Il Dipartimento di Giustizia degli Stati Uniti ha dichiarato giovedì di aver ottenuto l'autorizzazione del tribunale per sequestrare o vincolare oltre 1,2 miliardi di dollari in criptovalute rubate da Binance — nell'ambito di un congelamento più ampio superiore a 2,7 miliardi che, secondo i funzionari, ha fermato circa la metà dell'estorsione subita dall'exchange a opera della Corea del Nord a ottobre.

In un annuncio di giovedì, il dipartimento ha dichiarato che il 29 ottobre o in una data vicina, membri dell'esercito nordcoreano — indicati dall'FBI come TraderTraitor — hanno rubato da Binance attività virtuali per oltre 6 miliardi di dollari. Questa cifra risulta inferiore ai 6,34 miliardi di dollari che Binance ha coperto dall'attacco.

Binance ha dichiarato di aver completato la copertura delle attività colpite dalla violazione, sostituendo i token interessati con fondi aziendali anziché recuperando le monete rubate, secondo il comunicato dell'exchange. I due interventi procedono su binari separati: il DOJ lavora per intercettare quanto rubato, mentre Binance ha dichiarato che gli utenti sono stati risarciti integralmente attraverso il suo Secure Asset Fund for Users (una riserva di emergenza creata dall'exchange nel 2018), una parte del suo fondo assicurativo per i futures e la sua tesoreria.

Il Vice Procuratore Generale Aggiunto A. Tysen Duva della Divisione Penale del DOJ ha dichiarato che il dipartimento e i suoi partner sono riusciti a "fermare immediatamente circa la metà di questa storica violazione" congelando le attività rubate "prima che uscissero dalla portata delle forze dell'ordine".

Il congelamento di oltre 2,7 miliardi di dollari è una cifra congiunta che copre gli sforzi del governo statunitense e del settore privato. Di tale totale, il DOJ ha dichiarato di aver già ottenuto l'autorizzazione del tribunale per sequestrare o vincolare oltre 1,2 miliardi di dollari; per il resto dei fondi congelati non è stata annunciata alcuna autorizzazione giudiziaria. I documenti del tribunale non sono stati pubblicati insieme all'annuncio.

Il miliardo e 200 milioni di dollari non rappresenta denaro di nuova ricupero. