Bithumb, violazione di dati: un esterno è entrato nel sistema di lavoro dei dipendenti

Bithumb, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il secondo exchange crypto sudcoreano per volumi di scambio, ha comunicato una violazione di dati personali: un soggetto esterno è entrato nel sistema mobile interno che i dipendenti usano per lavorare. La società ha individuato l’intrusione martedì 27 ottobre 2026 e l’ha segnalata lo stesso giorno alla Korea Internet & Security Agency (KISA) e alla Personal Information Protection Commission (PIPC), la Commissione coreana per la protezione dei dati personali. Lo ha detto Bithumb all’agenzia Yonhap, come riportato mercoledì 28 ottobre da CoinDesk e Cointelegraph.

I dati dei dipendenti sono la prima perdita confermata. Sono finiti in mani esterne nomi, indirizzi e-mail e numeri di telefono del personale, come ha scritto alle 10:05, ora coreana, iNews24. Se con quelli siano usciti anche archivi dei clienti è ancora in verifica, e Bithumb non ha indicato quante persone siano coinvolte.

L’exchange insiste: le crypto dei clienti non sono mai state a rischio. Sostiene che il sistema violato è separato dalla piattaforma di trading e che «gli asset virtuali dei clienti non sono accessibili attraverso questa violazione», secondo CoinDesk, che nel pomeriggio asiatico non risultava avere notizia di perdite in crypto.

A metà giornata la Financial Supervisory Service (FSS), l’autorità di vigilanza finanziaria sudcoreana, aveva inviato squadre ispettive in loco da Bithumb e da Daishin Securities, ha riferito Money Today Broadcasting (MTN). Per Bithumb è il secondo problema di controlli interni del 2026, dopo l’errore di febbraio in cui accreditò ai clienti bitcoin al posto di won.

Bithumb violazione dati: che cosa dice l’exchange di aver messo al sicuro

Il sistema coinvolto è un groupware mobile: un’app aziendale con cui il personale si scambia messaggi e file di lavoro. Cointelegraph lo descrive come uno strumento «usato dai dipendenti per il lavoro e la condivisione di informazioni». Il sito di economia Dealsite riferisce che il groupware è affidato in outsourcing a Dau Technology. Non è l’exchange, non sono i wallet, non è il book degli ordini.

Un dirigente di Bithumb ha spiegato a Dealsite che il groupware e i sistemi per il trading e per gli asset dei clienti «sono fisicamente separati, su reti diverse». Sulla portata della violazione la società è stata più cauta. «Stiamo analizzando l’esatta portata, compresa la possibilità che siano coinvolte informazioni dei membri», ha dichiarato a Yonhap.

Questa riserva ha una ragione concreta. Il personale si scambia file attraverso il messenger del groupware, e Insight Korea ha riferito che Bithumb sta controllando se tra quei file ci fossero dati dei clienti. Per ora, quindi, non si può dire che la fuga riguardi solo i dipendenti.

Bithumb aveva detto a vari media coreani che avrebbe pubblicato un avviso ufficiale la mattina del 28 ottobre. Coindaro non è riuscita ad aprire la bacheca degli avvisi dell’exchange, e nessuno dei resoconti coreani letti per questo articolo cita un avviso del genere. Il dirigente che ha parlato con Dealsite ha detto che i dettagli arriveranno quando l’indagine sarà in gran parte conclusa.

Che cosa non si sa ancora il 28 ottobre

Non è stato fornito il numero delle persone coinvolte, dipendenti o clienti, né l’elenco completo dei campi di dati interessati. Non è stato reso noto come l’intruso sia entrato, né chi sia. CoinDesk ha osservato che l’exchange non ha detto se depositi e prelievi siano stati toccati. Né KISA né PIPC hanno commentato il caso, e non è stata annunciata alcuna sanzione.

Nessuna fonte collega l’intrusione in Bithumb a un gruppo o a uno strumento specifico. La cifra di 38.490 che compare in articoli dello stesso giorno riguarda Daishin Securities, non Bithumb.

