Minaccia n. 1: come Lazarus Group prende di mira le società crypto

Negli ultimi anni, gli hacker legati alla Corea del Nord hanno rubato miliardi di dollari all'industria delle criptovalute. Tuttavia, un nome compare nei rapporti sulla criminalità informatica più spesso di quasi tutti gli altri: Lazarus Group. Come ha fatto un'operazione di hacking sostenuta dallo Stato a trasformare il mercato crypto in una fonte di entrate e perché si è dimostrato così difficile fermarla?

Lazarus Group viene generalmente descritto come un singolo gruppo di hacker, ma in realtà fa parte di un'operazione informatica nordcoreana molto più ampia. Diverse indagini hanno individuato unità e gruppi associati con nomi come APT38, BlueNoroff, TraderTraitor e altre denominazioni.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Ciò che distingue Lazarus è il suo legame con lo Stato. Le autorità statunitensi collegano il gruppo al Reconnaissance General Bureau della Corea del Nord e ritengono che i fondi rubati aiutino il Paese a ottenere valuta estera nonostante le sanzioni internazionali.

Le criptovalute si sono rivelate un obiettivo particolarmente attraente: è possibile rubare grandi somme da remoto, trasferirle rapidamente tra blockchain e suddividerle tra migliaia di indirizzi.

Dalle banche agli exchange crypto

La storia di Lazarus Group è iniziata molto prima che gli asset digitali diventassero mainstream. Il gruppo è stato collegato all'attacco del 2014 contro Sony Pictures, mentre gli hacker legati alla Corea del Nord hanno rubato 81 milioni di dollari alla banca centrale del Bangladesh attraverso il sistema SWIFT nel 2016.

La svolta successiva è arrivata con l'espansione del mercato delle criptovalute. A differenza delle banche tradizionali, le società crypto controllavano ingenti quantità di asset liquidi, operavano 24 ore su 24 e spesso dipendevano da pochi dipendenti, chiavi private o sistemi per la firma delle transazioni.

Uno degli attacchi più ingenti è stato l'hack del Ronin Bridge nel marzo 2022. Dal sistema associato ad Axie Infinity sono stati rubati asset per circa 620 milioni di dollari. In seguito, l'FBI ha attribuito ufficialmente l'operazione a Lazarus Group e APT38.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Nel giugno dello stesso anno è stato attaccato l'Horizon Bridge di Harmony, con perdite di circa 100 milioni di dollari. Nel 2023, Atomic Wallet, Alphapo, CoinsPaid e Stake.com si sono aggiunti all'elenco delle vittime, mentre DMM Bitcoin, in Giappone, ha perso altri 308 milioni di dollari nel 2024.

Miliardi rubati in pochi anni

L'incidente più noto si è verificato nel febbraio 2025, quando Bybit ha perso circa 1,5 miliardi di dollari. L'FBI ha collegato il furto alla campagna TraderTraitor della Corea del Nord. Per entità della somma rubata, è diventato il più grande furto di criptovalute mai registrato.

Chainalysis ha stimato che i gruppi legati alla Corea del Nord abbiano rubato almeno 2 miliardi di dollari in criptovalute soltanto nel 2025. Alla fine di quell'anno, il totale cumulativo degli anni precedenti aveva raggiunto 6,75 miliardi di dollari.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Gli attacchi sono proseguiti nel 2026. I ricercatori hanno collegato i principali furti ai danni di Drift Protocol e KelpDAO ad attori nordcoreani, mentre l'hack di Bitget di settembre ha portato l'importo rubato durante l'anno oltre 1 miliardo di dollari.

Non tutti gli attacchi condotti dai gruppi nordcoreani vengono ufficialmente attribuiti a Lazarus e spesso nomi diversi indicano team separati all'interno dello stesso sistema sostenuto dallo Stato. È quindi più accurato dire che, entro l'autunno del 2026, gli hacker legati alla Corea del Nord avevano rubato più di 7 miliardi di dollari in criptovalute, con Lazarus ancora tra i componenti centrali dell'operazione.

Gli hacker prendono di mira le persone, non le blockchain

Le principali operazioni di Lazarus iniziano sempre più spesso non da una vulnerabilità di uno smart contract, ma dall'accesso a un dipendente o ai sistemi interni di un'azienda. Falsi recruiter contattano gli sviluppatori su LinkedIn, inviano "test assignment", file o repository dannosi e tentano di ottenere credenziali o accesso ai dispositivi di lavoro.

