El Departamento de Justicia de EE. UU. dijo el jueves que obtuvo autorización judicial para decomisar o inmovilizar más de $1,200 millones en criptomonedas robadas de Binance, dentro de un congelamiento mayor de más de $2,700 millones que, según funcionarios, detuvo alrededor de la mitad del golpe de octubre contra el exchange atribuido a Corea del Norte.

En un anuncio del jueves, el departamento indicó que el 29 de octubre, aproximadamente, miembros del ejército norcoreano —referidos por el FBI como TraderTraitor— robaron más de $6,000 millones en activos virtuales de Binance. Esa cifra queda por debajo de los $6,340 millones que Binance ha cubierto desde el ataque.

Binance dijo que completó la cobertura de los activos afectados por la brecha, reemplazando los tokens con fondos de la empresa en lugar de recuperar las monedas robadas, según el comunicado del exchange. Ambos esfuerzos corren por vías separadas: el DOJ trabaja para interceptar lo sustraído, mientras Binance ha señalado que los usuarios fueron compensados a través de su Secure Asset Fund for Users (una reserva de emergencia creada por el exchange en 2018), una parte de su fondo de seguro de futuros y su tesorería.

El fiscal general adjunto A. Tysen Duva, de la División Criminal del DOJ, dijo que el departamento y sus socios lograron "detener de inmediato cerca de la mitad de esta brecha histórica" al congelar los activos robados "antes de que quedaran fuera del alcance de las autoridades".

El congelamiento de más de $2,700 millones es una cifra conjunta que abarca esfuerzos del gobierno de EE. UU. y del sector privado. De ese total, el DOJ dijo que ya obtuvo autorización judicial para decomisar o inmovilizar más de $1,200 millones; no se ha anunciado autorización judicial para el resto de los fondos congelados. Los documentos judiciales correspondientes no se publicaron junto con el anuncio.

Los $1,200 millones no son dinero recién recuperado. Proviene de los aproximadamente $2,850 millones que Binance dijo el 3 de noviembre que habían sido congelados o interceptados, y la autorización judicial del jueves es el paso legal que permite al gobierno avanzar hacia la toma de propiedad de esos fondos mediante el decomiso. Hasta ahora, los activos simplemente habían estado congelados en los emisores de los tokens.

Ni siquiera el congelamiento marca el final del rastro. Según el DOJ, los actores de TraderTraitor siguen moviendo los activos robados a través de puentes de criptomonedas, mixers y exchanges —servicios que complican el rastreo de los fondos sustraídos— y el trabajo de rastreo, incautación y decomiso continúa.

La semana pasada, el 31 de octubre, el FBI, junto con el Servicio Secreto de EE. UU. y la División de Investigación Criminal del IRS, emitió una alerta cibernética que atribuye el robo a Corea del Norte y exhorta a los proveedores de servicios de activos virtuales a bloquear las transacciones con las direcciones que usan los actores, o derivadas de ellas. La alerta indicó que los investigadores han visto los activos robados convertidos principalmente en ether. Agencias de EE. UU. e investigadores de la ONU han atribuido años de robos de alto valor contra exchanges a unidades de hacking vinculadas a Corea del Norte, con ganancias que, según informes de la ONU, ayudan a financiar los programas de armas del régimen.

Un esquema de deepfakes aparte de $400 millones, y 900 videos incautados

Aparte del caso del DOJ y Binance, la fiscalía de EE. UU. para el Distrito Central de California y el FBI anunciaron la incautación de infraestructura en la nube utilizada en una campaña de ingeniería social que la agencia llama FaceStealer. El FBI dijo que el esquema ha resultado en el robo de más de $400 millones en criptomonedas en los últimos 18 meses y también se ha usado en intentos de comprometer a personas que mantienen software de código abierto, un paso que, según la agencia, parece estar calculado para habilitar ataques a la cadena de suministro.

El método es una videollamada falsa. Según el FBI, hackers norcoreanos conocidos públicamente bajo nombres como APT38 y BlueNoroff atraen a los objetivos con invitaciones a reuniones enviadas desde cuentas robadas a víctimas anteriores. Cuando el objetivo se une, los hackers reproducen un video de cámara web pregrabado de una persona que el objetivo conoce, o un deepfake de una figura conocida de la industria cripto, luego presentan un falso error técnico y envían una "solución" que instala malware. En varios casos, el robo ocurrió meses hasta más de un año después de la primera intrusión, mientras los hackers esperaban a que los saldos de las wallets crecieran.

Un informe FLASH del FBI del jueves dijo que las reuniones se realizan en versiones impostoras de Zoom, Microsoft Teams y Google Meet, con invitaciones que a menudo circulan a través de cuentas de Telegram, LinkedIn, Slack o Discord secuestradas. En cumplimiento de una orden federal, el FBI incautó más de 900 videos de cámara web de víctimas de FaceStealer. La agencia ha publicado un centro de información sobre la campaña en fbi.gov/facestealer.

El fiscal general adjunto principal para Seguridad Nacional M. Scott Proctor vinculó ambas acciones del jueves a la misma acusación: "El gobierno de Corea del Norte financia su régimen renegado y su programa de armas ilícitas mediante el robo de criptomonedas".

La recuperación de los fondos de Binance sigue a cargo de la Oficina de Campo del FBI en Los Ángeles, su División Cibernética y su Unidad de Activos Virtuales, en coordinación con el Servicio Secreto y la Investigación Criminal del IRS. El DOJ no especificó cuánta parte del congelamiento de más de $2,700 millones, ni de los $1,200 millones bajo autorización judicial, es bitcoin.

Este artículo está basado en el reportaje de Micah Zimmerman, publicado originalmente por Bitcoin Magazine.