Tre società sotto esame della FSS nello stesso giorno

Il 28 ottobre la FSS stava valutando tre società: Bithumb, Daishin Securities e Mirae Asset Global Investments, secondo CoinDesk. Daishin ha dichiarato che dati personali e creditizi di 38.490 clienti sono usciti in un attacco esterno; MTN ha elencato otto campi, dai nomi e indirizzi ai numeri di conto, alcuni cifrati. Mirae Asset ha detto di aver bloccato accessi esterni anomali ad alcuni sistemi web e che le informazioni degli investitori non sono state toccate.

MTN ha riferito che le ispezioni da Daishin e da Bithumb diventeranno verifiche formali se emergeranno violazioni. Il governatore della FSS, Lee Chan-jin, ha sollevato il tema degli attacchi quella mattina, a una riunione periodica con i presidenti di otto holding bancarie. «Mi risulta che ieri le principali società di investimento finanziario abbiano subito incidenti informatici su larga scala», ha detto, come citato da CoinDesk. Entrambe le testate crypto riportano anche il suo conteggio precedente: al 14 ottobre gli attacchi avevano colpito 16 società finanziarie sudcoreane.

Quel conteggio coincide con un comunicato della Financial Services Commission riportato da Reuters il 14 ottobre: incidenti informatici in 16 società finanziarie e circa 100.000 casi di fuga di dati. Le autorità stavano verificando se fosse coinvolta l’intelligenza artificiale e prevedevano ispezioni di sicurezza e misure di allerta precoce.

Un’ondata cominciata a settembre nelle banche coreane

Il conteggio di ottobre nasce dalle intrusioni di fine settembre. Tra il 27 e il 30 settembre gli aggressori sono entrati nei sistemi di Shinhan Bank, KB Kookmin, Hana, Welcome Savings Bank, BNK Busan, Yegaram Savings, Hyundai Capital e di due piattaforme online di prestiti peer-to-peer, ha scritto il Kyunghyang Shinmun il 4 ottobre. Shinhan ha perso 25.727 record, tra cui nomi, contatti, reddito annuo e massimali di prestito, attraverso un servizio di avanzamento pratiche usato dagli intermediari.

Un dettaglio colpisce se messo accanto al caso Bithumb. In KB Kookmin i 119 clienti coinvolti sono stati esposti tramite un sistema mobile interno di supporto al lavoro dei dipendenti, lo stesso tipo di strumento che Bithumb dice di aver visto violato. È una somiglianza di bersaglio, non una prova di un aggressore comune.

Secondo il Kyunghyang, gli aggressori hanno usato tentativi di forza bruta guidati dall’intelligenza artificiale contro i sistemi più deboli, con ARTEX, uno strumento open source di penetration test costruito su un modello linguistico di grandi dimensioni e pubblicato su GitHub il 26 luglio. Il quotidiano scrive che le autorità hanno visto colpi automatici casuali e non un attacco mirato, con indirizzi IP di otto paesi, e che il presidente Lee Jae Myung ha chiesto un’indagine approfondita. Se Bithumb sia stata colpita con lo stesso strumento non è noto, e nessuna fonte lo afferma.

L’arresto del 26 ottobre è un caso separato

Il 26 ottobre la polizia di Seul ha annunciato che un uomo di 32 anni è stato deferito alla procura, con altre sei persone sotto indagine, ha riferito il Seoul Economic Daily. Secondo la polizia il gruppo ha colpito più di 90 aziende in circa 13 mesi e sottratto 8,2 milioni di record. Tra le vittime accademie, ospedali, campi da golf, università, un fornitore di servizi funebri e un istituto finanziario mutualistico regionale. La polizia ha detto che il sistema autonomo di penetration test basato sull’IA era lo stesso di una recente violazione nel settore finanziario, ma che non è stato confermato alcun legame tra i due casi. Nulla collega quel caso a Bithumb.

In Giappone, la stessa settimana, GMO Internet ha segnalato una propria intrusione, passata da credenziali salvate su server di trading in affitto; ne parliamo nel nostro servizio su l’attacco informatico a GMO e che cosa ha detto GMO Coin sulle operazioni. Non risulta alcun legame con gli attacchi coreani.

