Uno Stato nazionale si è appena assicurato circa due terzi di ogni dollaro sottratto all’ecosistema crypto globale nel primo semestre del 2026.
Non è un errore di arrotondamento. E non è neppure l’effetto di un singolo colpo clamoroso.
È il risultato di una campagna di hacking industrializzata e continuativa, affinata per quasi un decennio, che oggi surclassa la somma di tutti gli altri attori malevoli del settore.
Le dimensioni sono impressionanti persino per gli standard del crimine crypto, che non è mai stato avaro di numeri spettacolari.
Secondo dati diffusi questa settimana da ricercatori specializzati in sicurezza su blockchain, i gruppi collegati alla Corea del Nord hanno rappresentato il 66,2% delle perdite globali da attacchi a asset digitali nel primo semestre 2026.
Questa concentrazione di perdite in un unico cluster di minaccia segna un cambio di qualità nel profilo di rischio dell’intero comparto. E arriva in un momento in cui i capitali istituzionali stanno rientrando sulle crypto al ritmo più rapido dal 2021.
In sintesi
- Gli hacker legati alla Corea del Nord hanno intercettato il 66,2% di tutte le perdite da hacking crypto nella prima metà del 2026, toccando un nuovo massimo nella concentrazione di furti sponsorizzati da uno Stato.
- Il Lazarus Group e le unità affiliate della RPDC sono passati da attacchi opportunistici agli exchange a operazioni strutturate contro protocolli DeFi, bridge cross-chain e sviluppatori presi di mira con tecniche avanzate di social engineering.
- I proventi finiscono direttamente a finanziare i programmi d’arma nordcoreani, trasformando la sicurezza delle crypto in un dossier geopolitico che regolatori a Washington, Bruxelles e Seul trattano ormai come urgente.
Il 66%: cosa misura davvero questo numero
Prima di trarre conclusioni strategiche, va analizzata la metodologia dietro a questa percentuale.
Il 66,2% indica la quota delle perdite totali verificate da hacking crypto attribuibili a wallet collegati alla RPDC nel primo semestre 2026, sulla base di analisi on-chain che seguono i flussi dalla sottrazione iniziale, attraverso mixer e servizi di off-ramp, fino alle fasi di cash-out.
Chainalysis, che pubblica le serie storiche più dettagliate sulla criminalità crypto, segnalava nel suo Crime Report 2024 che i gruppi legati alla Corea del Nord avevano sottratto circa 1,34 miliardi di dollari in 47 episodi nel 2023, pari al 61% del valore complessivo dei furti di quell’anno.
Il dato del primo semestre 2026 indica un’ulteriore concentrazione. Suggerisce che il divario tra le capacità nordcoreane e quelle degli altri attori malevoli si stia allargando, non riducendo.
Quella quota del 66,2% è la più alta concentrazione mai registrata di furti di asset digitali riconducibili a uno Stato in un singolo semestre.
È altrettanto importante capire che cosa il 66% non misura.
Non include exit scam, rug pull e frodi in senso lato, che Chainalysis classifica in categorie separate rispetto agli hack veri e propri. Il denominatore comprende solo perdite da hacking accertate.
Se si considerassero tutte le forme di crimine crypto, la percentuale della RPDC si abbasserebbe. Ma non cambierebbe l’ammontare assoluto in dollari sottratti.
Da leggere anche: La domanda spot di XRP sale mentre i perps su Binance lanciano un allarme da 783 milioni di dollari
Come il Lazarus Group è diventato una superpotenza nel crimine crypto
Il Lazarus Group – l’etichetta usata dall’intelligence statunitense e dai ricercatori privati per indicare le unità cyber più sofisticate della RPDC – non è nato con un focus sulle criptovalute.
All’inizio il gruppo era associato ad attacchi distruttivi, rapine bancarie via sfruttamento del network SWIFT e campagne di ransomware.
La svolta verso il mondo crypto è stata graduale. Ha preso davvero quota intorno al 2017, quando il gruppo ha preso di mira gli exchange sudcoreani, per poi impennarsi dopo il maxi–attacco del 2022 a Ronin Network.