Le autorità statunitensi e giapponesi hanno descritto esattamente questo approccio dopo l'hack di DMM Bitcoin. Un aggressore che si spacciava per recruiter ha contattato un dipendente di Ginco, una società associata all'exchange, e ha utilizzato tecniche di social engineering per accedere a un sistema coinvolto nell'elaborazione delle transazioni.

Un altro approccio richiede mesi per essere portato a termine. I lavoratori IT nordcoreani ottengono impieghi presso società crypto legittime usando identità false e acquisendo così accesso ai sistemi interni in qualità di dipendenti.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Secondo TRM Labs, circa il 76% del valore rubato nella prima metà del 2026 è derivato dalla compromissione di sistemi interni e processi operativi. Il controllo di una chiave privata, di un account o di un sistema per la firma delle transazioni consente agli aggressori di trasferire fondi senza sfruttare una vulnerabilità della blockchain stessa.

Fase due: trasferimento dei fondi rubati

Subito dopo un attacco, gli asset rubati vengono suddivisi tra numerosi indirizzi, scambiati tramite piattaforme decentralizzate, trasferiti tra blockchain e instradati attraverso servizi che rendono più difficile tracciare le transazioni.

Dopo l'hack dell'Horizon Bridge, l'FBI ha monitorato l'uso di RAILGUN, mentre Lazarus ha utilizzato Tornado Cash in altre operazioni e in precedenza si era affidato a Sinbad. Quando singoli servizi sono stati sanzionati o hanno chiuso, le rotte di riciclaggio sono cambiate.

Dopo l'hack di Bybit, gli asset rubati sono stati rapidamente convertiti, distribuiti tra migliaia di indirizzi e trasferiti tra blockchain.

Un caso recente mostra quanto questa rete si estenda oltre la Corea del Nord. ZachXBT sostiene che una rete criminale cinese abbia contribuito a riciclare oltre 1 miliardo di dollari rubato da Lazarus in diversi attacchi. Dopo l'hack di Bybit, l'investigatore si è infiltrato nella rete fingendosi un cliente e ha collegato singoli operatori a milioni di dollari in fondi rubati.

Perché Lazarus rimane una minaccia sistemica

Bloccare un singolo wallet o servizio raramente ferma Lazarus. Dietro un gruppo di indirizzi possono celarsi nuovi intermediari, dipendenti che operano sotto false identità, reti di riciclaggio e un sistema che dipende da un flusso costante di fondi.Le autorità statunitensi collegano direttamente i proventi di queste operazioni ai programmi nordcoreani, inclusi lo sviluppo di missili balistici e di armi nucleari. Per un regime soggetto a sanzioni severe, l'industria delle criptovalute è diventata un modo per ottenere valuta estera senza accesso al sistema finanziario internazionale tradizionale.

Questo cambia anche i requisiti di sicurezza. Gli exchange e i progetti DeFi non possono più affidarsi soltanto agli audit degli smart contract. Devono monitorare anche il reclutamento, i dispositivi dei dipendenti, i permessi di accesso, i sistemi per la firma delle transazioni e i fornitori terzi.

Allo stesso tempo, ogni grande furto aumenta la pressione sui servizi che possono avere anche finalità legittime. Mixer, bridge ed exchange decentralizzati sono soggetti a sanzioni e controlli normativi quando centinaia di milioni di dollari legati alla Corea del Nord vi transitano.

Negli ultimi anni, Lazarus si è trasformato da uno dei tanti gruppi di hacker in una minaccia sistemica per l'industria delle criptovalute. Il suo vantaggio non risiede in una singola vulnerabilità sofisticata, ma nella capacità di combinare social engineering, accesso interno, attacchi tecnici e riciclaggio internazionale di denaro in un'operazione coordinata.

La portata del problema non può quindi più essere misurata soltanto in miliardi di dollari rubati. Finché le società crypto resteranno obiettivi convenienti per accedere ad asset digitali liquidi e continueranno a esistere reti capaci di trasferire e riciclare i fondi rubati, gli attacchi di Lazarus resteranno una minaccia persistente per l'intero settore, anziché episodi isolati.