L’FBI attribuisce l’hack di Binance alla Corea del Nord (TraderTraitor) e chiede agli operatori THORNode di bloccare gli indirizzi: una richiesta, non una sanzione OFAC

Sabato 31 ottobre l’FBI ha dichiarato che la Corea del Nord è dietro blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il furto di «oltre 6 miliardi di dollari» da Binance, indicando il gruppo che chiama TraderTraitor circa due giorni dopo l’attacco del 29 ottobre. Nello stesso avviso ha chiesto alle aziende crypto private, tra cui gli operatori THORNode, di bloccare le transazioni legate a un elenco di indirizzi. L’avviso, emesso insieme al Secret Service statunitense e all’IRS Criminal Investigation, è una richiesta. La pagina delle azioni recenti dell’Office of Foreign Assets Control (OFAC) del Tesoro, consultata nella prima mattina di domenica, non mostrava alcun provvedimento legato all’hack.

FBI Cyber Branch ha pubblicato l’avviso su X sabato alle 22:36:58 GMT, secondo securities.io. Il post afferma che la Corea del Nord «è stata responsabile del furto di oltre 6 miliardi di dollari in asset virtuali» dall’exchange intorno al 29 ottobre e rimanda all’elenco degli indirizzi sul sito dell’FBI.

Il testo di quel post è l’unico documento primario letto direttamente. La pagina dell’FBI ha rifiutato la connessione, quindi l’elenco è rimasto fuori portata: i conteggi degli indirizzi riportati qui sotto sono quelli di CoinDesk e nessuno degli indirizzi indicati è stato controllato su un block explorer. Il furto in sé è raccontato nel nostro articolo di aggiornamento sull’hack di Binance; questo si occupa della mossa dell’FBI e di ciò che può ottenere.

Hack Binance: cosa dice l’avviso dell’FBI sugli indirizzi nordcoreani

Il nome che l’FBI dà all’attività è TraderTraitor, la stessa etichetta usata per il furto di Bybit del febbraio 2025. CoinDesk descrive il gruppo come una sottounità del Lazarus Group, mentre Reuters parla di un’unità nordcoreana sponsorizzata dallo Stato. Il termine risale a un avviso congiunto del governo statunitense dell’aprile 2022, AA22-108A, sui trojan camuffati da software di trading crypto, ricorda ChainCatcher.

All’attribuzione si accompagnano due osservazioni. L’FBI, il Secret Service e l’IRS Criminal Investigation hanno visto gli hacker convertire gli asset rubati «principalmente in Ethereum» e si aspettano altri passaggi di riciclaggio attraverso la DeFi e i servizi di scambio istantaneo. La seconda indicazione spiega a chi si rivolge la richiesta.

Le tre agenzie «sollecitano» le aziende private a bloccare le transazioni con o derivate dagli indirizzi che il gruppo usa per ripulire il denaro. Il post elenca per primi gli operatori THORNode, poi gli operatori di nodi RPC, gli exchange istantanei, i servizi DeFi, le società di analisi blockchain e gli altri fornitori di servizi per asset virtuali. Chi ha informazioni è invitato a rivolgersi a un ufficio locale dell’FBI o a ic3.gov, riferisce securities.io, aggiungendo che l’FBI si dice impegnata a «identificare, attenuare e contrastare» le attività illecite di cybercrimine e furto di asset virtuali della Corea del Nord.

CoinDesk, che ha letto l’elenco, parla di oltre 600 indirizzi Ethereum, poco meno di 20 indirizzi bitcoin e un solo indirizzo Solana. Reuters, Newsweek e securities.io non indicano alcun numero.

Securities.io e CoinDesk descrivono entrambi indirizzi che contengono o hanno contenuto asset rubati, quindi un indirizzo in elenco può essere già vuoto. Elliptic, da parte sua, conta 19 indirizzi bitcoin che custodiscono i BTC rubati, cifra che coincide con il «poco meno di 20» di CoinDesk. Più di una coincidenza non si può dire, perché i due elenchi non sono stati confrontati.

L’elenco fotografa un bersaglio in movimento. Jonathan Levin, amministratore delegato di Chainalysis, ha detto a CoinDesk che gli aggressori hanno già usato «migliaia di indirizzi» e che si aspetta «decine di migliaia nelle prossime settimane». La lista gratuita di Elliptic per questo furto supera i 1.000 indirizzi.

