Attacco informatico a Bithumb, violati i sistemi interni dell’exchange: sotto esame anche i dati dei clienti
Un accesso non autorizzato al sistema di comunicazione utilizzato dai dipendenti di Bithumb ha provocato la sottrazione di informazioni personali e l’apertura di un’indagine da parte delle autorità sudcoreane. L’incidente, individuato il 27 ottobre 2026 e reso pubblico il giorno successivo, ha interessato un’infrastruttura interna distinta dalla piattaforma attraverso cui gli utenti comprano, vendono e custodiscono criptovalute.
La separazione tra i due ambienti avrebbe impedito agli intrusi di raggiungere direttamente gli asset digitali dei clienti. Le verifiche, tuttavia, hanno fatto emergere un problema ulteriore: nel materiale compromesso sarebbero presenti anche informazioni personali degli utenti dell’exchange, inizialmente non considerate tra i dati sottratti.
Secondo gli aggiornamenti pubblicati il 29 ottobre dalla stampa finanziaria sudcoreana, l’esposizione potrebbe riguardare alcune centinaia di informazioni riconducibili ai clienti. Si tratta di ricostruzioni giornalistiche basate su fonti del settore, mentre non risultano ancora pubblicati un bilancio definitivo delle persone coinvolte e una descrizione completa delle categorie di dati sottratti.
L’attacco informatico a Bithumb riporta così l’attenzione su una vulnerabilità spesso meno evidente rispetto agli attacchi ai portafogli digitali: la possibilità che strumenti aziendali utilizzati quotidianamente dal personale diventino un punto di accesso a informazioni riservate.
Come è avvenuta la violazione dei sistemi aziendali
Bithumb è uno dei principali exchange di criptovalute della Corea del Sud. La piattaforma permette di effettuare operazioni di compravendita di asset digitali e gestisce infrastrutture informatiche dedicate alle transazioni e alla custodia delle attività dei clienti.
L’incidente di ottobre ha interessato il sistema mobile di groupware utilizzato dal personale per lo svolgimento delle attività lavorative. Si tratta di un ambiente informatico destinato alle comunicazioni interne, alla collaborazione tra dipendenti e alla condivisione di documenti aziendali.
Secondo la ricostruzione pubblicata da CoinDesk il 28 ottobre, un soggetto esterno sarebbe riuscito ad accedere al sistema, provocando la fuoriuscita di informazioni personali. L’anomalia è stata rilevata il 27 ottobre e comunicata alle autorità competenti.
Le prime verifiche hanno individuato il coinvolgimento di informazioni relative a dipendenti di Bithumb, società controllate e imprese partner. La presenza di questi soggetti evidenzia come gli strumenti di collaborazione aziendale possano raccogliere documenti e dati appartenenti a organizzazioni differenti.
L’exchange ha indicato che l’ambiente compromesso opera separatamente dai sistemi informatici fondamentali per la gestione delle transazioni in criptovalute. Secondo quanto comunicato alle autorità, attraverso la violazione individuata non sarebbe stato possibile raggiungere direttamente i beni digitali custoditi per conto degli utenti.
Questa distinzione riguarda il perimetro tecnico dell’incidente, ma non chiarisce ancora come l’intruso abbia ottenuto l’accesso iniziale.
Non sono stati resi pubblici elementi sufficienti per stabilire se siano state utilizzate credenziali sottratte, vulnerabilità del software, tecniche di phishing oppure altri strumenti di intrusione. Non sono quindi disponibili basi documentali per attribuire l’episodio a uno specifico gruppo criminale o per descrivere una particolare modalità di attacco.
Anche l’eventuale compromissione degli account dei dipendenti resta una questione distinta dalla violazione del sistema nel suo complesso. L’accesso abusivo a un’applicazione aziendale non dimostra automaticamente che siano state sottratte password o che gli aggressori abbiano ottenuto privilegi amministrativi.
