Negli ultimi anni, la Repubblica Popolare Democratica di Corea, quella che chiamiamo comunemente Nord Corea, si è affermata come uno degli attori più attivi e pericolosi nel panorama globale del cyber crime, con particolare attenzione al settore delle criptovalute.
L’evoluzione tecnologica del Paese, accompagnata da una pianificazione pluridecennale, ha consentito al regime nordcoreano di sfruttare le competenze informatiche come leva strategica per aggirare le sanzioni internazionali e finanziare programmi militari avanzati.
Parallelamente, le decisioni politiche adottate dall’amministrazione Trump, in particolare i tagli ai fondi destinati alla cooperazione per la cyber sicurezza, hanno determinato un indebolimento delle capacità difensive a livello globale, creando spazi operativi che Pyongyang ha saputo occupare con estrema efficacia.
Indice degli argomenti
Cenni storici
Già a partire dagli anni ’80, dalla fine della Guerra del Golfo, la Corea del Nord ha compreso il potenziale strategico delle tecnologie digitali, intensificando l’investimento in risorse umane e infrastrutture.
Scarica la guida definitiva per la Cybersecutiry e gestione del rischio nel settore finanziario
In particolare, ha investito nella formazione di élite specializzate in matematica e informatica, istituendo scuole dedicate e dispensando gli studenti selezionati dai lavori agricoli forzati.
Con l’ascesa al potere di Kim Jong Un, le capacità cibernetiche si sono confermate una priorità nazionale, definite dallo stesso leader una “spada universale” utile per attività di sorveglianza oltre che di raccolta di fondi attraverso attività illegali.
L’evoluzione nordcoreana dal 2010
Il passaggio da attività di sabotaggio e spionaggio a vere e proprie operazioni criminali su scala globale si è concretizzato intorno al 2010, con un focus particolare sull’acquisizione di criptovalute.
Secondo dati forniti da Chainalysis, nel 2023 gli hacker nordcoreani hanno sottratto circa 661 milioni di dollari in asset digitali e nel 2024, la cifra è più che raddoppiata, raggiungendo 1,34 miliardi di dollari distribuiti su 47 operazioni distinte. Questo dato rappresenta oltre il 60% delle criptovalute rubate a livello globale in quell’anno.
Nord Corea, ecco i furti criptovalute più rilevanti
L’attacco più imponente è avvenuto il 21 febbraio 2025, quando la piattaforma crittografica ByBit, con sede a Dubai, ha subito un furto di circa 1,5 miliardi di dollari in Ethereum.
Il gruppo responsabile è stato identificato come lo state sponsored nordcoreano Lazarus già noto per precedenti attacchi.
L’operazione è senza precedenti non solo per l’entità economica, ma anche per la precisione tecnica a conferma l’elevato grado di specializzazione degli attaccanti: è stata compromessa la macchina di un tecnico di una ditta terza che sviluppava software di archiviazione e gestione dei fondi in criptovaluta, usato per proteggere gli asset digital.
Gli hacker hanno manipolato il sistema di autorizzazione delle transazioni usato da Bybit, e in pochi minuti hanno prelevato 1.5 miliardi di dollari in ETH, causando un crollo nel mercato delle criptovalute.
Lo schema collaudato
La metodologia operativa nordcoreana segue schemi ormai collaudati.
Nella fase iniziale, l’accesso ai sistemi bersaglio avviene mediante strumenti di social engineering, dal phishing, identità false, finte offerte di lavoro, fino a infiltrazioni nei team di sviluppo remoto: gli hacker riescono spesso a farsi assumere da aziende occidentali come sviluppatori freelance, utilizzando questa copertura per accedere ai dati interni e ai wallet digitali.
Una volta sottratti i fondi, entrano in azione sofisticati meccanismi di riciclaggio: tecniche di “mixing” e “chain hopping” vengono impiegate per dissimulare la provenienza del denaro, attraverso la frammentazione dei fondi in numerosi wallet e la conversione continua da una criptovaluta all’altra. Esperti come Elliptic e TRM Labs, stimano che la Corea del Nord riesca a monetizzare tra l’80% e il 90% del valore iniziale rubato, grazie alla collaborazione con reti criminali internazionali.
Il paradosso di Pyongyang
Il paradosso è che tutto ciò avviene in un Paese dove l’accesso a Internet per i cittadini è rigidamente vietato e dove, tuttavia, il regime può concentrare risorse intellettuali selezionate verso obiettivi strategici senza la concorrenza del settore privato.