Pyongyang nega da anni di usare unità informatiche statali per spionaggio o furti di denaro, ricorda Reuters, e la missione nordcoreana a Ginevra e l’ambasciata in Cina non hanno risposto all’agenzia. Il presidente Trump, interrogato sabato da un giornalista della Casa Bianca, ha detto «stiamo cercando di capire» e che la sua amministrazione avrebbe «parlato con la Corea del Nord», secondo CoinDesk. La frase arriva dopo il «non lo sappiamo» di venerdì.

Una richiesta di bloccare, non un inserimento OFAC

Un avviso dell’FBI dice al settore che cosa sa l’ufficio e che cosa vuole. Un inserimento dell’OFAC è un atto giuridico. Quando l’OFAC sanzionò l’indirizzo di fuga di Ronin, il 14 aprile 2022, Elliptic ne descrisse l’effetto, su The Record, come il divieto per «persone ed entità statunitensi di operare con questo indirizzo».

L’OFAC inserisce i wallet quando sceglie di farlo. Il 28 ottobre, il giorno prima del furto a Binance, ha sanzionato una rete di informatici nordcoreani insieme a otto wallet. Quel provvedimento precede l’hack e non c’entra con esso. L’ultima voce della pagina delle azioni recenti dell’OFAC, alle 05:50 UTC circa di domenica, è datata 29 ottobre ed è una licenza generale modificata relativa all’Iran. Anche una ricerca di notizie su una mossa dell’OFAC sugli indirizzi di Binance non ha dato risultati.

L’OFAC ha sanzionato il Lazarus Group in quanto tale il 13 settembre 2019, in base all’ordine esecutivo 13722, ha spiegato il Tesoro. Che cosa ciò comporti per un’azienda che tratta proprio questi indirizzi è una domanda per gli avvocati, e nessuna delle fonti consultate risponde sul caso di questo avviso. Il post non menziona sanzioni per chi ignora la richiesta, e nemmeno la copertura giornalistica letta, anche se la pagina dell’FBI non è stata vista. Allo stesso modo, nessuna fonte sostiene che un utente privato che riceve a sua insaputa monete da un indirizzo in elenco risponda di qualcosa.

Il dibattito più ampio sul software che nessuno controlla non è chiuso nei tribunali. Le sanzioni statunitensi contro il mixer Tornado Cash sono state revocate nel marzo 2025 dopo che un tribunale le aveva annullate. Il cofondatore Roman Storm è stato condannato su un capo d’accusa nell’agosto 2025, mentre la giuria è rimasta bloccata su altri due, tra cui la cospirazione per violare le sanzioni. Il nuovo processo è fissato al 26 aprile 2027, ha scritto The Block in agosto, con la richiesta di assoluzione ancora senza decisione in quel momento.

In Europa il quadro è più sottile. L’UE ha inserito Chosun Expo nell’elenco a luglio 2020, la prima applicazione del suo regime di sanzioni informatiche, con formule caute che collegavano la società ad APT38 e al Lazarus Group, riportarono allora le cronache. Se un fornitore europeo di servizi che tratta fondi nordcoreani violi le sanzioni UE non risulta da nulla di ciò che è stato letto. Nessuna dichiarazione sull’avviso dell’FBI è emersa da ESMA, EBA, AMF francese, né dalla Consob o dall’OAM italiani.

Due giorni, non cinque: la rapidità con cui gli Stati Uniti hanno indicato la Corea del Nord

La velocità è una novità. TRM Labs colloca i primi trasferimenti alle 20:05 UTC del 29 ottobre, quindi il post dell’FBI è arrivato dopo circa 50 ore. Per Bybit lo stesso passo era costato cinque giorni. Per Ronin, Harmony e DMM Bitcoin ci sono volute settimane o mesi, come mostra la tabella. L’attribuzione per Harmony è arrivata il 23 gennaio 2023, sette mesi dopo un furto da 100 milioni di dollari.