Le verifiche sui dati personali e l’intervento delle autorità
Il 28 ottobre la Financial Services Commission (FSC), autorità sudcoreana di vigilanza finanziaria, ha convocato una riunione straordinaria dedicata agli incidenti informatici che hanno interessato gli operatori del settore delle criptovalute.
All’incontro, coordinato dal responsabile delle politiche di finanza digitale Yoo Young-joon, hanno partecipato rappresentanti del Financial Supervisory Service, del Financial Security Institute, della Digital Asset Exchange Alliance e della stessa Bithumb.
Il comunicato ufficiale della FSC ha confermato la presenza di indizi relativi alla sottrazione di dati personali di dipendenti, controllate e aziende partner. Nello stesso documento, l’autorità ha precisato che risultavano ancora in corso le verifiche sull’eventuale coinvolgimento delle informazioni degli utenti.
Alla data della comunicazione, non era stata accertata la sottrazione di informazioni utilizzabili direttamente per effettuare pagamenti fraudolenti o trasferimenti di criptovalute, comprese le informazioni relative agli indirizzi dei portafogli digitali richiamate dall’autorità.
La FSC, il Financial Supervisory Service e il Financial Security Institute hanno avviato accertamenti sul posto per ricostruire le cause dell’incidente, verificare l’estensione della compromissione e individuare eventuali conseguenze per i consumatori.
L’episodio è stato inoltre segnalato alla Korea Internet & Security Agency (KISA), competente in materia di sicurezza informatica, e alla Personal Information Protection Commission, l’autorità nazionale per la protezione dei dati personali.
La rapidità delle comunicazioni costituisce un elemento rilevante della gestione dell’incidente, ma sarà l’esito delle indagini a chiarire se le procedure di rilevamento, contenimento e protezione delle informazioni abbiano funzionato adeguatamente.
L’aggiornamento del 29 ottobre amplia il possibile perimetro della violazione
Le informazioni diffuse nelle ore successive alla prima notizia hanno modificato il quadro iniziale.
Il 29 ottobre la testata sudcoreana ChosunBiz ha riportato che l’intrusione nel sistema aziendale avrebbe coinvolto anche alcune centinaia di informazioni personali riferite ai clienti. Una ricostruzione analoga è stata pubblicata da Bloomingbit, secondo cui l’esposizione sarebbe stata individuata durante gli approfondimenti successivi alla segnalazione iniziale.
Le notizie attribuiscono il coinvolgimento dei clienti alla presenza di loro informazioni nell’ambiente di collaborazione utilizzato dai dipendenti. In una precedente ricostruzione di Seoul Economic Daily, Bithumb aveva già indicato che messaggi e documenti scambiati dal personale avrebbero potuto contenere informazioni sugli utenti.
L’aspetto merita attenzione perché un sistema può essere tecnicamente separato dalla piattaforma di trading e conservare comunque dati riconducibili ai clienti.
Un ambiente destinato alla gestione del lavoro può contenere comunicazioni relative all’assistenza, documentazione amministrativa, informazioni condivise tra uffici e materiali prodotti durante le normali attività aziendali. La possibilità che questi contenuti siano presenti non dimostra, da sola, quali informazioni siano state effettivamente sottratte nel caso specifico.
Alla data del 29 ottobre non risulta disponibile un inventario pubblico definitivo dei dati coinvolti. Non sono quindi accertati il numero complessivo degli interessati, la quantità delle informazioni riconducibili a ciascun cliente e l’eventuale presenza di documenti identificativi o credenziali di accesso.
Non risultano nemmeno confermate perdite patrimoniali in criptovalute direttamente attribuibili all’incidente.
La ricostruzione dell’attacco informatico a Bithumb deve pertanto distinguere tre circostanze: la compromissione del sistema aziendale, la sottrazione di informazioni personali e l’eventuale sottrazione di fondi digitali. Le prime due trovano riscontro nelle comunicazioni e negli aggiornamenti disponibili, mentre la terza non risulta confermata.