L’hack di Ronin, in cui il Lazarus Group ha sottratto circa 625 milioni di dollari alla sidechain di Axie Infinity, è stato un punto di svolta strategico.
L’episodio ha dimostrato che l’infrastruttura DeFi – con la sua complessità di smart contract, le dipendenze dai bridge cross-chain e le vulnerabilità nella social engineering degli sviluppatori – offre una superficie d’attacco molto più redditizia rispetto agli exchange centralizzati, che nel frattempo avevano rafforzato le difese dopo un decennio di violazioni.
Quel furto da 625 milioni nel marzo 2022 resta il più grande hack DeFi mai registrato. È diventato il modello operativo per le successive campagne crypto della RPDC.
Dal 2022 il gruppo ha raffinato sistematicamente tre vettori di attacco.
Il primo consiste nel compromettere le credenziali degli sviluppatori – di norma tramite finti annunci di lavoro su LinkedIn che installano malware quando il bersaglio apre un documento o esegue un repository.
Il secondo riguarda gli exploit sui bridge cross-chain, puntando alla logica degli smart contract che validano i trasferimenti di asset tra diverse reti.
Il terzo è rappresentato dagli attacchi alla supply chain del software, colpendo le dipendenze utilizzate dai protocolli crypto – una tecnica nata nella cybersecurity tradizionale e ormai adattata all’ambiente blockchain.
Da leggere anche: Inghilterra–India non è più solo cricket per i trader dei prediction market
Il mirino si sposta dagli exchange alla DeFi
I primi capitoli della storia dei grandi furti crypto sono stati scritti dagli attacchi agli exchange centralizzati. Mt. Gox nel 2014, Bitfinex nel 2016, Coincheck nel 2018: episodi costruiti su compromissione degli hot wallet, falle nelle API o collusione interna. I responsabili erano per lo più gruppi criminali opportunistici, non strutture statali con copertura istituzionale.
L’attuale manuale operativo della RPDC è radicalmente diverso. Nel rapporto 2024 Crypto Threat Intelligence di TRM Labs (link), la quota dei furti crypto nordcoreani attribuibili a exploit su protocolli DeFi, anziché ad hack su exchange centralizzati, è passata da circa il 30% nel 2021 a oltre il 70% nel 2024. Un’evoluzione in linea con la stessa crescita della liquidità on-chain.
Il valore totale bloccato (TVL) nei protocolli DeFi a livello globale ha superato i 180 miliardi di dollari a fine 2021, per poi crollare durante il bear market del 2022, e successivamente risalire su livelli che tornano a essere altamente appetibili come bersaglio. I dati di DefiLlama (link) a metà 2026 mostrano un TVL aggregato superiore ai 110 miliardi di dollari su tutte le chain, con i bridge cross-chain che gestiscono una quota sproporzionata di quel valore in forma di pool.
I contratti dei bridge DeFi sono bersagli strutturalmente attraenti per gli attaccanti sofisticati perché concentrano grandi masse di liquidità in singoli smart contract e richiedono meccanismi di validazione cross-chain complessi e difficili da auditare in modo esaustivo.
I bridge cross-chain sono diventati un’ossessione specifica per le unità nordcoreane proprio per la loro particolare mappa del rischio. Un bridge deve fidarsi di affermazioni provenienti da una chain remota che non può verificare nativamente. La logica di validazione è complessa e spesso si basa su comitati multisig o su light client proof. Entrambi gli approcci creano assunzioni sfruttabili.
Il bridge di Ronin, ad esempio, usava un multisig nove–su–nove che, di fatto, è stato trasformato in una soglia cinque–su–nove tramite social engineering. Raggiunta quella soglia di cinque firme controllate, gli attaccanti hanno potuto autorizzare prelievi in grado di svuotare il bridge.
Da leggere anche: Fable 5 vale davvero il doppio del prezzo se Opus 4.8 continua a convincere?
Il vettore delle finte offerte di lavoro e la caccia agli sviluppatori
L’elemento più costante – e sottovalutato – della campagna della RPDC nel primo semestre 2026 è l’infrastruttura di social engineering rivolta ai singoli sviluppatori e ai dipendenti dei protocolli. Non si tratta di un hack tecnico in senso stretto, ma di un’operazione di intelligence paziente, basata sulle relazioni, che culmina nell’esecuzione di codice malevolo.
