Gli hacker collegati alla Corea del Nord hanno rubato più di 1 miliardo di dollari in criptovalute quest'anno, secondo Chainalysis. La violazione di Bitget da 387,5 milioni di dollari ha spinto il totale oltre la soglia, mentre le perdite complessive per exploit DeFi continuano a diminuire, perché i furti si sono consolidati in un'unica operazione gestita dallo Stato.
I furti di criptovalute della Corea del Nord hanno superato 1 miliardo di dollari. Le criptovalute hanno festeggiato.
Punti chiave
- Gli hacker collegati alla Corea del Nord hanno rubato più di 1 miliardo di dollari in criptovalute nel 2026, dopo aver preso oltre 2 miliardi di dollari nel 2025, secondo Chainalysis.
- La violazione di Bitget del 24 settembre, da 387,5 milioni di dollari e la più grande dell'anno, ha spinto il totale in corso oltre la soglia.
- Le perdite complessive per exploit DeFi stanno effettivamente diminuendo. La "buona notizia" nasconde una consolidazione dei furti in un'unica operazione industrializzata e sostenuta dallo Stato.
- Il vettore di attacco si è spostato dal codice alle persone: l'hack del Drift Protocol ha coinvolto sei mesi di infiltrazione di persona, non un bug negli smart contract.
- THORChain ha rifiutato di bloccare i fondi rubati di Bitget mentre NEAR Intents ha bloccato 50 milioni di dollari, dividendo DeFi in due futuri incompatibili.
Secondo Chainalysis, gli hacker della Corea del Nord hanno rubato quest'anno più di 1 miliardo di dollari in criptovalute. La cifra che li ha portati oltre la soglia è stata quella dei 387,5 milioni di dollari drenati dallo scambio Bitget il 24 settembre, il più grande singolo hack del 2026. Eppure, nella stessa settimana, una buona parte del settore si stava tranquillamente dando delle pacche sulla spalla, perché le perdite totali dovute a exploit in DeFi sono in calo.
Entrambi i fatti sono veri. Questo è il problema.
Il quadro più ampio: la fase amatoriale delle criptovalute è finita
L'intestazione "le perdite per hack sono diminuite" è reale ma fuorviante. Nel primo trimestre del 2026, i protocolli DeFi hanno perso circa 168 milioni di dollari a causa di exploit, in calo di circa il 90% rispetto ai 1,58 miliardi di dollari rubati nel primo trimestre del 2025, il trimestre che ha incluso il record di 1,4 miliardi di dollari dell'hack di Bybit. Letta in modo ingenuo, sembra che le criptovalute abbiano finalmente messo a posto la propria sicurezza.
Quello che è realmente accaduto è meno lusinghiero. Gli attacchi di script-kiddie e dei solitari che un tempo gonfiavano le statistiche annuali, i bug dei protocolli di prestito da 150.000 dollari, le vulnerabilità della logica di quotazione da 80.000 dollari, si sono in gran parte esauriti. Al loro posto si erge una singola operazione finanziata da uno Stato, che estrae in modo affidabile nove cifre alla volta. Il furto non è diminuito. Si è consolidato.
La Corea del Nord tratta il furto di criptovalute come una voce di entrate statali. Le Nazioni Unite hanno stimato più volte che i fondi di criptovalute rubate finanziano una fetta significativa dei programmi di armi di Pyongyang. Non si tratta di una banda di criminali che ha imparato per caso Solidity. È una politica industriale nazionale gestita attraverso unità come Lazarus e TraderTraitor, con un canale di reclutamento, un programma di formazione e una catena logistica di riciclaggio che metterebbe in imbarazzo la maggior parte delle istituzioni finanziarie legittime.
Pensate a cosa significhi realmente "industrializzato" in questo contesto. L'attacco al Drift Protocol ad aprile non è stato una violazione; era un'operazione. Gli attaccanti hanno impiegato circa sei mesi fingendosi una società di trading quantitativo, partecipando a conferenze, stringendo amicizie di persona con i contributori e persino depositando 1 milione di dollari del loro capitale in una vault di un progetto per costruire fiducia. Poi hanno sfruttato il meccanismo del nonce durevole di Solana per appropriarsi dei poteri amministrativi del Consiglio di Sicurezza. I contratti intelligenti hanno retto perfettamente. Gli esseri umani no.
Perché la Corea del Nord sta vincendo quando gli hacker sono "in calo"?
La risposta è che il settore si è ottimizzato contro il nemico sbagliato. Per un decennio, il crypto ha investito denaro in audit del codice, bounty per bug e verifica formale, e quel lavoro ha in gran parte avuto successo. Sfruttare un contratto intelligente ben auditato oggi è davvero difficile. Quindi l'avversario ha cambiato bersaglio.
