Un uomo canadese è stato estradato negli Stati Uniti per rispondere ad accuse federali secondo cui lui e un presunto complice avrebbero hackerato computer universitari, rubato credenziali di accesso e utilizzato le macchine per estrarre segretamente criptovalute, ha dichiarato martedì il Dipartimento di Giustizia statunitense in un comunicato stampa.

Una grand jury federale nel distretto occidentale di New York ha incriminato Ryan James Roach, 35 anni, della Saskatchewan, e Mathiew James Stubbings, 41 anni, dell'Ontario, con accuse di cospirazione per ottenere informazioni da e danneggiare un computer protetto, ottenere informazioni da un computer protetto e danneggiare intenzionalmente un computer protetto. Il termine "computer protetto" proviene dal Computer Fraud and Abuse Act, la legge federale anti-hacking che copre i computer utilizzati nel commercio interstatale o estero — in pratica, sostanzialmente qualsiasi macchina connessa a internet. Le accuse comportano una pena massima di 10 anni di carcere e una multa di 250.000 dollari.

L'ufficio del procuratore federale per il distretto occidentale di New York ha annunciato l'estradizione in un post su X:

Canadian man extradited to the U.S. for his role in computer hacking scheme targeting universities... @FBIBuffalo @USDOJ_Intl
— WDNYnews (@WDNYnews) November 4, 2026

Secondo l'atto di incriminazione, tra giugno 2016 e dicembre 2019 i due uomini hanno preso di mira istituzioni educative statunitensi che operavano supercomputer, studiando le vulnerabilità di sicurezza delle reti delle istituzioni prima di introdurvisi. Una volta all'interno, avrebbero secondo le accuse distribuito malware, rubato credenziali di accesso e forzato i computer delle vittime a estrarre criptovalute a proprio beneficio. I supercomputer concentrano grandi quantità di potenza di elaborazione in un unico sistema, una capacità che può essere reindirizzata a attività intensive di calcolo come il mining di criptovalute.

Le vittime includevano istituzioni di New York, Tennessee, North Carolina e Massachusetts, tra cui un'università sita nel distretto occidentale di New York, hanno detto i procuratori. I due avrebbero utilizzato server privati virtuali in diversi paesi, registrati con nomi falsi, per inviare malware e software di mining ai computer delle vittime e archiviare le credenziali rubate. Sono inoltre accusati di aver instradato gli attacchi attraverso computer compromessi presso altre vittime per nascondere le proprie identità.

Roach, estradato dal Canada il 28 ottobre, è stato processato a Rochester, New York, dove è stato detenuto in attesa di un'udienza sulla custodia cautelare. Il procedimento di estradizione contro Stubbings prosegue in Canada.

Il caso arriva in un contesto di tattiche in evoluzione nell'economia sotterranea delle risorse di calcolo rubate.

Dal cryptojacking all'LLMjacking

Lo schema ascritto è una forma di cryptojacking, in cui gli attaccanti utilizzano i computer di altri per estrarre criptovalute mentre le vittime sostengono i costi dell'elettricità e una riduzione delle prestazioni delle macchine. Il Dipartimento di Giustizia non ha indicato quale criptovaluta i due avrebbero estratto. La privacy coin Monero è da tempo una favorita per schemi di questo tipo perché può essere estratta su hardware comune. Ad agosto, l'agenzia informatica nazionale olandese ha avvertito che gli attaccanti stavano sfruttando una vulnerabilità della funzionalità Screen Sharing di macOS di Apple per installare miner Monero sui Mac.

Ma gli hacker che cercano di trarre profitto da potenza di calcolo rubata potrebbero rivolgere l'attenzione altrove. In un rapporto pubblicato lunedì, il Threat Intelligence Group di Google ha dichiarato di attendersi che gli attaccanti "diano sempre più priorità all'LLMjacking rispetto al furto tradizionale di risorse come il cryptojacking", dirottando l'accesso delle aziende ai modelli di IA e facendo pagare le fatture alle vittime.

A differenza del drenaggio graduale del cryptojacking, l'LLMjacking può accumulare enormi costi cloud nel giro di poche ore, ha detto Google. Negli incidenti indagati quest'anno dalla sua unità Mandiant, gli addebiti fraudolenti hanno superato i 100.000 dollari in un solo giorno, e alcune organizzazioni hanno accumulato 1 milione di dollari prima che l'accesso fosse interrotto. Gli attaccanti rivendono l'accesso rubato attraverso servizi sotterranei che Google chiama "LLM Mixers".

Il caso di Roach è in corso nel distretto occidentale di New York.