Lo schema standard, documentato in dettaglio da Mandiant nell’analisi sulle minacce finanziarie di APT38 (link) e dall’agenzia statunitense Cybersecurity and Infrastructure Security Agency nell’Alert CISA AA22-108A, prevede che gli operatori nordcoreani creino profili professionali credibili su LinkedIn, spesso con foto generate da AI. Contattano sviluppatori che lavorano in progetti crypto offrendo consulenze, colloqui o incarichi di revisione del codice.
In casi documentati, gli operatori della RPDC hanno mantenuto relazioni su LinkedIn con sviluppatori crypto per settimane o mesi prima di inviare il payload malevolo, costruendo fiducia attraverso conversazioni tecniche credibili sul codice specifico del bersaglio.
Quando il target abbocca, l’attaccante invia un file che richiede esecuzione: può essere un PDF con payload incorporato, un repository GitHub con una dipendenza compromessa o una finta prova tecnica che installa una backdoor.
Una volta ottenuto l’accesso alla macchina dello sviluppatore, gli hacker possono sottrarre chiavi private, token di sessione per sistemi interni e credenziali per le infrastrutture cloud che gestiscono i deployment dei protocolli.
Il livello di sofisticazione di queste tecniche riflette un investimento istituzionale in capacità operative che i gruppi criminali privati non sono in grado di eguagliare. Le unità cyber della RPDC sono dipendenti statali che si addestrano a tempo pieno, operano con rigorose procedure di sicurezza operativa e accumulano negli anni un patrimonio di conoscenze su quali protocolli siano più vulnerabili e quali sviluppatori più avvicinabili.
Da leggere anche: TeraWulf vola in Borsa: l’accordo con Anthropic trasforma il miner di Bitcoin in un player dell’AI da 19 miliardi
L’infrastruttura di riciclaggio dietro i numeri dei furti
Rubare criptovalute è solo il primo passo. Convertirle in risorse utilizzabili dal regime richiede una catena di riciclaggio complessa, che è diventata a sua volta oggetto di analisi on-chain sempre più sofisticate. È proprio nei movimenti successivi al furto che gli investigatori trovano gli indizi più affidabili per attribuire gli attacchi alla RPDC, perché il gruppo presenta pattern comportamentali riconoscibili. schemi ricorrenti nei movimenti e nelle tecniche di offuscamento dei fondi.
Chainalysis ha tracciato il flusso “standard” di riciclaggio della DPRK come un processo multilivello. Gli asset rubati vengono innanzitutto convertiti in Ethereum (ETH) o Bitcoin (BTC) tramite DEX on-chain, trasformando token illiquidi e specifici di singoli protocolli in asset molto più liquidi. Questi vengono poi fatti transitare attraverso servizi di mixing: in passato il gruppo ha utilizzato in modo sistematico Tornado Cash, fino a quando le sanzioni OFAC dell’agosto 2022 l’hanno costretto a migrare verso nuovi strumenti di offuscamento come Sinbad e Yomix, anch’essi successivamente colpiti da misure restrittive statunitensi.
OFAC ha designato il mixer Sinbad nel novembre 2023 e il mixer Yomix nell’aprile 2025, evidenziando una dinamica da “guardie e ladri” in cui ogni strumento di riciclaggio della DPRK finisce per essere sanzionato, spingendo il gruppo verso nuove infrastrutture.
Dopo la fase di mixing, i fondi vengono instradati attraverso una rete di conti annidati presso exchange, broker OTC in giurisdizioni con presidi AML deboli o inesistenti e piattaforme peer‑to‑peer. Lo sbocco finale più frequente, storicamente, sono stati exchange in Asia orientale e nel Sud‑Est asiatico con requisiti KYC limitati. Un rapporto 2024 del Panel of Experts delle Nazioni Unite sulla Corea del Nord ha individuato in modo esplicito i proventi da furti crypto come principale fonte di finanziamento del programma missilistico balistico della DPRK, stimando che le entrate in criptovalute coprano circa il 40% del fabbisogno in valuta estera per lo sviluppo di armi di distruzione di massa.
