El Departamento de Justicia de EE. UU. obtuvo autorización judicial para decomisar o inmovilizar más de 1.200 millones de dólares en criptomonedas vinculadas al hackeo de octubre contra el exchange Binance, mientras los investigadores federales intensifican los esfuerzos para recuperar activos supuestamente robados por hackers norcoreanos.

En un anuncio del jueves, el DOJ informó que las autoridades y sus socios del sector privado han congelado más de 2.700 millones de dólares en criptomonedas robadas. El departamento señaló que el esfuerzo refleja la coordinación entre agencias gubernamentales y empresas del sector privado. Los investigadores continúan rastreando fondos adicionales que se mueven a través de puentes de blockchain, mixers de criptomonedas y exchanges, donde los activos robados pueden ser transferidos u ocultados.

El DOJ persigue activos vinculados al robo de 6.000 millones de dólares contra Binance

Los investigadores federales atribuyeron el ataque del 29 de octubre contra Binance a TraderTraitor, un grupo de hackers asociado con las operaciones de inteligencia militar de Corea del Norte. El DOJ estima que el grupo robó más de 6.000 millones de dólares durante el ataque.

Binance había cifrado previamente sus pérdidas en aproximadamente 6.300 millones de dólares y dijo que destinó 6.340 millones de dólares en fondos de la compañía para cubrir los activos afectados. El exchange también confirmó que había completado la cobertura de las tenencias impactadas de sus clientes y publicó una actualización de su proof-of-reserves. Dado que Binance cubrió las tenencias afectadas de sus clientes con fondos propios, el esfuerzo federal de recuperación se centra en los activos robados en sí y no en el reembolso a los clientes.

La acción aprobada por la corte que cubre más de 1.200 millones de dólares forma parte de un esfuerzo más amplio para restringir el movimiento de las criptomonedas robadas. La cifra separada de más de 2.700 millones de dólares representa activos congelados mediante el esfuerzo de recuperación más amplio, y no el monto cubierto por la más reciente autorización judicial. En relación con las pérdidas estimadas de 6.000 millones de dólares, ambos montos representan una recuperación parcial, y el resto está sujeto a un rastreo continuo a través de diversos servicios y redes.

El subadministrador principal adjunto del fiscal general, M. Scott Proctor, acusó a Corea del Norte de usar el robo de criptomonedas para financiar su gobierno y sus programas de armas. Dijo que la División de Seguridad Nacional del DOJ continuaría persiguiendo los activos robados y buscando su devolución. La participación de la división refleja que el gobierno trata el robo de cripto vinculado a Estados como un asunto de seguridad nacional y no como un delito financiero común.

Las autoridades no han proporcionado un cronograma completo para la recuperación de los fondos. Las operaciones de rastreo en blockchain siguen en curso mientras los investigadores siguen transacciones adicionales a través de diferentes servicios y redes. Sin un cronograma de recuperación anunciado, las futuras presentaciones judiciales y acciones de decomiso ofrecerían la señal pública más clara del avance del esfuerzo.

El FBI decomisa la infraestructura detrás de la operación norcoreana FaceStealer

El DOJ también anunció acciones contra una campaña separada de robo de criptomonedas vinculada a Corea del Norte conocida como FaceStealer. Las autoridades federales decomisaron infraestructura en la nube que supuestamente respaldaba la operación, que según el FBI causó más de 400 millones de dólares en pérdidas de criptomonedas en los últimos 18 meses.

Según los investigadores, los atacantes comprometieron cuentas de comunicación y las usaron para organizar reuniones de video fraudulentas con posibles víctimas. Se hicieron pasar por personas cercanas a sus objetivos mediante material pregrabado y deepfakes generados por inteligencia artificial. La táctica muestra cómo los medios generados por IA se han convertido en una herramienta práctica para el crimen financiero, permitiendo a los atacantes apropiarse de la imagen de contactos de confianza en plataformas de video de uso generalizado.

Durante las llamadas, los criminales introducían problemas técnicos fabricados y persuadían a las víctimas de instalar software malicioso. Ese software podía luego comprometer billeteras de criptomonedas y sistemas informáticos, dando a los atacantes acceso a activos digitales y otra información.

Patrick Grandy, subdirector de la oficina de campo del FBI en Los Ángeles, advirtió que el esquema explotaba relaciones de confianza y plataformas de videollamadas de uso generalizado.

Los hackers retrasaron la explotación de computadoras comprometidas

Los investigadores descubrieron que, en algunos casos, los atacantes esperaron meses, o incluso más de un año, antes de explotar las computadoras que habían comprometido previamente, manteniendo las intrusiones latentes. La campaña también involucró el uso de información de contacto robada para identificar objetivos adicionales. Dicha latencia complica la respuesta a incidentes, ya que una intrusión que se detecta hoy puede rastrearse hasta un compromiso ocurrido mucho antes de que se notara algún robo.

Entre los objetivos había desarrolladores de código abierto cuyo software podía dar a los atacantes acceso a un grupo más amplio de usuarios. Los hallazgos destacan cómo un compromiso inicial puede usarse para facilitar ataques posteriores mucho tiempo después de la intrusión original.

Los agentes federales decomisaron más de 900 grabaciones de cámaras web asociadas con víctimas de FaceStealer y emitieron recomendaciones para las personas afectadas.

Los dos casos ilustran el alcance de la campaña del DOJ contra las operaciones de robo de criptomonedas vinculadas a Corea del Norte. Si bien las autoridades han logrado restricciones sobre miles de millones de dólares en activos supuestamente robados, las investigaciones tanto del ataque contra Binance como de la campaña FaceStealer siguen en curso, y queda abierto cuánto más de los fondos robados podrá recuperarse y qué acciones adicionales seguirán al desmantelamiento de FaceStealer.