Il passato di Bithumb: una fuga di dati nel 2017, due furti e un errore di pagamento

Non è la prima volta che Bithumb perde dati dei clienti. Nel 2017 un aggressore inviò il 28 aprile una e-mail di spear phishing, con un curriculum infetto da malware, a un consulente esterno e prelevò file dal suo computer personale, tra cui un foglio con l’elenco dei membri. La Korea Communications Commission contò 36.487 record usciti (31.506 utenti e 4.981 account del sito) e a dicembre 2017 impose una multa di 43,5 milioni di won più una sanzione amministrativa di 15 milioni di won, ha riferito Newsis. Tra i rilievi: il file era conservato in chiaro su un pc personale.

Anche le crypto sono state colpite. Quasi 35 miliardi di won (31,6 milioni di dollari) furono rubati in un attacco durato dalla notte del 19 giugno 2018 fino alla mattina dopo, ha riferito The Next Web. Bithumb sospese depositi e prelievi e promise di risarcire gli utenti con fondi propri se le monete non fossero state recuperate. Nel marzo 2019 furono sottratti circa 3 milioni di EOS e 20 milioni di XRP, quasi 19 milioni di dollari in tutto; Bithumb notò il prelievo anomalo la notte del 29 marzo e parlò di un incidente che coinvolgeva persone interne, ha riferito Security Affairs.

Febbraio 2026 è stato un fallimento di altro tipo. Bithumb ha ammesso di aver accreditato ai clienti 620.000 BTC invece di 620.000 won in una promozione, per un valore di oltre 40 miliardi di dollari all’epoca, secondo CoinDesk. Era un errore di inserimento, non un attacco, e la FSS ha aperto un’indagine. L’amministratore delegato Lee Jae-won ha detto che l’exchange è «ben consapevole della carenza nel controllo dei sistemi interni».

Seul ha altri affari in sospeso con l’exchange: era una delle cinque piattaforme convocate quando il governo ha discusso il quarto rinvio dell’imposta coreana del 22% sulle crypto.

Dopo una fuga di dati, il rischio è il phishing

Una fuga che non tocca le monete dà comunque ai criminali materiale su cui lavorare. Il file del 2017 mostra lo schema. Esaminando i log da aprile a giugno di quell’anno, l’autorità trovò circa 2 milioni di tentativi di indovinare le password da 3.434 indirizzi IP; 4.981 account furono violati, e in 266 di essi risultavano prelievi in crypto dopo l’accesso.

Un avviso di Bithumb citato da Insight Korea ricorda che chi telefona conoscendo il vostro vero nome e numero non è per questo autentico. Chiede di verificare, tramite l’app o il sito ufficiale, qualsiasi richiesta di cliccare un link, installare un’app o spostare fondi, presentata come risarcimento o controllo di sicurezza. Finché l’exchange non dirà quali dati sono coinvolti, i titolari di un conto possono dare per scontato che nome, telefono ed e-mail siano noti a degli sconosciuti.

• Considerate sospetto ogni messaggio sulla fuga di dati, su un rimborso o su una «verifica dell’account», anche se usa il vostro vero nome. Aprite l’app o digitate l’indirizzo voi stessi, senza toccare il link.
• Non date mai a chi chiama o scrive una password, un codice monouso o una frase di recupero, qualunque autorità dichiari di rappresentare.
• Usate per l’exchange una password che non usate altrove e attivate l’autenticazione a due fattori con app.
• Controllate la whitelist degli indirizzi di prelievo e la cronologia degli accessi nelle impostazioni dell’account, e rimuovete ciò che non riconoscete.

Messaggi di phishing che citano dati reali dei clienti hanno seguito diverse fughe di dati questo mese, per esempio dopo la violazione del negozio online Keystone. La nostra guida su come evitare le truffe crypto elenca i segnali d’allarme più comuni e dove segnalare. Chi vive in Italia e non ha un conto Bithumb non è toccato direttamente; se arrivano comunque messaggi sospetti che citano la società, in Italia si può segnalare alla Polizia Postale.

Che cosa seguire nei prossimi giorni

Contano prima di tutto i numeri di Bithumb: quante persone, quali campi, e se tra loro ci sono clienti. Poi le ispezioni della FSS, che potrebbero diventare verifiche formali, e ogni parola di PIPC o KISA.

Non risultano interruzioni del trading né movimenti di mercato legati alla vicenda. La domanda a cui l’exchange non ha ancora risposto è se un’app di messaggistica del personale contenesse davvero dati dei clienti.