Perché gli strumenti dei dipendenti rappresentano un rischio per gli exchange
Negli exchange centralizzati la sicurezza dipende da numerosi ambienti informatici, con funzioni e livelli di accesso differenti.
I sistemi di negoziazione elaborano gli ordini, quelli di custodia amministrano le attività digitali e le infrastrutture amministrative permettono al personale di gestire pratiche, comunicazioni e processi operativi.
La protezione delle chiavi private necessarie per autorizzare i trasferimenti di criptovalute costituisce una componente essenziale della sicurezza. La disponibilità di queste chiavi, tuttavia, non coincide con il controllo di tutte le informazioni che un exchange tratta durante la propria attività.
I dati personali possono essere presenti in applicazioni utilizzate da uffici amministrativi, assistenza clienti, risorse umane e fornitori esterni. Se tali informazioni vengono trasferite in documenti condivisi o conversazioni interne, il loro livello di protezione dipende anche dalle autorizzazioni attribuite agli utenti di questi strumenti.
L’attacco informatico a Bithumb mostra perché la separazione delle reti debba essere accompagnata da una gestione rigorosa delle informazioni.
La segmentazione può limitare il movimento di un aggressore da un ambiente compromesso verso altri sistemi. Non impedisce, però, che nell’ambiente violato siano già conservati dati riservati.
Per ridurre questo rischio occorre stabilire quali informazioni possano essere condivise nelle applicazioni aziendali, chi sia autorizzato a consultarle e per quanto tempo debbano essere conservate.
Un operatore che gestisce dati finanziari deve inoltre considerare le connessioni con società esterne, consulenti e fornitori tecnologici. Account e autorizzazioni concessi per esigenze operative possono ampliare la superficie esposta agli attacchi se non vengono verificati periodicamente.
La questione riguarda soprattutto gli accessi rimasti attivi dopo cambiamenti di mansione, conclusione dei rapporti professionali o cessazione delle collaborazioni.
Autenticazione, autorizzazioni e controllo delle attività sospette
Le misure per proteggere gli ambienti interni non possono limitarsi alla scelta di password complesse.
La gestione delle identità digitali richiede di attribuire a ciascun dipendente soltanto le autorizzazioni necessarie alle mansioni effettivamente svolte. È il principio del privilegio minimo, utilizzato per ridurre le conseguenze di un account compromesso.
Un addetto all’assistenza, per esempio, non dovrebbe disporre automaticamente delle stesse autorizzazioni di un amministratore dell’infrastruttura informatica. Allo stesso modo, le credenziali utilizzate per attività ordinarie dovrebbero essere separate da quelle necessarie per le operazioni privilegiate.
Un secondo elemento riguarda l’autenticazione multifattore, che richiede ulteriori prove di identità oltre alla password.
I sistemi più resistenti al phishing, come quelli basati su chiavi di sicurezza compatibili con gli standard FIDO2, offrono protezioni superiori rispetto ai semplici codici temporanei, soprattutto contro i tentativi di sottrarre credenziali attraverso siti contraffatti.
Le indicazioni della Cybersecurity and Infrastructure Security Agency statunitense dedicano particolare attenzione all’utilizzo di autenticazione resistente al phishing per gli account amministrativi e per quelli che consentono l’accesso a informazioni finanziarie o personali.
Queste misure riducono determinate categorie di rischio, ma non eliminano tutte le possibilità di compromissione. Un software vulnerabile, una sessione autenticata sottratta oppure un dispositivo aziendale già controllato da un aggressore possono richiedere contromisure differenti.
Per questo assumono importanza il monitoraggio degli accessi, la registrazione delle attività e l’individuazione di comportamenti anomali.
Accessi da dispositivi insoliti, consultazioni massive di documenti, esportazioni non giustificate e modifiche improvvise delle autorizzazioni possono rappresentare segnali da approfondire. Il loro significato dipende comunque dalle attività normalmente svolte dagli utenti e dalle caratteristiche dei sistemi.
