Gli hacker della DPRK rappresentano ancora una minaccia per il mondo crypto e potrebbero adottare nuovi approcci per le infiltrazioni. Un anno dopo il clamoroso attacco a Bybit, operazioni simili proseguono su scala più ridotta.
Ricerche recenti di Elliptic hanno rilevato che le operazioni di asset crypto della DPRK sono continuate, nonostante il bear market, senza segni di rallentamento. Il principale vettore di attacco è stato il social engineering e varie forme di infiltrazione.
La principale differenza è che ora gli hacker della DPRK non si limitano più a infiltrarsi in progetti IT e crypto, ma creano anche proprie piattaforme. Questo approccio è stato la causa principale dell’incidente Tenexium, che ha colpito direttamente tutti gli utenti che avevano collegato i loro wallet.
Come riportato da Cryptopolitan, gli hacker stanno diventando anche più efficienti e veloci nello spostare e riciclare i loro proventi crypto.
L’attacco a Bybit è stato un punto di svolta per gli hacker della DPRK
A un anno dall’attacco a Bybit, quasi tutti i fondi sono stati riciclati, ad eccezione di una piccola parte che è stata intercettata. Elliptic ha osservato che gli hacker hanno utilizzato tattiche innovative di riciclaggio, tra cui l’uso strategico di indirizzi di rimborso, la creazione di token privi di valore e l’impiego diversificato di servizi di mixing.
Oltre 1 miliardo di dollari dei fondi Bybit sono stati riciclati in soli sei mesi, e quell’insieme di strumenti di mixing ha rappresentato un punto di svolta per gli hacker DPRK e le loro campagne.
Gli hacker non si sono fermati dopo il colpo record, ma hanno continuato con un ritmo sostenuto per tutto il 2025. Elliptic ha conteggiato 2 miliardi di dollari in hack della DPRK per il 2025, e il totale degli exploit potrebbe superare i 6 miliardi di dollari. I fondi potrebbero avere un ruolo nei programmi nordcoreani di armi nucleari e missili, fornendo agli hacker una forte motivazione a proseguire.
Secondo Elliptic, la tendenza è continuata anche nel 2026, con il doppio degli exploit rispetto a gennaio 2025.
Sebbene gli hack della DPRK siano tecnicamente sofisticati, si basano comunque su social engineering ed errori umani.
Gli hacker DPRK stanno lanciando prodotti crypto?
Elliptic ha segnalato il caso di Tenexium, un progetto sviluppato all’interno della rete Bittensor (TAO). Il progetto Tenexium ha causato il caos il 1° gennaio, diventando il primo hack del 2026.
Tenexium ha adottato l’approccio tipico per costruire un progetto permissionless come parte dell’ecosistema di Bittensor. Nonostante fosse un progetto relativamente piccolo, ha comunque attratto liquidità, ma a un certo punto il sito web è scomparso e il mercato del progetto ha registrato sospetti deflussi per 2,5 milioni di dollari.
Tenexium doveva essere un protocollo di trading neutrale, ma si è scoperto che parte del team potrebbe essere composta da hacker DPRK che si spacciavano per lavoratori IT. La novità di questa volta è che la persona IT nordcoreana potrebbe essere proprio il fondatore del progetto.
L’identità del creatore di Tenexium non è stata confermata. Tuttavia, il caso solleva il problema dei piccoli progetti DeFi, dei vault e delle app copycat permissionless. Poiché gli strumenti Web3 sono ancora attivi, gli hacker potrebbero cercare di colpire direttamente gli utenti finali con app malevoli, meme token o altri nuovi lanci. Il miglior approccio è verificare i team e le piattaforme o utilizzare gli hub DeFi più consolidati.
