Cosa è successo secondo Binance?
Nel suo rapporto sulla sicurezza del 3 novembre, l'exchange Binance ha dichiarato di aver bloccato, nel corso del 2026, 57 sospette minacce informatiche collegate alla Corea del Nord (DPRK). Allo stesso tempo ha però ammesso che uno dei suoi ingegneri è caduto in uno scenario di reclutamento fraudolento.
Secondo il rapporto, gli aggressori hanno utilizzato una combinazione di falso colloquio di lavoro, identità inventate e software dannoso per accedere a sistemi coinvolti nel furto di criptovalute per un valore di circa 6,3 miliardi di dollari (CryptoSlate indica una cifra più precisa di 6,34 miliardi). Questo è quanto sostiene l'indagine interna descritta da Binance nell'incident report pubblicato.
Come si è svolto l'attacco secondo le fonti?
Il principio è vecchio, l'esecuzione nuova. Invece di penetrare direttamente nell'infrastruttura, gli autori hanno attaccato la persona.
- Falso reclutamento. Secondo CryptoSlate gli aggressori hanno organizzato un colloquio di lavoro con un'identità falsa e durante il processo hanno rifilato alla vittima un software dannoso.
- Computer compromessi e credenziali di accesso rubate. Cointelegraph, citando l'indagine di Binance, descrive come gli hacker abbiano sfruttato i computer violati dei dipendenti e le credenziali di accesso rubate per penetrare nell'infrastruttura dei wallet.
- Strumento di AI interno. The Block riferisce che, per ottenere l'accesso, gli aggressori hanno utilizzato anche uno strumento di AI interno dell'exchange.
La società Chainalysis aggiunge un contesto: secondo la loro analisi non si trattava del primo tentativo. Gli attori nordcoreani avrebbero perfezionato il loro scenario di falso impiego in decine di attacchi prima di arrivare a Binance.
Perché l'ingegneria sociale è più pericolosa di una falla tecnica?
L'ingegneria sociale (la manipolazione della persona invece dell'attacco al codice) aggira anche un'infrastruttura ben protetta, perché l'aggressore non cerca un errore nel sistema ma nelle abitudini delle persone. Il falso colloquio è un punto d'ingresso ideale: il candidato si aspetta di eseguire file, installare strumenti di test o condividere lo schermo. È proprio questo che l'aggressore sfrutta.
Il paradosso di questo caso è evidente. Binance, secondo il suo stesso rapporto, ha intercettato 57 minacce, ma il fallimento è arrivato tramite una sola persona e un solo processo di reclutamento. È un promemoria del fatto che nei grandi exchange l'anello più debole è spesso il dipendente, non il server.
Cosa non sappiamo ancora?
Le fonti pubblicate non descrivono una serie di dettagli che sarebbero fondamentali per un quadro completo:
- Quanta parte della cifra di circa 6,3 miliardi di dollari sia stata eventualmente congelata, bloccata o restituita non viene indicato dalle fonti.
- L'esatta identità dell'ingegnere violato e il ruolo che ricopriva non sono resi pubblici.
- Di quale specifico strumento di AI interno si trattasse e come esattamente sia stato sfruttato, The Block non lo specifica meglio.
- Se e come i singoli autori siano stati puniti o identificati non emerge dalle fonti disponibili.
L'attribuzione dell'attacco alla Corea del Nord si basa sulle affermazioni di Binance e sull'analisi di Chainalysis. charliedesk riproduce questa attribuzione come affermazione di questi soggetti, non come fatto verificato in modo indipendente.
Cosa seguire ancora in questo tipo di incidente?
È utile seguire tre cose: se Binance pubblicherà un'analisi tecnica più dettagliata, se gli analisti on-chain (per esempio Chainalysis) riusciranno a rintracciare il movimento dei fondi sottratti, e se lo stesso scenario di reclutamento comparirà presso altre aziende. La ripetizione dello stesso schema è il segnale più forte che non si è trattato di un incidente isolato, ma di una campagna sistematica.