TRM Labs, Chainalysis e l’investigatore onchain ZachXBT hanno collegato il furto stimato in 6,3 miliardi di dollari ai danni di Binance al gruppo nordcoreano TraderTraitor. L’attribuzione non arriva da Binance, ma si fonda su analisi di movimenti onchain e su elementi raccolti fuori dalla blockchain.
Il punto più rilevante è l’incrocio con un precedente attacco a Bitget: secondo ZachXBT, somme sottratte nei due casi sarebbero confluite allo stesso indirizzo dopo il passaggio attraverso THORChain. Un elemento che, se confermato nel quadro investigativo, rafforza il legame fra le due operazioni.
Perché gli investigatori indicano TraderTraitor
TRM Labs afferma di avere un livello di confidenza elevato nell’attribuzione dell’attacco a TraderTraitor, gruppo che le autorità statunitensi hanno già associato alla Corea del Nord. La società cita intelligence onchain e offchain, senza dettagliare pubblicamente tutti gli elementi tecnici utilizzati per arrivare alla conclusione.
ZachXBT ha aggiunto un riscontro basato sui flussi di criptovalute. A suo dire, fondi rubati nell’attacco a Binance e nel precedente exploit contro Bitget sono stati mescolati presso lo stesso indirizzo dopo il transito attraverso THORChain. Da qui la valutazione che le due intrusioni siano probabilmente opera dello stesso attore.
Jonathan Levin, cofondatore e CEO di Chainalysis, arriva a una stima leggermente diversa dell’impatto: 6,4 miliardi di dollari invece dei 6,3 miliardi indicati per Binance. Anche Levin ritiene probabile il coinvolgimento di TraderTraitor, richiamando collegamenti con attacchi precedenti.
Il precedente Bitget e la convergenza dei fondi
Il riferimento a Bitget è centrale perché quell’attacco era già stato attribuito a TraderTraitor. Il semplice passaggio di fondi su una rete o un protocollo non dimostra da solo chi li controlli; in questo caso, però, l’analisi segnala la convergenza delle somme sottratte nei due episodi verso lo stesso indirizzo.
THORChain compare quindi come passaggio nella ricostruzione dei flussi, non come soggetto accusato dell’attacco. La fonte non specifica quando siano avvenuti tutti i trasferimenti né descrive ulteriori tecniche di riciclaggio utilizzate dopo quella fase.
Un gruppo già associato a grandi furti crypto
Le autorità USA hanno in passato collegato TraderTraitor ad alcuni dei maggiori furti nel settore delle criptovalute, incluso l’attacco a Bybit del febbraio 2025. FBI, investigatori statunitensi e giapponesi avevano inoltre attribuito agli attori nordcoreani il furto di oltre 300 milioni di dollari ai danni di DMM Bitcoin nel maggio 2024.
Secondo l’FBI, il gruppo prende di mira i dipendenti delle aziende con tecniche di ingegneria sociale. Nel caso DMM, un aggressore che si sarebbe presentato come recruiter ha inviato un test di programmazione dannoso a un dipendente del fornitore di wallet Ginco. Gli investigatori hanno ritenuto che l’accesso ottenuto possa essere stato usato per alterare una richiesta di transazione legittima e deviare i fondi verso wallet controllati dagli attaccanti.
FAQ
Chi ha attribuito l’attacco a TraderTraitor?
TRM Labs ha indicato TraderTraitor con un livello di confidenza elevato. ZachXBT e Chainalysis hanno riportato elementi compatibili con la stessa attribuzione, basati soprattutto sui collegamenti tra flussi di fondi e attacchi precedenti.
Binance ha confermato l’identità degli autori?
Nel resoconto disponibile, l’attribuzione viene dalle analisi di TRM Labs, Chainalysis e ZachXBT. La fonte parla di un impatto stimato da Binance in 6,3 miliardi di dollari, ma non riporta una conferma dell’identità degli autori da parte dell’exchange.
Che cosa collega il caso Binance all’exploit di Bitget?
Secondo ZachXBT, i fondi sottratti nei due attacchi sono confluiti allo stesso indirizzo dopo essere passati attraverso THORChain. Bitget era già stato associato a TraderTraitor, e questa sovrapposizione è uno degli indizi citati per collegare i due episodi.
Considerazioni finali
L’attribuzione resta una valutazione investigativa, non una sentenza pubblica, ma qui non si basa su una singola somiglianza generica. La convergenza dei fondi con un caso già ricondotto a TraderTraitor, unita ai precedenti richiamati dalle autorità, compone un quadro più solido di una semplice ipotesi sulla provenienza dell’attacco.
Il dettaglio più pesante è il metodo descritto dall’FBI nei casi precedenti: colpire persone e procedure legittime attraverso l’ingegneria sociale. La sicurezza degli exchange e dei fornitori di wallet non dipende quindi soltanto dalla custodia degli asset, ma anche dalla protezione concreta di chi può autorizzare una transazione.