Il CTO di Ledger, Charles Guillemet, ha tracciato la linea esplicitamente dopo Drift, collegando il suo metodo al furto di Bybit: infiltrazione a lungo termine degli esseri umani che detengono le chiavi, per poi convincerli ad approvare transazioni malevole. La superficie di attacco si è spostata verso l'alto nello stack, dal codice alle persone che lo operano. Il crypto ha passato dieci anni a indurire i suoi contratti e ha dimenticato che l'input più debole è ancora una persona.
La violazione di Bitget, al contrario, ha sfruttato una vulnerabilità del software di terze parti per ottenere le credenziali interne, un rischio del fornitore, non un bug del protocollo. Mandiant e SlowMist stanno ancora cercando di capire esattamente come. Ma il modello è coerente: si tratta di attacchi alla catena di approvvigionamento e di ingegneria sociale mirati agli esseri umani operativi, l'unico livello su cui nessun revisore firma mai.
Effetti a ripple: La contraddizione di THORChain
La storia dentro la storia è cosa è successo ai soldi dopo Bitget. Entro tre ore, gli aggressori hanno disperso 387,5 milioni di dollari su quattro reti, il 49,7% su Ethereum, il 40,8% sul XRP Ledger, il 7,6% su Zcash, l'1,8% su Tron. Poi hanno fatto la cosa che è diventata la firma di Lazarus: hanno fatto passare l'XRP attraverso THORChain, convertendo oltre il 90% in Bitcoin nativo, senza mai toccare un exchange centralizzato che avrebbe potuto congelarli.
L'amministratore delegato di Bitget, Gracy Chen, ha chiesto pubblicamente a THORChain di bloccare gli indirizzi segnalati. "La decentralizzazione è un principio di progettazione", ha scritto, "non uno scudo per facilitare fondi rubati noti". THORChain ha rifiutato, sostenendo di essere "senza permessi come Bitcoin, Ethereum e BNB Chain", e chiedendo quale responsabilità abbiano questi strati di base per i fondi rubati che vi transitano.
La replica viene da sé. Quando THORChain è stata essa stessa svuotata di 10,7 milioni di dollari a maggio, la rete si è arrestata entro poche ore ed è rimasta offline per cinque settimane. Quando ThorFi è andata in crisi a gennaio 2025, i suoi nodi hanno votato durante la notte per congelare i prelievi. Come ha detto Star Xu, fondatore di OKX: una rete che si ferma quando i propri soldi sono a rischio ma rifiuta di fermarsi quando i soldi di qualcun altro sono a rischio non è "come Bitcoin". Sta facendo una scelta.
Ecco la biforcazione che conta per l'intero ecosistema. NEAR Intents ha fatto l'opposto di THORChain: il suo sistema automatizzato SHIELD ha bloccato circa 50 milioni di dollari in swap collegati a Bitget e ha persino rifiutato la ricompensa del 5% offerta da Bitget. Bitget gliene ha ringraziato. I puristi della decentralizzazione li hanno attaccati per non essere abbastanza senza permessi. Due protocolli, due risposte incompatibili alla stessa domanda, e ogni progetto DeFi ora deve scegliere un lato, che lo dica o no.
Contesto storico: Il Playbook di Bybit, affinato
Niente di tutto ciò è nuovo; è solo più tagliente. Nel febbraio 2025, Lazarus ha rubato 1,46 miliardi di dollari da Bybit e ha riciclato circa 1,2 miliardi di dollari attraverso THORChain, undici giorni dopo che THORChain aveva ritirato la sua chiave di amministrazione. Il ladro di Coldcard l'ha usato. Il ladro di Bitget l'ha usato. THORChain è diventato per il riciclaggio di criptovalute ciò che Tornado Cash era per il riciclaggio tramite mixer, tranne per il fatto che il co-fondatore di Tornado Cash è stato condannato per aver gestito un trasmettitore di denaro non autorizzato, mentre THORChain opera alla luce del sole con un token di prim'ordine.
La differenza tra allora e ora è la scala e la permanenza. Un anno da 1 miliardo di dollari era prima un'anomalia guidata da un singolo hack catastrofico. Ora è la linea di base costante e l'anno non è ancora finito. La Corea del Nord ha trasformato il furto su larga scala in un'operazione ripetibile, ricorrente trimestralmente, la cosa più vicina alle criptovalute a un abbonamento a un reddito ostile.
Prospettiva futura: dove questo porterà nei prossimi 1-3 anni
Tre tendenze si accelerano da qui.
