L’11 agosto 2026 il trader ed educatore Bitcoin Tone Vays ha ceduto il controllo del proprio PC a hacker nordcoreani travestiti da gestori di un canale YouTube, durante una videochiamata Microsoft Teams degenerata nell’installazione di un trojan. È il secondo caso pubblico in pochi mesi dopo quello dell’educatore Jimmy Song, e conferma una campagna di ingegneria sociale sempre più sofisticata contro le figure pubbliche del mondo Bitcoin. Dietro la tattica, secondo un report di Mandiant (Google Cloud), c’è il gruppo nordcoreano UNC1069, già collegato a una parte dei 2,02 miliardi di dollari in criptovalute rubati da Pyongyang nel 2025.
Cosa È Successo a Tone Vays
Secondo la ricostruzione di Protos, che cita un messaggio pubblicato da Vays su X, i malintenzionati si erano presentati come i gestori di un canale YouTube per organizzare un’intervista di circa un’ora. Durante la chiamata su Microsoft Teams hanno chiesto e ottenuto accesso remoto al PC tramite la funzione di condivisione schermo, lo stesso permesso che normalmente si concede per mostrare slide o materiali all’interlocutore.
Una volta dentro, gli aggressori hanno installato un trojan. Vays ha raccontato di essersi accorto in tempo, di aver disconnesso subito il computer e di averlo reinstallato da zero, rinunciando a recuperare i file. Nel suo stesso messaggio ha ammesso l’errore: “sono stato un idiota e ho dato loro i permessi di controllo”. Nessuna chiave privata o password Bitcoin risultava salvata sulla macchina, quindi l’episodio non si è tradotto in un furto di fondi.
Il Precedente: Jimmy Song e lo Stesso Copione
Protos accosta il caso Vays a un episodio simile capitato a marzo 2026 all’educatore Bitcoin Jimmy Song (sviluppatore e autore, noto per i suoi corsi tecnici su Bitcoin): il suo account Telegram, già compromesso con sospetti puntati sulla Corea del Nord, fu usato per organizzare finte videochiamate Zoom con i contatti di Song, nel tentativo di infettarli con malware. Lo schema — un canale ritenuto legittimo usato come esca, passaggio a una piattaforma di videoconferenza, richiesta di accesso o installazione software — si ripete quasi identico a distanza di mesi, colpendo entrambe le volte figure pubbliche riconoscibili del mondo Bitcoin.
Come Agiscono gli Hacker Nordcoreani: la Tattica del Deepfake
Il modulo operativo dietro casi come questo è documentato in un report tecnico pubblicato il 9 febbraio 2026 dal Google Cloud Threat Intelligence (Mandiant), firmato dai ricercatori Ross Inman e Adrian Hernandez. Il documento descrive un’intrusione tipo: primo contatto su Telegram tramite un account compromesso di un altro dirigente del settore crypto, invio di un link Calendly per fissare una call, e link della videoconferenza reindirizzato verso un dominio civetta controllato dagli attaccanti.
Durante la chiamata, secondo Mandiant, alla vittima viene mostrato un video di un presunto CEO di un’altra azienda crypto, verosimilmente un deepfake generato con strumenti di intelligenza artificiale. A quel punto gli aggressori simulano un problema audio e guidano la vittima verso una pagina con comandi di “risoluzione problemi” per macOS o Windows: è la tecnica nota come ClickFix, che nasconde in quei comandi l’avvio della catena di infezione vera e propria.
UNC1069: Chi Sono gli Hacker Nordcoreani Dietro l’Attacco
Mandiant traccia questo gruppo, etichettato UNC1069, dal 2018 e lo classifica come “sospetto con alta fiducia” di avere un nesso con la Corea del Nord, sovrapponendosi in parte al cluster noto come Bluenoroff. I ricercatori scrivono che “il volume di strumenti distribuiti su un singolo host indica uno sforzo altamente determinato per raccogliere credenziali, dati del browser e token di sessione al fine di facilitare il furto finanziario”.
Il toolkit documentato comprende almeno sei famiglie di malware distinte: le backdoor WAVESHAPER, HIDDENCALL e SILENCELIFT, i downloader HYPERCALL e SUGARLOADER, e i data miner DEEPBREATH e CHROMEPUSH. DEEPBREATH agisce su macOS manipolando il database dei permessi TCC, mentre CHROMEPUSH è un’estensione del browser che registra i tasti premuti e ruba i cookie di sessione.