I due avvisi più recenti sono costruiti allo stesso modo. L’avviso su Bybit del 26 febbraio 2025, leggibile per intero su ic3.gov, «incoraggiava» le aziende a bloccare «le transazioni con o derivate da indirizzi che gli attori di TraderTraitor stanno usando». Stavolta il verbo è «sollecitare». L’elenco dei destinatari di allora andava dagli operatori di nodi RPC agli exchange, ai bridge, alle società di analisi blockchain, ai servizi DeFi e agli altri fornitori. Non citava THORChain né gli operatori THORNode, benché THORChain abbia poi veicolato buona parte di quel denaro. Il nuovo avviso li nomina per primi. Anche l’elenco è molto più lungo: 51 indirizzi allora, contro oltre 600 indirizzi Ethereum soltanto oggi, secondo il conteggio di CoinDesk.

Le aziende private si sono comunque mosse per prime. Il rapporto di TRM, datato 29 ottobre con dati on-chain fino alle 00:30 UTC del 30, aveva attribuito il furto con alta fiducia. Chainalysis ha parlato di «alto grado di fiducia», riferisce cryptonews.net. Elliptic aveva indicato TraderTraitor come probabile responsabile e ha aggiornato la sua pagina alle 23:55 UTC di sabato, dopo l’intervento dell’FBI. Nessuna delle fonti spiega perché stavolta l’FBI sia stata più rapida.

Chi può davvero bloccare gli indirizzi della Corea del Nord

Un elenco di blocco funziona solo dove qualcuno ha il potere di applicarlo. Il furto a Binance ha già diviso i soggetti in tre gruppi, e una richiesta dell’FBI aggiunge poco al primo e niente al secondo.

Il primo gruppo può congelare direttamente: gli emittenti di stablecoin e, su alcune reti, gli organi di governance. Elliptic ha verificato 2,85 miliardi di dollari congelati o sequestrati, il 44% dei 6,43 miliardi che conta, quasi tutto in USDT e USDC, in dati delle 04:30 UTC circa del 31 ottobre. Gli altri conteggi sono più vecchi o più ristretti. TRM indica circa 2,7 miliardi alle 00:30 UTC del 30 ottobre, Binance ne ha dichiarati 3 miliardi quella stessa notte, secondo il live blog di Cointelegraph, e CoinDesk riferisce di oltre 2,4 miliardi congelati dai soli emittenti di stablecoin. Elliptic afferma che Arbitrum e Optimism sono le uniche reti dove tutto ciò che è stato rubato è stato messo al sicuro, in entrambi i casi tramite la governance, e che Tether ha iniziato a mettere in blacklist alcuni indirizzi riceventi su Tron.

Il secondo gruppo sono gli asset stessi. Bitcoin, ether e XRP non hanno un emittente a cui rivolgersi. Nulla di ciò che è stato rubato su Bitcoin, XRP Ledger, Solana o NEAR è stato congelato, riferisce Elliptic, perché «gli asset nativi non hanno un emittente in grado di congelarli». Stima in circa 3,21 miliardi di dollari ai prezzi del 31 ottobre ciò che l’aggressore controlla fuori dalla portata di qualsiasi emittente, tra cui 519.104 ETH e 18.270 BTC. Il conteggio precedente di TRM, del 30 ottobre, è di oltre 420.000 ETH e 18.270 BTC, per circa 2,4 miliardi di dollari. Elliptic aggiunge che nessun bitcoin era arrivato a un servizio al momento del suo ultimo aggiornamento.

Il terzo gruppo è quello a cui si rivolge la richiesta dell’FBI: i servizi che le monete devono attraversare per diventare spendibili. Exchange, servizi di swap istantaneo, bridge e operatori di nodi non possono sequestrare nulla da un wallet controllato dall’aggressore, ma possono rifiutare il flusso, e l’elenco dà loro qualcosa con cui confrontare le transazioni. Le società di analisi etichettano gli indirizzi e lasciano il blocco ai clienti. Elliptic dice che i suoi avvisi hanno già portato al congelamento di una parte dei fondi rubati e che più di 3 miliardi di dollari possono ormai essere fermati solo quando raggiungono un exchange o un altro servizio.

Tutto questo è volontario, e il bilancio dell’ultima richiesta è magro. Non risultano cifre su quante aziende abbiano agito sui 51 indirizzi di Bybit, né su quanti di quegli indirizzi siano stati effettivamente bloccati.

THORChain è la prova del nove per la richiesta dell’FBI

THORChain permette di scambiare monete native tra blockchain diverse, per esempio ether contro bitcoin, senza un operatore centrale. Gli swap sono gestiti da operatori di nodi, gli operatori THORNode dell’avviso dell’FBI. La cronologia spiega perché siano nominati: ZachXBT ha detto il 30 ottobre, attraverso il live blog di Cointelegraph, che fondi rubati a Binance e a Bitget sono stati mescolati in un unico indirizzo dopo essere arrivati tramite THORChain.