Innanzitutto, il punto di strozzatura si sposta verso il off-ramp. Se lo strato del protocollo non censurerà, i regolatori stringeranno le borse, le scrivanie OTC e le banche che toccano il Bitcoin convertito. Il registro di Bitcoin rimane trasparente anche dopo la conversione, quindi l'applicazione della legge si concentra dove i fondi escono in fiat, esattamente dove gli investigatori hanno sempre avuto il maggior successo.
In secondo luogo, la scissione NEAR-vs-THORChain diventa una linea regolamentare. Il quadro DeFi 2026 del Financial Action Task Force afferma già che i contratti intelligenti non sono soggetti alle sue regole, ma le persone identificabili con "influenza sufficiente" su un protocollo potrebbero esserlo. La propria sospensione di THORChain di maggio ne dimostra l'influenza. Non si tratta più di una questione legale, ma di una questione di tempistica.
In terzo luogo, la narrazione degli "attacchi in calo" invecchierà male. Un singolo incidente ben tempestato può ancora rendere il 2026 un anno record, perché l'avversario ora gestisce un'operazione ripetibile piuttosto che una serie di exploit fortunati. Il rischio di coda si è ingrossato anche mentre la media si riduceva.
La prospettiva del trader: non è il prezzo, è il luogo e l'attività
Questa non è una storia di prezzo, è una storia di rischio di controparte. L'incidente di Bitget è un esperimento naturale pulito su cosa si congela e cosa no. Circle e Tether hanno congelato i portafogli etichettati dall'attaccante entro pochi giorni, ma il totale ammontava a circa 318.000 dollari, ovvero lo 0,08% del bottino. L'88% restante è rimasto inattivo in ETH, XRP e Zcash, nessuno dei quali può essere congelato da alcun emittente centralizzato. Gli attaccanti sanno esattamente quali attività sono incensurabili e allocano di conseguenza.
La conclusione pratica è noiosa ma utile: trattare i hub di liquidità cross-chain, le monete della privacy e la custodia in hot wallet come variabili di rischio che possono essere compressi dalla regolamentazione o presi di mira da un attore statale, non solo come infrastrutture neutre. Diversificare tra i luoghi. Comprendere che la postura di conformità di un luogo, o la sua assenza, è ora un fatto materiale sulla propria esposizione, che si stia o meno riciclando denaro.
Chiusura
Ecco la domanda che il mondo crypto continua a rifiutarsi di rispondere. Se uno stato sanzionato e dotato di armi nucleari utilizza il tuo protocollo "permissionless" come principale canale per il riciclaggio di denaro, e il tuo protocollo è in grado di bloccare le transazioni quando i propri fondi sono a rischio, quanto tempo prima che "non possiamo" smetta di essere una filosofia di design e inizi a essere interpretato come una scelta?
Il settore ha passato un decennio a sostenere che il codice è legge. La Corea del Nord ha appena dimostrato che la legge ha una falla. E la falla siamo noi.
Domande frequenti
Quanto crypto ha rubato la Corea del Nord nel 2026? Più di 1 miliardo di dollari, secondo Chainalysis, dopo circa 2 miliardi di dollari nel 2025. La violazione di Bitget da 387,5 milioni di dollari a settembre è stato l'unico incidente che ha spinto il totale del 2026 oltre la soglia.
Perché le perdite totali dovute agli hacker diminuiscono mentre i furti della Corea del Nord aumentano? Le perdite dovute agli exploit DeFi sono diminuite di circa il 90% su base annua nel Q1 2026 perché sono diminuiti gli hackeraggi su piccola scala e amatoriali. I furti non si sono fermati, si sono consolidati in un'unica operazione gestita dallo stato che esegue attacchi meno frequenti ma molto più grandi.
Perché THORChain ha rifiutato di bloccare i fondi di Bitget? Sostiene di essere permissionless, come Bitcoin o Ethereum, e non può censurare indirizzi individuali. I critici sottolineano che ha bloccato la propria rete entro ore da un exploit da 10,7 milioni di dollari a maggio, e ha congelato il suo prodotto di prestito a gennaio 2025.
Come è potuto accadere il furto di Drift senza un bug nel codice? Gli attaccanti hanno impiegato circa sei mesi per ingannare socialmente i collaboratori, fingendosi una società di quant trading, incontrandoli di persona, depositando 1 milione di dollari, e poi hanno abusato dei nonce durabili di Solana per appropriarsi dei poteri amministrativi del Consiglio di Sicurezza. Il codice era integro; le persone no.
Qual è la differenza tra NEAR Intents e THORChain in questo caso? Il sistema SHIELD di NEAR Intents ha bloccato circa 50 milioni di dollari in swap collegati a Bitget e ha rifiutato la ricompensa del 5%. THORChain si è rifiutato di agire del tutto. Le due risposte rappresentano due futuri mutualmente esclusivi per la finanza decentralizzata.