Gli hacker nordcoreani si affidano all'intelligenza artificiale, dato che la RPDC è responsabile del 66% delle perdite derivanti dagli attacchi hacker alle criptovalute

Gli hacker nordcoreani si stanno rivolgendo all'intelligenza artificiale per espandere le loro operazioni informatiche, aggiungendo un nuovo livello di sofisticazione a una minaccia che già rappresenta la maggior parte delle perdite dovute agli attacchi hacker nel settore delle criptovalute a livello globale.

Secondo la società di intelligence blockchain TRM Labs.

La cifra evidenzia il crescente predominio di attori legati alla RPDC in un settore che ha subito perdite per 972 milioni di dollari a causa di 207dentdi hacking durante il periodo in questione.

Questa scoperta giunge mentre i ricercatori di sicurezza informatica hanno individuato Kimsuky, un gruppo di minacce informatiche legato all'Ufficio Generale di Ricognizione della Corea del Nord, che sta utilizzando l'intelligenza artificiale generativa come arma per supportare le proprie campagne di hacking. Un nuovo rapporto della società sudcoreana di sicurezza informatica Genians ha rilevato che il gruppo ha impiegato strumenti di intelligenza artificiale e piattaforme di modelli linguistici su larga scala, tra cui Ollama, GPT4All e Msty, insieme a tecnologie di generazione potenziata per il recupero delle informazioni.

Nel corso degli anni, gli hacker nordcoreani hanno utilizzato principalmente false email provenienti da contatti di lavoro reali per colpire persone che operano nel campo della diplomazia, dell'università e della sicurezza. Inviavano file dannosi mascherati da materiali relativi a eventi internazionali, rapporti di ricerca, inviti, pagamenti di onorari, richieste di cooperazione investigativa e documenti finanziari e legali.

Tuttavia, secondo la società di sicurezza Genians, Kimsuky starebbe testando strumenti di intelligenza artificiale generativa per la sua prossima ondata di attacchi. Ha già predisposto un modello linguistico locale di grandi dimensioni (LLM), un ambiente di generazione aumentata tramite recupero (RAG) e un ambiente di sviluppo assistito dall'IA. 

L'utilizzo dell'intelligenza artificiale suggerisce che le operazioni informatiche nordcoreane si stiano evolvendo, passando dal semplice supporto al phishing a capacità di automazione e intelligence più ampie. I ricercatori hanno trovato prove di strumenti di codifica assistiti dall'IA, sistemi di conversione da parlato a testo e documenti generati dall'IA progettati per assomigliare a materiale finanziario e di criptovaluta legittimo.

Kimsuky utilizza Ollama, GPT4All e Cursor AI

Genians ha scoperto che Kimsuky utilizzava documenti generati dall'intelligenza artificiale su asset virtuali e questioni finanziarie per ingannare le vittime. Il contenuto generato dall'IA replicava fedelmente documenti aziendali autentici, sia nel tono che nel design, per attirare gli utenti.

Inoltre, la società di sicurezza ha scoperto che l'attore della minaccia utilizzava Ollama, GPT4All e Msty per eseguire modelli di intelligenza artificiale locali, sistemi RAG, agenti di intelligenza artificiale e strumenti di conversione da parlato a testo. Le analisi forensi hanno anche dimostrato che si affidavano ampiamente al software di programmazione AI Cursor, nascondendo il loro codice tramite codifica Base64, stringhe frammentate e routine di decodifica personalizzate. 

Kimsuky avvia la sua catena di attacco principalmente quando un utente scarica un archivio ZIP dannoso tramite e-mail o altri canali e apre il collegamento LNK in esso contenuto. Questi collegamenti utilizzano icone ingannevoli e nomi di file professionali, come ad esempio documenti di ricerca ufficiali, richieste di compenso, articoli di stampa o corrispondenza diplomatica, per simulare documenti aziendali legittimi.

Commentando i risultati della loro ricerca, Moon Jong-hyun, responsabile del Genians Security Center (GSC), ha dichiarato: "Questa analisi dimostra che un gruppo di hacker sostenuto da uno Stato sta potenziando le proprie capacità di attacco creando LLM locali e ambienti di sviluppo di intelligenza artificiale per integrare l'IA in veri e propri framework di attacco" 

Nel 2025, gli attacchi informatici legati alla Corea del Nord hanno rappresentato il 60% del totale dei furti

La società di sicurezza blockchain CertiK stima che gli hacker nordcoreani abbiano rubato 2,06 miliardi di dollari in asset digitali nel 2025, pari al 60% del totale dei furti di criptovalute registrati quell'anno. In un singolo attacco, nel 2025 gli hacker nordcoreani hanno messo a segno il più grande furto di criptovalute mai registrato, sottraendo 1,5 miliardi di dollari a Bybit.

CertiK ha inoltre dimostrato che la Corea del Nord ha trasformato il furto di criptovalute in un motore finanziario primario per lo Stato, saccheggiando circa 6,75 miliardi di dollari in 263 incidenti registratidentil 2016 e il 2026. Ha anche evidenziato che l'ingegneria sociale è fondamentale per le operazioni di hacking del Paese, con la maggior parte dei principali furti nordcoreani che iniziano con una qualche forma di manipolazione umana.

Inoltre, ha avvertito che il 2026 potrebbe vedere un maggiore utilizzo dell'IA nell'ingegneria sociale, più tentativi di colpire i lavoratori IT e l'emergere di nuovi metodi di riciclaggio di denaro. Ha persino raccomandato alle organizzazioni a rischio di implementare videointerviste con verifica della presenza reale e controlli rigorosi dei precedenti per contrastare ledentgenerate dall'IA o prese in prestito. Ha anche consigliato alle aziende di applicare politiche di zero trust per itracda remoto, condurre corsi di formazione sulla sicurezza informatica per i dipendenti, imporre periodi di riflessione per i prelievi e proteggere le infrastrutture critiche come bridge e portafogli online.

Complessivamente, gli hacker hanno sottratto oltre 900 milioni di dollari in tutto il mondo dall'inizio del 2026. Tuttavia, un nuovo studio di TRM Labs mostra un'enorme discrepanza tra il numero di attacchi informatici e il cash rubato all'inizio del 2026. Gli hacker hanno colpito i sistemi 207 volte, ma hanno sottratto solo 972 milioni di dollari, una cifra ben lontana dai 2,3 miliardi di dollari rubati durante la prima metà del 2025.

Ciononostante, gli attacchi stanno diventando sempre più sofisticati. Dei 207dent, 125 erano exploit di smarttrac, in cui gli aggressori ora sfruttano contemporaneamente diverse vulnerabilità del codice anziché una sola. Tuttavia, il cash rubato continua a essere sottratto a società finanziarie e progetti di criptovalute.