Corea del Nord arresta hacker accusati di aver rapinato le banche di Stato

🛡️ Executive Summary

• Ex operatori cyber militari avrebbero violato le reti della banca centrale nordcoreana e della principale banca per il commercio estero.
• I fondi sarebbero stati frammentati, trasferiti a wallet esteri e convertiti in dollari e yuan attraverso intermediari cinesi.
• Le autorità hanno individuato anomalie nei pagamenti, accessi da IP stranieri e traffico crypto cifrato collegato a un rifugio di Pyongyang.

Le autorità della Corea del Nord avrebbero arrestato un gruppo di ex operatori cyber militari accusati di aver violato due delle principali banche statali e riciclato i fondi sottratti attraverso criptovalute, intermediari cinesi e reti clandestine nelle città di confine. Il gruppo avrebbe colpito la Chosun Central Bank e la Foreign Trade Bank, trasferendo valuta estera e denaro legato al commercio statale verso wallet controllati all’estero. La ricostruzione proviene da una fonte anonima interna a Pyongyang e non ha ricevuto una conferma indipendente o ufficiale. Il caso mostra però un’anomalia significativa: capacità informatiche sviluppate dallo Stato sarebbero state impiegate contro il sistema finanziario dello stesso regime.

Ex operatori militari avrebbero violato due banche statali

I presunti responsabili sarebbero veterani congedati da un’unità per le operazioni cyber collegata al Reconnaissance and Intelligence General Bureau, apparato militare nordcoreano associato alle attività di intelligence e agli attacchi informatici condotti all’estero. Dopo aver lasciato il servizio, gli ex militari avrebbero reclutato giovani specialisti provenienti dalla Kim Chaek University of Technology e dalla Pyongyang University of Science, costruendo una rete autonoma orientata all’arricchimento personale. Gli investigatori li accusano di aver sfruttato le competenze acquisite durante la formazione statale per penetrare nei sistemi interni della Chosun Central Bank, responsabile dell’emissione monetaria e della gestione dei fondi pubblici, e della Foreign Trade Bank, istituto centrale per i pagamenti internazionali e le transazioni in valuta estera. La vicenda si distingue dalle tradizionali operazioni attribuite a Pyongyang, nelle quali gli hacker nordcoreani prendono di mira exchange, protocolli DeFi e aziende straniere per generare entrate destinate al regime. In questo caso gli operatori avrebbero rivolto le stesse competenze verso le casse dello Stato che li aveva formati.

I fondi venivano spezzati e trasferiti nei wallet esteri

Dopo l’accesso ai sistemi bancari, il gruppo avrebbe sottratto porzioni di fondi commerciali statali e valuta straniera custodita attraverso conti di comodo, dividendo le somme in trasferimenti di piccola entità per ridurre la probabilità di rilevamento. Il denaro sarebbe stato convertito in criptovalute e spostato verso wallet esteri, dai quali intermediari operanti in Cina avrebbero gestito il passaggio nuovamente verso valuta tradizionale. Contatti situati nelle città nordcoreane di Sinuiju e Hyesan, vicine al confine cinese, avrebbero quindi consegnato dollari statunitensi e yuan in cambio degli asset digitali. La frammentazione delle transazioni richiama le tecniche di structuring utilizzate nel riciclaggio tradizionale, adattate però a un’infrastruttura che permette di trasferire valore oltre frontiera senza utilizzare direttamente i circuiti bancari internazionali. Il modello segue una logica già osservata nelle reti che trasformano criptovalute rubate in denaro spendibile attraverso broker over-the-counter, prestanome, exchange e servizi di conversione. Operazioni come lo smantellamento della piattaforma AudiA6 per il riciclaggio di 336 milioni in criptovalute dimostrano quanto la fase di cash-out sia decisiva per trasformare un furto digitale in un guadagno effettivamente utilizzabile.

