 bitcoin.
Il fenomeno coinvolge diversi gruppi ricondotti ai servizi nordcoreani. Il nome più conosciuto è Lazarus, utilizzato spesso per indicare una vasta rete di hacker specializzati nello spionaggio e nei furti informatici. TraderTraitor è associato ai maggiori colpi contro le piattaforme finanziarie, mentre Sapphire Sleet, noto anche come Midnight Neptune, è stato collegato alle campagne basate su false identità e videoconferenze. Le denominazioni cambiano a seconda delle società che conducono le indagini e non indicano necessariamente organizzazioni completamente separate.
Un dato rilevante dello studio di TRM Labs è che gli attacchi basati sullo sfruttamento diretto di difetti nei programmi informatici rappresenterebbero soltanto l’1% del denaro sottratto dagli hacker nordcoreani. La stragrande maggioranza dei furti avviene invece attraverso la compromissione dei sistemi che custodiscono o autorizzano i trasferimenti di criptovalute. Più che scardinare la tecnologia, dunque, gli aggressori cercano di impossessarsi delle chiavi che permettono di utilizzarla.
L’intelligenza artificiale sta rendendo questa strategia ancora più insidiosa. Google ha documentato anche il ricorso all’Ia per costruire identità fittizie e sviluppare programmi destinati agli attacchi. Gli hacker hanno inoltre cominciato a prendere di mira gli sviluppatori di software, nel tentativo di diffondere programmi malevoli attraverso applicazioni utilizzate da un gran numero di persone e aziende.
Per Washington, non si tratta soltanto di criminalità finanziaria. Le autorità americane sostengono che i proventi dei furti contribuiscano a finanziare i programmi nucleari e missilistici della Corea del Nord, sottoposti a sanzioni internazionali. Non tutto il denaro rubato, tuttavia, arriva necessariamente nelle casse di Pyongyang: una parte viene congelata o recuperata, mentre un’altra deve essere riciclata attraverso complessi trasferimenti tra valute e intermediari.