Non è stato accertato che l’intrusione ai danni di Bithumb abbia sfruttato una delle debolezze descritte. Si tratta delle principali aree di controllo che gli operatori devono presidiare per prevenire incidenti analoghi.
La risposta agli incidenti e il problema dei dati già sottratti
Dopo un accesso abusivo, la priorità operativa consiste nell’impedire che l’intruso continui a utilizzare i sistemi compromessi.
La risposta può comprendere la sospensione degli account interessati, la revoca delle sessioni attive, l’isolamento degli apparati e la conservazione delle evidenze digitali necessarie alle indagini.
La scelta delle misure dipende dalle caratteristiche dell’attacco. Interrompere indiscriminatamente i sistemi potrebbe compromettere servizi essenziali senza necessariamente eliminare la causa della violazione.
Il National Institute of Standards and Technology, nella revisione del 2025 delle proprie raccomandazioni sulla gestione degli incidenti informatici, considera la preparazione organizzativa, il rilevamento tempestivo, la risposta e il recupero come attività integrate nella gestione del rischio aziendale.
Il controllo degli accessi deve quindi essere accompagnato da procedure che definiscano responsabilità, modalità di comunicazione e criteri per ripristinare i sistemi.
Negli exchange centralizzati il problema assume una particolare complessità. La risposta tecnica deve coordinarsi con le esigenze di continuità operativa, la tutela dei depositi, la protezione delle informazioni personali e gli obblighi verso le autorità.
Quando vengono sottratti dati personali, l’eventuale recupero del controllo sull’infrastruttura non elimina necessariamente le conseguenze dell’incidente.
Le informazioni già acquisite da un soggetto esterno possono essere utilizzate successivamente per tentativi di frode, impersonificazione o campagne di phishing mirate.
Nel caso dell’attacco informatico a Bithumb, il possibile coinvolgimento dei dati dei clienti rende quindi rilevante capire quali elementi siano usciti dall’ambiente aziendale e quali rischi possano derivarne. Senza conoscere le categorie di informazioni sottratte, non è possibile stabilire l’effettiva esposizione degli utenti a queste forme di abuso.
La Corea del Sud valuta controlli più severi sulle piattaforme crypto
La reazione delle autorità sudcoreane non riguarda esclusivamente Bithumb.
Il 28 ottobre la Financial Services Commission ha affrontato anche gli incidenti segnalati presso altri operatori finanziari, tra cui Mirae Asset e Daishin Securities.
Quest’ultima è stata coinvolta in una violazione che, secondo le informazioni diffuse dalle autorità e dalla stampa finanziaria, ha comportato l’esposizione di informazioni personali e creditizie di clienti.
CoinDesk ha inoltre riportato che, al 14 ottobre, il responsabile del Financial Supervisory Service aveva fatto riferimento ad attacchi informatici subiti da 16 società finanziarie sudcoreane.
La presenza di diversi episodi nello stesso periodo ha rafforzato l’attenzione delle istituzioni sulla gestione dei rischi informatici. Non dimostra, tuttavia, che gli incidenti siano stati realizzati dagli stessi responsabili o attraverso una campagna coordinata.
Nel comunicato del 28 ottobre la FSC ha annunciato l’intenzione di rafforzare i requisiti di sicurezza per gli operatori delle criptovalute e per altri settori attualmente esclusi dall’ambito applicativo della normativa sudcoreana sulle transazioni finanziarie elettroniche.
L’obiettivo indicato è avvicinare le misure di protezione agli standard applicati alle banche e alle principali istituzioni finanziarie.
L’annuncio rappresenta un indirizzo di intervento regolamentare, non l’entrata in vigore immediata di nuove prescrizioni. Tempi, contenuti e modalità di applicazione delle eventuali misure dovranno essere definiti attraverso successivi provvedimenti.
La Corea del Sud dispone già di regole specifiche per la protezione degli utenti delle piattaforme di criptovalute.