La rete usava apparati cinesi e telefoni non registrati

Per sfuggire alla sorveglianza interna, gli operatori avrebbero impiegato apparecchiature wireless prodotte in Cina, applicazioni di messaggistica cifrata e telefoni non registrati. Questi strumenti consentivano di mantenere collegamenti con wallet, broker e contatti oltre confine senza affidarsi esclusivamente alle infrastrutture di comunicazione controllate dal governo nordcoreano. La rete avrebbe costruito un sistema parallelo di negoziazione e cambio delle criptovalute, progettato per aggirare il monitoraggio statale e trasferire all’estero i proventi sottratti. L’utilizzo di specialisti formati nelle strutture militari avrebbe inoltre offerto competenze superiori rispetto al cybercrime ordinario: conoscenza delle architetture interne, capacità di eludere i controlli, gestione di comunicazioni clandestine e familiarità con procedure operative sviluppate per le missioni internazionali. Pyongyang è stata ripetutamente collegata a operazioni capaci di sottrarre centinaia di milioni da singole piattaforme, come il furto da 261 milioni di euro contro il protocollo Drift. Il caso delle banche statali suggerisce che le stesse competenze possano rappresentare un rischio interno quando gli operatori escono dalle strutture ufficiali o decidono di costruire reti autonome.

Le anomalie nei pagamenti fanno partire l’indagine

L’operazione sarebbe emersa quando alcuni funzionari hanno rilevato piccole discrepanze nelle approvazioni dei pagamenti in valuta estera e accessi provenienti da indirizzi IP stranieri. L’intelligence nordcoreana avrebbe avviato un’indagine riservata, seguendo il traffico cifrato associato alle transazioni in criptovalute fino a un rifugio situato a Pyongyang. Il raid sarebbe avvenuto nella notte del 12 luglio 2026, mentre gli indagati stavano ancora riciclando i fondi attraverso i propri computer. Gli agenti avrebbero sequestrato apparecchiature informatiche per un valore di centinaia di migliaia di dollari, telefoni usa e getta e dispositivi impiegati per le comunicazioni non autorizzate. Personale armato avrebbe poi circondato la sede della Foreign Trade Bank e il centro informatico della Chosun Central Bank, interrompendo gli accessi esterni, mentre veicoli specializzati nella rilevazione dei segnali avrebbero cercato frequenze wireless anomale nella capitale. La gravità della risposta riflette il ruolo delle due banche nel sistema economico nordcoreano e il timore che la rete potesse includere personale interno, funzionari o ulteriori operatori addestrati.

Il racconto resta privo di una conferma indipendente

La notizia presenta limiti rilevanti. La ricostruzione deriva da una fonte anonima interna alla Corea del Nord, Paese nel quale non esistono comunicazioni pubbliche trasparenti sulle indagini, documenti giudiziari consultabili o conferenze stampa capaci di confermare nomi, cifre e responsabilità. Non è stato comunicato l’ammontare sottratto, non sono disponibili indirizzi blockchain attribuiti alla rete e non risultano dichiarazioni ufficiali del governo. La ricostruzione dell’arresto sottolinea esplicitamente che le informazioni non hanno potuto essere verificate in modo indipendente. Il metodo descritto risulta tuttavia coerente con le reti di riciclaggio già associate agli operatori nordcoreani, nelle quali intermediari e commercianti cinesi convertono le criptovalute in valuta fiat e frammentano i flussi per ridurre la visibilità. La differenza è politica prima ancora che tecnica: gli strumenti abitualmente utilizzati per aggirare le sanzioni e finanziare il regime sarebbero stati rivolti contro le sue stesse istituzioni.

Il cyberapparato di Pyongyang mostra un rischio interno

La Corea del Nord ha investito per anni nella formazione di programmatori, ricercatori e operatori offensivi destinati a produrre intelligence e valuta estera attraverso campagne informatiche. Questa struttura ha generato gruppi altamente specializzati, capaci di colpire banche, exchange, società blockchain e aziende tecnologiche in numerosi Paesi. La costruzione di una forza cyber così avanzata comporta però anche un rischio di proliferazione delle competenze. Ex militari e specialisti possono conservare conoscenze operative, contatti internazionali e capacità di accesso difficili da controllare dopo l’uscita dalle unità ufficiali. Se la ricostruzione verrà confermata, l’arresto rappresenterà uno dei casi più evidenti di ritorno delle capacità offensive contro l’infrastruttura che le ha create. Il regime non avrebbe subito soltanto un furto finanziario, ma una violazione del monopolio statale sulle operazioni cyber e sui canali clandestini utilizzati per convertire criptovalute in valuta estera.