Il Dipartimento di Giustizia degli Stati Uniti (DOJ) ha ottenuto l'autorizzazione del tribunale a sequestrare o vincolare oltre 1,2 miliardi di dollari in criptovalute rubate da Binance da parte di hacker militari nordcoreani. L'azione di contrasto, annunciata il 12 novembre, mira ai fondi collegati a un attacco informatico che i funzionari valutano in 6,3 miliardi di dollari e fa parte di una strategia più ampia per disgregare le operazioni di furto di criptovalute del regime (annuncio del Dipartimento di Giustizia).

Dall'attacco del 29 ottobre, il governo statunitense, lavorando insieme ad altri partner, ha congelato oltre 2,7 miliardi di dollari delle criptovalute rubate. L'importo coperto dall'ordine del tribunale del DOJ costituisce quasi la metà dei fondi rubati congelati, e le indagini per tracciare il resto sono ancora in corso. La risposta è stata rapida: la violazione si è verificata il 29 ottobre, l'FBI ha emesso il suo avviso di attribuzione il 31 ottobre e l'azione autorizzata dal tribunale è seguita il 12 novembre. L'FBI ha attribuito l'attacco a TraderTraitor (avviso informatico dell'FBI).

L'azione del 12 novembre mira anche a un secondo schema collegato alla Corea del Nord, FaceStealer, che ha rubato oltre 400 milioni di dollari in criptovalute in 18 mesi attraverso video preregistrati e tecnologia deepfake.

Il Dipartimento di Giustizia prende di mira il furto di criptovalute nordcoreano

Il DOJ sostiene che la RPC usa il furto di criptovalute come mezzo per generare denaro da destinare al finanziamento del proprio governo e di armamenti illeciti. L'ultimo ciclo di azioni ha coinvolto più agenzie, tra cui la Divisione Sicurezza Nazionale, la Divisione Penale, l'FBI, i United States Secret Service e l'IRS Criminal Investigation.

The US Department of Justice seized infrastructure linked to North Korea's $400 million FaceStealer crypto theft scheme and froze over $1.2 billion in cryptocurrency stolen from Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Source: X post

Il coinvolgimento dei fornitori di servizi per attività virtuali ha reso possibile per le autorità congelare miliardi di dollari prima che il denaro lasciasse la loro giurisdizione. Per il settore crypto, questo dettaglio mostra come gli esiti dell'azione di contrasto possano dipendere dalla collaborazione dei fornitori di servizi: i fondi detenuti su un exchange o su una piattaforma di custodia possono essere immobilizzati prima che vengano dispersi. Il Vice Procuratore Generale Aggiunto A. Tysen Duva ha spiegato che la Divisione Penale e i suoi colleghi hanno agito rapidamente per fermare circa metà dell'enorme hack a Binance.

Il tribunale ha ordinato al governo di sequestrare o vincolare oltre 1,2 miliardi di dollari dei 2,7 miliardi congelati. La distinzione è importante: congelare una criptovaluta significa impedire il movimento del denaro, mentre vincolare significa ottenere il diritto di sequestrare i fondi.

TraderTraitor sposta gli asset rubati da Binance attraverso le reti crittografiche

L'FBI ha dichiarato che membri militari della Repubblica Popolare Democratica di Corea erano dietro l'attacco del 29 ottobre a Binance e hanno usato lo pseudonimo "TraderTraitor". In un avviso informatico emesso il 31 ottobre, l'FBI ha riferito che gli attaccanti stavano trasferendo gli asset verso conti dove i fondi rubati venivano convertiti in Ether (ETH).

L'FBI ha detto che gli attaccanti avrebbero utilizzato applicazioni di finanza decentralizzata (DeFi) e servizi di scambio istantaneo per convertire le criptovalute in altre forme di fondi. Ciò avrebbe reso più difficile per gli investigatori tracciare le transazioni, poiché il denaro si sposta attraverso molteplici reti blockchain e asset digitali.

L'FBI ha chiesto agli operatori di exchange di criptovalute, ai servizi DeFi, alle società di intelligence blockchain e ai fornitori di infrastrutture di bloccare qualsiasi transazione collegata agli indirizzi wallet da esso resi pubblici per l'operazione di riciclaggio.