Da leggere anche: Ethereum potrebbe andare verso uno stato quasi-zero con il piano Lean Chain più radicale di Buterin
La risposta regolamentare e i suoi limiti
Il governo statunitense ha messo in campo un arsenale significativo contro le operazioni crypto della DPRK: designazioni OFAC su wallet e servizi di mixing, avvisi di attribuzione dell’FBI su specifici attacchi, comunicazioni congiunte con le agenzie di intelligence alleate. Il Department of Justice ha incriminato diversi operativi nordcoreani, sebbene la mancanza di accordi di estradizione renda di fatto impossibile portarli a processo.
Il limite della risposta USA è strutturale. Le sanzioni sugli indirizzi di wallet sono realmente efficaci solo contro soggetti che utilizzano infrastrutture finanziarie regolamentate per convertire crypto in valuta fiat. Hanno invece un impatto minimo su attori sofisticati che si appoggiano a giurisdizioni fuori dalla portata dell’AML statunitense. L’azione OFAC contro Tornado Cash è stata rilevante e contestata, ma la DPRK si è adattata in pochi mesi, migrando verso infrastrutture alternative.
Il Department of Justice ha formalmente incriminato sette hacker militari nordcoreani legati a furti crypto, ma nessuno di loro è comparso davanti a un tribunale. Le incriminazioni funzionano soprattutto come strumenti di attribuzione e come deterrente per terzi che altrimenti potrebbero facilitare i movimenti di fondi.
La Financial Action Task Force (FATF), organismo intergovernativo che definisce gli standard AML, ha inserito la Corea del Nord nella categoria di massimo rischio, sollecitando in modo permanente i Paesi membri ad applicare misure rafforzate di due diligence su qualsiasi transazione riconducibile alla DPRK. Le raccomandazioni FATF, tuttavia, non sono vincolanti, e molte delle giurisdizioni più utili alla DPRK come canale di uscita non sono membri FATF o presentano livelli di attuazione molto deboli.
Il regolamento europeo Markets in Crypto‑Assets (MiCA), entrato pienamente in vigore a fine 2024, include requisiti di “travel rule” che impongono l’identificazione della controparte per trasferimenti crypto sopra determinate soglie. I sostenitori sostengono che questo chiuda parte dei canali OTC di off‑ramp. I critici osservano che le operazioni della DPRK sono sufficientemente sofisticate da aggirare i presidi KYC affidandosi a wallet non custodial e a giurisdizioni fuori dalla portata dell’UE.
Da leggere anche: Muse Image di Meta trasforma Instagram nella materia prima per l’arte generata dall’AI
Cosa mostrano davvero le analisi on‑chain
L’attribuzione dei furti crypto alla Corea del Nord non è un’affermazione politica, ma si fonda su dati on‑chain verificabili e replicabili da qualsiasi ricercatore con accesso ai registri pubblici delle blockchain e a strumenti di clustering dei wallet. Comprendere come funziona questa attribuzione è essenziale per valutarne l’affidabilità.
Quando la DPRK colpisce un protocollo, la transazione iniziale è immediatamente visibile on‑chain. I fondi rubati vengono spostati su wallet controllati dagli attaccanti, che avviano una sequenza di swap, operazioni di bridge e attività di mixing. Elliptic, un altro provider di analytics blockchain, ha illustrato una metodologia dettagliata secondo cui i wallet riconducibili alla DPRK presentano firme comportamentali ricorrenti: pattern temporali specifici, percorsi di swap ricorrenti, quantità di “dust” caratteristiche lasciate nei wallet intermedi e una tendenza a parcheggiare i fondi rubati in cluster di indirizzi per lunghi periodi prima di muoverli.
L’analisi di clustering dei wallet condotta da Elliptic ha identificato oltre 15.000 indirizzi associati alle operazioni di furto della DPRK, creando un grafo di wallet interconnessi che i forensic analyst utilizzano per tracciare i flussi anche dopo il passaggio nei mixer.
Gli avvisi di attribuzione dell’FBI su singoli hack, come la violazione di Alphapo e l’exploit su Atomic Wallet nel 2023, si basano proprio su questa metodologia forense, integrata da intelligence di tipo “signals” classificata.
La combinazione di dati pubblici on‑chain e informazioni di intelligence governativa ha portato a livelli di confidenza nell’attribuzione superiori a quelli tipici nelle indagini sul cybercrime tradizionale, dove una traccia transazionale immutabile non esiste.
Da leggere anche: Per Saylor basta una crescita del 3,3% di Bitcoin per mantenere in vita i dividendi della strategia
Il programma degli IT worker come canale di entrate parallelo
Parallelamente agli hack, la DPRK gestisce un programma di generazione di entrate in crypto che ha attirato crescente attenzione investigativa nel 2024 e 2025. Migliaia di cittadini nordcoreani, operando sotto identità fittizie e sfruttando documenti generati dall’AI e video deepfake, hanno ottenuto impieghi da remoto presso società crypto e startup Web3 in Nord America ed Europa.
Il Department of Justice ha incriminato quattordici persone nel maggio 2024 per aver gestito uno schema che ha collocato IT worker nordcoreani in oltre 300 aziende statunitensi, convogliando i proventi verso la DPRK.
Secondo l’atto di accusa, i singoli lavoratori guadagnavano tra 250.000 e 300.000 dollari l’anno, con uno schema complessivo che avrebbe generato decine di milioni di dollari nell’arco di alcuni anni.
L’incriminazione del maggio 2024 del DOJ documenta IT worker nordcoreani arrivati a guadagnare fino a 300.000 dollari annui ciascuno presso imprese crypto e tech statunitensi, con fondi rimessi alla DPRK attraverso una rete di facilitatori negli Stati Uniti, nel Regno Unito e in Cina.
Per l’industria crypto, questo programma è particolarmente insidioso perché introduce accessi interni direttamente all’interno dei team di sviluppo. Un IT worker con credenziali legittime e accesso ai repository è, in termini di rischio, più pericoloso di un attaccante esterno che cerca di violare le difese perimetrali.
Diversi ricercatori di sicurezza hanno segnalato che pattern sospetti nei commit di codice, accessi ai repository non spiegati e orari di lavoro anomali vengono ormai trattati dalle aziende crypto più attente come potenziali indicatori di IT worker nordcoreani.
L’intersezione tra il programma degli IT worker e le campagne di social engineering contro gli sviluppatori fa sì che la superficie di attacco della DPRK verso l’industria crypto sia multidimensionale: hacker esterni, developer compromessi attraverso offerte di lavoro fasulle e insider collocati ad arte rappresentano vettori di minaccia attivi in parallelo.
Da leggere anche: OpenAI ottiene il via libera per GPT‑5.6 mentre Trump sblocca una diffusione più ampia dell’AI
La risposta di sicurezza dell’industria
La reazione del settore alla minaccia nordcoreana è stata significativa, ma disomogenea.
I protocolli con maggiori risorse effettuano oggi audit di sicurezza approfonditi prima di ogni rilascio, gestiscono bug bounty con reward a sei zeri e mantengono team di sicurezza interni con profili da ricerca offensiva.
Questa concentrazione degli investimenti in sicurezza al vertice della piramide dei protocolli replica lo stesso “power law” che caratterizza il mercato crypto nel suo complesso.
Immunefi, la principale piattaforma di bug bounty Web3, ha riportato payout totali per oltre 100 milioni di dollari a metà 2025 — avendo contribuito a individuare vulnerabilità che, se sfruttate, avrebbero potuto causare perdite per miliardi.
La singola ricompensa più alta nella sua storia è stato un bounty da 10 milioni di dollari a un white hat che ha individuato una vulnerabilità critica in un importante protocollo DeFi prima che potesse essere sfruttata.
Questa concentrazione della spesa in sicurezza sui protocolli top‑tier lascia però molti progetti DeFi più piccoli — che nel complesso gestiscono comunque miliardi di dollari di TVL — significativamente sotto‑protetti.
