L’FBI ha attribuito il furto di oltre 6 miliardi di dollari in asset digitali dall’exchange di criptovalute Binance a TraderTraitor, un gruppo di hacker nordcoreano sponsorizzato dallo Stato. L’agenzia ha dichiarato che l’incidente, avvenuto intorno al 29 ottobre 2026, è stato il più grande furto di criptovalute mai registrato.

In un avviso di sicurezza, l’FBI ha identificato TraderTraitor come un gruppo noto anche con i nomi Lazarus Group, Jade Sleet e APT38. Le società di intelligence blockchain TRM Labs e Chainalysis avevano precedentemente collegato il furto alla stessa operazione.

Secondo Binance, gli aggressori hanno ottenuto l’accesso dopo aver compromesso il laptop di un ingegnere DevOps. In seguito hanno raggiunto un container di servizio e inviato transazioni di prelievo non autorizzate. Circa 6,36 miliardi di dollari in criptovalute sono stati trasferiti attraverso dieci blockchain, con la maggior parte dei fondi spostata nell’arco di circa 20 minuti.

L’FBI ha dichiarato che TraderTraitor ha convertito principalmente gli asset rubati in Ethereum. L’agenzia prevede che il gruppo continuerà a riciclare i fondi attraverso piattaforme di finanza decentralizzata e servizi istantanei di conversione delle criptovalute. Le autorità statunitensi chiedono agli exchange, agli operatori blockchain e agli altri fornitori di servizi di asset virtuali di bloccare le transazioni associate agli indirizzi utilizzati per il riciclaggio.

L’agenzia ha pubblicato 628 indirizzi di criptovalute collegati al furto: 608 indirizzi Ethereum, 19 indirizzi Bitcoin e un indirizzo Solana.

TraderTraitor è stato collegato a diversi altri furti di criptovalute, tra cui il furto di 387,5 milioni di dollari da Bitget nel settembre 2026, l’attacco da 280 milioni di dollari a Drift nell’aprile 2026, il furto di 1,5 miliardi di dollari da Bybit nel febbraio 2025 e il furto di 308 milioni di dollari da DMM Bitcoin nel maggio 2024.

Gli Hacker nordcoreani hanno inoltre utilizzato una campagna nota come Operation DreamJob, nella quale si spacciano per reclutatori e contattano sviluppatori software o dipendenti di aziende di criptovalute con offerte di lavoro fraudolente. Anche gli incidenti che hanno colpito DMM Bitcoin e Bybit hanno comportato la compromissione di computer appartenenti a dipendenti o sviluppatori con accesso all’infrastruttura delle criptovalute.

Binance ha dichiarato di voler riprendere la prima fase dei prelievi il 1° novembre tra le 06:00 e le 09:00 UTC, continuando al contempo a ripristinare i servizi e a coprire gli asset rubati. L’exchange ha affermato di aver coperto circa il 95% dell’importo interessato, mentre il restante 5% è costituito da token meno liquidi che stava ancora acquistando attraverso i mercati e i canali over-the-counter.

Binance ha inoltre dichiarato che i saldi in BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC erano interamente coperti, mentre i servizi di deposito non erano stati interessati. La società ha affermato che avrebbe assorbito l’impatto finanziario dei fondi rubati invece di trasferire le perdite agli utenti.

Fonti: BleepingComputer.