La normativa entrata in vigore il 19 luglio 2024 prevede, tra le altre misure, la custodia separata dei depositi in valuta e la conservazione di almeno l’80% del valore economico delle criptovalute degli utenti in portafogli offline, secondo le disposizioni attuative della FSC.
Sono inoltre previsti obblighi relativi a coperture assicurative, fondi di riserva e altre forme di protezione rispetto a determinate perdite.
Queste prescrizioni riguardano principalmente la salvaguardia delle attività patrimoniali. La protezione degli strumenti di comunicazione aziendale e delle informazioni personali richiede controlli ulteriori, da integrare nella gestione complessiva della sicurezza.
I precedenti di Bithumb e la questione dei controlli interni
L’incidente di ottobre arriva dopo un altro episodio che aveva sollevato interrogativi sulle procedure operative dell’exchange sudcoreano.
Nel febbraio 2026 Bithumb aveva erroneamente accreditato a diversi clienti complessivamente 620.000 Bitcoin, invece di effettuare accrediti in won sudcoreani.
Il controvalore nominale dei Bitcoin registrati per errore superava i 40 miliardi di dollari al momento dell’episodio, secondo la ricostruzione riportata da CoinDesk. La cifra descriveva gli accrediti anomali e non un furto informatico di pari importo.
L’amministratore delegato Lee Jae-won aveva riconosciuto carenze nei controlli interni legati all’accaduto.
I due episodi presentano caratteristiche profondamente differenti. Quello di febbraio era un errore operativo relativo alla contabilizzazione delle attività, mentre l’incidente di ottobre riguarda un accesso esterno non autorizzato e la sottrazione di informazioni.
Non esistono elementi pubblici che consentano di attribuire i due eventi alla stessa causa tecnica.
Entrambi, tuttavia, evidenziano quanto la sicurezza di un exchange dipenda da procedure che devono funzionare correttamente anche al di fuori dei meccanismi direttamente utilizzati per custodire le criptovalute.
La gestione degli account interni, il controllo delle operazioni amministrative, la supervisione dei fornitori e la verifica delle autorizzazioni sono attività che incidono sull’affidabilità complessiva del servizio.
Le conseguenze possibili per i clienti e gli accertamenti ancora aperti
L’attacco informatico a Bithumb non risulta aver provocato, sulla base delle informazioni disponibili al 29 ottobre 2026, una sottrazione confermata delle criptovalute custodite per gli utenti.
Resta invece da definire l’effettiva estensione della violazione dei dati personali.
Le autorità sudcoreane hanno indicato che, qualora vengano accertati danni ai consumatori, vigileranno sull’adozione di misure di protezione che potranno comprendere il risarcimento integrale delle perdite.
Questa indicazione non costituisce il riconoscimento di un danno patrimoniale già verificato, né equivale a una decisione definitiva sulle responsabilità dell’exchange.
Per i clienti, un eventuale coinvolgimento delle informazioni personali potrebbe richiedere particolare attenzione alle comunicazioni che apparentemente provengono dalla piattaforma. Messaggi che sollecitano il trasferimento di fondi, l’invio di credenziali o l’accesso a siti non ufficiali rappresentano rischi da considerare, soprattutto quando un incidente informatico diventa di dominio pubblico.
Resta da accertare se nell’episodio di ottobre siano state esposte informazioni sufficienti a rendere possibili tentativi di frode personalizzati.
Le verifiche dovranno inoltre chiarire il percorso seguito dall’intruso, la durata dell’accesso non autorizzato, gli eventuali privilegi ottenuti e le modalità con cui i dati sono stati estratti.
La separazione tra il sistema di collaborazione aziendale e l’infrastruttura di trading costituisce un elemento tecnico significativo, ma la sua efficacia dovrà essere valutata alla luce degli accertamenti sull’intero incidente.
Il risultato più rilevante delle indagini sarà stabilire quali informazioni dei clienti fossero effettivamente presenti nel sistema compromesso e quali misure siano necessarie per impedire che documenti riservati rimangano accessibili attraverso ambienti di lavoro non destinati alla loro conservazione.