Il problema dei bridge cross‑chain, al centro di moltissimi dei principali hack, ha generato risposte architetturali dedicate.
La principale direttrice di evoluzione è il passaggio verso bridge “trust‑minimized”, che utilizzano zero‑knowledge proof per verificare lo stato della chain di origine senza affidarsi a comitati di validator.
Progetti come Succinct Labs e Polyhedra Network stanno sviluppando infrastrutture ZK light client pensate proprio per eliminare l’assunzione di un comitato fidato che ha reso exploitabili bridge come Ronin.
WhetherChe la sicurezza delle infrastrutture stia migliorando abbastanza velocemente da superare l’evoluzione delle capacità informatiche della DPRK è tutt’altro che scontato.
La quota del 66% nel primo semestre 2026 indica che, anche a fronte di ingenti investimenti del settore, l’attaccante continua a tenere il passo.
Da leggere anche: SpaceXAI punta a un “Claude killer” azionato da Cursor prima ancora che si chiuda l’accordo da 60 miliardi di dollari
Posta in gioco geopolitica e scenari futuri
Il furto di criptoasset è oggi la principale fonte di valuta pregiata per la Corea del Nord.
Non è una formula ad effetto, ma la descrizione di una realtà operativa documentata — riconosciuta dal Tesoro statunitense, dalle Nazioni Unite e dai servizi d’intelligence dei Paesi alleati.
Il Panel di esperti dell’ONU stima in circa 3 miliardi di dollari il valore delle criptovalute sottratte dalla DPRK tra il 2017 e il 2023, con un’accelerazione evidente negli ultimi anni.
Queste risorse non confluiscono in un “tesoro di Stato” nel senso tradizionale del termine.
Alimentano direttamente i programmi d’armamento — in particolare lo sviluppo di missili balistici e la miniaturizzazione delle testate nucleari, oggi la priorità strategica assoluta per Pyongyang.
Ogni dollaro sottratto a un protocollo DeFi si può tradurre, in concreto, in capacità materiali e tecnologiche per sistemi d’arma che le pianificazioni difensive di Stati Uniti, Corea del Sud e Giappone incorporano ormai sistematicamente nelle proprie valutazioni di rischio.
Il Panel di esperti ONU collega direttamente quei 3 miliardi di dollari di furti cripto tra il 2017 e il 2023 al finanziamento dei programmi militari — facendo della sicurezza delle blockchain una variabile esplicita nelle equazioni di sicurezza regionale nel Nord-Est asiatico.
Da leggere dopo: 5 alternative più economiche a Fable 5: non spendere troppo per il lavoro AI di tutti i giorni
Considerazioni finali
La quota del 66,2% registrata nel primo semestre 2026 non è una curiosità statistica.
È un segnale sullo stato reale del confronto tra uno dei programmi cyber statali più evoluti al mondo e un’industria che, storicamente, ha privilegiato la velocità di go-to-market rispetto alla sicurezza operativa.
La traiettoria di questo confronto — dagli attacchi opportunistici alle piattaforme di scambio nel 2017, al breach del bridge Ronin nel 2022, fino all’attuale campagna multivettore che colpisce in parallelo sviluppatori, bridge e insider — descrive un attore ostile che apprende, si adatta e scala più rapidamente di quanto gli investimenti difensivi dell’industria siano finora riusciti a contenere.
I fattori strutturali che giocano a favore della DPRK non sono destinati a svanire nel breve periodo.
Pyongyang dispone di una forza lavoro cyber istituzionalizzata, senza alternative nel settore privato, senza accountability pubblica e con un mandato statale esplicito a generare entrate con qualsiasi mezzo disponibile.
L’industria cripto, al contrario, presenta un panorama della sicurezza frammentato. I protocolli con maggior valore in gioco sono sempre più ben difesi — ma la lunga coda dei piccoli progetti DeFi resta strutturalmente sotto-finanziata sul fronte della protezione.
E i cross-chain bridge, l’infrastruttura che collega le diverse “isole” di liquidità dell’ecosistema, rimangono architettonicamente complessi, con ipotesi di funzionamento che generano punti deboli persistenti e facilmente sfruttabili.