Le università nordcoreane ottengono in alcuni casi risultati superiori rispetto a istituzioni di prestigio occidentali. Inoltre, a differenza di altri Stati, Pyongyang non si preoccupa delle possibili ripercussioni diplomatiche, operando con un livello di esposizione relativamente elevato.
Nord Corea, i furti criptovalute finanziano missili e programmi nucleari
I fondi ottenuti tramite attacchi come quello alla Bybit sono destinati al sostegno dell’apparato statale. Ma il loro reimpiego va a finanziare i programmi missilistici e nucleari del Paese.
Secondo un rapporto delle Nazioni Unite del 2023, circa la metà delle entrate in valuta estera della Corea del Nord proviene da attività di cybercrime e si stima che le criptovalute rubate nel solo 2024 hanno generato un valore superiore a tre volte quello dell’export verso la Cina, principale partner commerciale del Paese.
L’impatto dei tagli di Trump nella cyber difesa
Questi sviluppi si inseriscono in un contesto di crescente vulnerabilità globale, anche a causa della riduzione della cooperazione internazionale nel settore della cybersicurezza.
L’amministrazione Trump recentemente insediata ha già avviato un drastico ridimensionamento dei fondi destinati ai programmi di aiuto allo sviluppo, di cui fanno parte anche quelli finalizzati alla sicurezza informatica.
I tagli hanno riguardato, infatti, agenzie statunitensi come la Cybersecurity and Infrastructure Security Agency (CISA), che ha subito una significativa riduzione del personale, compromettendo le capacità difensive interne.
L’impatto globale
A livello internazionale, si sono interrotte centinaia di iniziative destinate alla formazione di personale specializzato, allo sviluppo di infrastrutture digitali sicure e alla protezione dei sistemi elettorali e delle comunicazioni governative nei Paesi in via di sviluppo, a causa della sospensione di programmi finanziati dagli Usa.
L’assenza di supporto tecnico e finanziario ha lasciato scoperti molti Stati vulnerabili, contribuendo a creare un ecosistema favorevole alle incursioni di attori malevoli come i gruppi nordcoreani.
Chi ha colmato il vuoto del disimpegno americano
Le conseguenze di politiche di disinvestimento dal settore della cyber sicurezza si estendono oltre la dimensione nazionale, il vuoto lasciato dal disimpegno americano è stato colmato, in parte, da altri attori internazionali con agende divergenti, alterando gli equilibri di potere nel dominio digitale. La cooperazione internazionale, già ostacolata da divergenze strategiche e diplomatiche, ha subito ulteriori rallentamenti.
Le Iniziative multilaterali avviate a partire dal 2023 da Usa, Giappone e Corea del Sud non hanno finora prodotto risultati commisurati alla minaccia. E, nel frattempo, l’uso del potere di veto da parte della Russia in sede Onu ha causato lo smantellamento del Panel of Experts che era stato incaricato di monitorare le attività cibernetiche nordcoreane.
Nord Corea: il furto di cripto delinea un quadro di insicurezza globale
Il regime di Pyongyang ha continuato a rafforzare la propria forza lavoro cibernetica, tanto che, secondo l’intelligence sudcoreana, il numero di operatori specializzati sarebbe cresciuto da circa 6.800 nel 2022 a oltre 8.400 nel 2024.
Le operazioni offensive si sono estese anche a mercati emergenti come India e Indonesia, dove la regolamentazione è più debole.
Inoltre, l’impiego di strumenti basati sull’intelligenza artificiale ha aumentato la portata e l’efficacia degli attacchi:
- generazione automatica di email di phishing multilingua;
- sviluppo di codici malevoli su larga scala;
- e simulazioni sempre più credibili di interazioni aziendali.
Nello scenario descritto, la sottrazione sistematica di criptovalute non si configura più come una semplice attività criminale, bensì come un vero e proprio strumento di politica estera e finanziamento strategico a fronte del quale l’assenza di una risposta coordinata da parte della comunità internazionale contribuisce a delineare un quadro di insicurezza strutturale.
L’interconnessione tra scelte politiche, capacità tecnologiche e mutamenti negli equilibri di potere richiede un ripensamento urgente delle strategie di difesa e cooperazione.
Serve una rete di resilienza globale
La sfida odierna non consiste solo nell’individuare e neutralizzare le minacce informatiche più avanzate, ma anche nel ristabilire una rete globale di resilienza capace di affrontare efficacemente le dinamiche emergenti.
A tal fine è necessario rafforzare le capacità difensive nazionali, rilanciare la cooperazione internazionale e investire nella formazione di nuove generazioni di esperti in cyber sicurezza.
Innovazione e sicurezza nel digital banking: come guidare la trasformazione