Bybit ha mostrato come può andare. All’epoca la rete era gestita da un centinaio di operatori volontari e ogni azione richiedeva il consenso della maggioranza, riportò DL News nel marzo 2025. Il 26 febbraio 2025, giorno dell’avviso dell’FBI, alcuni operatori sospesero gli scambi su Ethereum e altri li ripristinarono entro 30 minuti, ha detto al giornale uno sviluppatore senza nome. Nella settimana successiva il Lazarus Group ha ripulito circa 900 milioni di dollari attraverso THORChain, secondo l’analisi della ricercatrice Taylor Monahan, e gli operatori che hanno continuato a lavorare hanno incassato circa 5,5 milioni di dollari da quelle transazioni.

John-Paul Thorbjornsen, del team di sviluppo originario, disse allora a DL News che gli operatori non temevano azioni legali e potevano eseguire una patch per filtrare gli indirizzi sanzionati. Aggiunse che fermare il Lazarus Group avrebbe significato bloccare l’intera rete, senza più alcuno swap. Alla patch si applicano due limiti. L’articolo non diceva quanto fosse stata diffusa, e un filtro per indirizzi sanzionati non coprirebbe in modo ovvio un elenco che l’OFAC non ha sanzionato. L’avvocato Yuriy Brisov di D&A Partners ha detto a DL News che la «natura decentralizzata [della rete] non la protegge del tutto dalle conseguenze legali». Lo stesso articolo non trovava segni di un’indagine su THORChain o sui suoi operatori, molti dei quali descriveva come noti pubblicamente e residenti negli Stati Uniti.

Finora la risposta di THORChain ha riguardato i dati. Il cofondatore Chad Barraford ha detto che gli operatori THORNode non hanno altro che ciò che è pubblico e disponibile in tempo reale, e che le forze dell’ordine possono ottenerlo senza un mandato, ha riferito TokenPost a tarda sera del 31 ottobre, ora statunitense, senza citare direttamente le sue parole. Non ha detto se gli operatori bloccheranno questi indirizzi.

Questo fine settimana c’è una complicazione. Gli swap di THORChain sono già sospesi per un motivo distinto, riportato da una fonte. Crypto Briefing ha scritto il 31 ottobre che una riorganizzazione della blockchain Ethereum ha portato la rete a rimborsare due volte lo stesso deposito da 10 ETH, facendo scattare una pausa d’emergenza su 12 catene su 13. L’API di THORNode mostrava ancora gli scambi fermi su 11 catene su 13 alle 05:56 UTC di domenica, ora della lettura. THORChain non ha confermato questa ricostruzione, e lo stesso Crypto Briefing precisa che la causa è stato l’errore di rimborso, non una mossa contro i fondi rubati. Non ci sono segnali che la pausa sia una risposta all’FBI, e non dice nulla su ciò che faranno gli operatori quando gli swap riprenderanno.

Che cosa osservare dopo l’avviso dell’FBI

La prima cosa è l’OFAC. Nel 2022 l’attribuzione arrivò con un inserimento il 14 aprile, altri tre indirizzi Ethereum seguirono il 22 aprile e il 6 maggio il Tesoro aggiunse altri quattro wallet e sanzionò il mixer bitcoin Blender.io, una sequenza di 8 e poi 22 giorni. Nulla indica che la sequenza si ripeterà. Se accadesse, la richiesta diventerebbe un obbligo giuridico per i soggetti statunitensi.

La seconda è se gli operatori THORNode diranno o faranno qualcosa quando gli swap riprenderanno, e se gli exchange istantanei renderanno noti eventuali blocchi. La terza è l’elenco stesso: con Chainalysis che prevede decine di migliaia di indirizzi, una lista dell’FBI di poche centinaia resterà indietro se non verrà aggiornata, e nella copertura consultata non è stato annunciato alcun aggiornamento.

I 19 indirizzi bitcoin di Elliptic sono il segnale più chiaro. Nessuno era entrato in contatto con un servizio all’ultimo aggiornamento, e la maggior parte contiene 1.000 BTC ciascuno, quindi uno spostamento dovrebbe essere facile da vedere.