I bersagli preferiti dal gruppo, secondo il report, sono gli exchange centralizzati, le infrastrutture wallet, gli sviluppatori software, i fondi di venture capital e le società fintech. Una vittimologia che spiega perché anche una figura non aziendale come Vays, ma influente nella comunità, possa finire nel mirino.
Il Bilancio 2025: 2,02 Miliardi di Dollari Rubati da Pyongyang
Il contesto in cui si inserisce l’attacco a Vays è quantificato dal report annuale di Chainalysis: nel 2025 gli hacker legati alla Corea del Nord hanno sottratto 2,02 miliardi di dollari in criptovalute, il 51% in più rispetto al 2024, portando il totale storico accumulato a 6,75 miliardi. Da solo, il colpo alla piattaforma Bybit da 1,5 miliardi di dollari ha pesato per quasi tre quarti di quel totale: l’FBI lo ha attribuito il 26 febbraio 2025 alla campagna TraderTraitor, legata al gruppo nordcoreano Lazarus.
| Indicatore (Corea del Nord) | 2024 | 2025 |
|---|---|---|
| Totale crypto rubata | 1,34 miliardi $ | 2,02 miliardi $ |
| Quota sui compromessi di servizi/exchange | n.d. | 76% |
| Quota da wallet individuali | 44% | 20% |
| Valore da wallet individuali | n.d. | 713 milioni $ |
| Vittime uniche stimate | n.d. | oltre 80.000 |
Chainalysis avverte che queste cifre sono “stime al ribasso”, perché parte dell’attività non lascia tracce visibili on-chain. Il calo della quota da wallet individuali, dal 44% al 20%, è spiegato dall’effetto statistico del maxi-colpo a Bybit, non da un calo reale degli attacchi contro singoli utenti: gli incidenti individuali sono anzi saliti a 158.000 nel 2025.
Cosa Significa per gli Investitori Bitcoin
Per chi detiene Bitcoin in autocustodia, il rischio principale descritto in questi casi non è tecnico ma umano: nessun malware entra senza un click o un permesso concesso dalla vittima. Vale lo stesso principio già emerso su BitcoinLive24 nel caso del clone fasullo di Wasabi Wallet comparso sull’App Store, costato circa 6 BTC a un utente: la superficie d’attacco più sfruttata resta l’inganno, non una falla crittografica.
È un rischio con una seconda fase spesso sottovalutata. Una volta rubati, i fondi seguono quasi sempre lo stesso schema di occultamento descritto nell’approfondimento di BitcoinLive24 sul riciclaggio dei Bitcoin rubati in 45 giorni.
Le contromisure pratiche restano semplici: mai concedere il controllo remoto del proprio schermo durante una videochiamata non verificata, verificare l’URL esatto del meeting prima di cliccare, ed evitare di eseguire comandi da terminale suggeriti da un interlocutore sconosciuto per “risolvere” un problema audio o video. Chi gestisce fondi Bitcoin rilevanti dovrebbe inoltre tenere le chiavi private su dispositivi mai collegati allo stesso computer usato per videochiamate o social media.
Conclusione
Il caso Vays non ha causato perdite dirette, ma conferma che le figure pubbliche del mondo Bitcoin restano bersagli privilegiati di una macchina offensiva nordcoreana sempre più raffinata, ora capace di generare video deepfake in tempo reale per aggirare la diffidenza delle vittime. Scarica l’app di BitcoinLive24 per restare aggiornato su queste minacce: scarica l’app BitcoinLive24.
FAQ
Chi è Tone Vays?
Tone Vays è un trader ed educatore finanziario noto nella comunità Bitcoin per i suoi contenuti divulgativi e le sue analisi di mercato.
Cos’è la tecnica ClickFix usata dagli hacker nordcoreani?
ClickFix è una tecnica di ingegneria sociale in cui l’aggressore, fingendo un problema tecnico durante una videochiamata, convince la vittima a incollare ed eseguire comandi da terminale che in realtà avviano l’installazione di malware.
Chi è il gruppo UNC1069?
UNC1069 è un attore malevolo tracciato da Mandiant dal 2018, ritenuto con alta fiducia collegato alla Corea del Nord e specializzato in attacchi finanziariamente motivati contro il settore crypto.
Quanto ha rubato la Corea del Nord in crypto nel 2025?
Secondo Chainalysis, gli hacker nordcoreani hanno sottratto 2,02 miliardi di dollari in criptovalute nel 2025, il 51% in più rispetto al 2024.
Come proteggersi da attacchi simili?
Non concedere mai il controllo remoto dello schermo durante videochiamate non verificate e non eseguire comandi da terminale suggeriti da un interlocutore per risolvere problemi audio o video.