Le indagini sono ancora in corso, mentre gli hacker nordcoreani continuano a tentare di spostare i fondi rubati utilizzando bridge crittografici, mixer ed exchange.

FaceStealer usa i deepfake per rubare oltre 400 milioni di dollari

Accanto all'azione relativa a Binance, il Dipartimento di Giustizia ha annunciato il sequestro dell'infrastruttura cloud utilizzata nella campagna FaceStealer. Secondo l'FBI, l'indagine ha rivelato che i responsabili hanno compromesso persone attive nello sviluppo di criptovalute, Web3 e software open source, rubando oltre 400 milioni di dollari in criptovalute in 18 mesi.

Le riunioni video erano organizzate utilizzando account compromessi. Gli hacker presentavano durante le chiamate video footage preregistrati di persone conosciute dalle vittime, e hanno inoltre utilizzato video generati con l'intelligenza artificiale per impersonare figure influenti nel mondo delle criptovalute e del Web3.

Durante le videochiamate, gli attaccanti ponevano falsi problemi tecnici — come l'impossibilità di sentire la vittima — e poi fornivano link o richieste di correzione, che portavano all'installazione di malware sui dispositivi delle vittime, dando accesso alle criptovalute e ad altre informazioni.

Gli attaccanti attendevano mesi o persino anni dopo l'infezione iniziale del computer prima di effettuare furti o di dirottare gli account di comunicazione. Utilizzavano inoltre i computer compromessi per accedere ai contatti delle vittime, agli account sui social media e ai messaggi, al fine di individuare nuovi bersagli.

Agenti dell'FBI hanno sequestrato oltre 900 registrazioni webcam tramite un mandato emesso da un tribunale federale, hanno interrotto le risorse di cloud computing utilizzate nella campagna e hanno pubblicato un rapporto tecnico (avviso congiunto di cybersecurity) che spiega come l'operazione è stata condotta.

L'azione del DOJ evidenzia i rischi per il settore crypto e gli sviluppatori di software

FaceStealer prendeva di mira gli sviluppatori di software open source. La campagna mirava a compromettere gli account delle persone responsabili dello sviluppo e della manutenzione del software per poter eseguire attacchi alla supply chain sulle applicazioni di altre organizzazioni. In un attacco alla supply chain, compromettere uno sviluppatore o una dipendenza affidabile è rilevante perché ogni applicazione a valle che si affida a quel codice eredita l'esposizione al rischio.

L'impatto si estende quindi oltre i detentori di criptovalute. Gli hacker potrebbero danneggiare non solo le persone che lavorano con le criptovalute, ma anche le società di software e i loro prodotti, il che significa che le imprese che operano con software open source potrebbero essere a rischio anche se non trattano criptovalute.

Patrick Grandy, Assistant Director dell'ufficio FBI di Los Angeles, ha detto che l'operazione poteva ingannare persino gli esperti tecnici sfruttando contatti fidati e strumenti di videoconferenza affidabili. Le persone che non credevano di poter essere ingannate da tali attacchi, ha osservato, potrebbero non aver considerato tutti i possibili modi in cui ciò poteva verificarsi.

Per le imprese del settore crypto, gli sviluppi rafforzano l'importanza di verificare gli inviti alle riunioni, confermare le identità tramite canali di comunicazione separati ed evitare richieste di installazione di software non familiari. Anche il monitoraggio dei wallet e la risposta rapida alle notifiche delle forze dell'ordine sono divenuti fondamentali per gli exchange e i fornitori di infrastrutture.

Secondo il Dipartimento di Giustizia, il tracciamento, il congelamento, il sequestro e la confisca degli asset collegati a Binance continuano. Le indagini su entrambe le operazioni, TraderTraitor e FaceStealer, sono in corso e le autorità hanno effettuato richieste di report sulle attività sospette. Ciò che andrà osservato d'ora in poi è di natura procedurale: se i vincoli evolveranno verso la confisca definitiva, e se seguiranno ulteriori sequestri man mano che gli investigatori tracciano il resto dei fondi rubati.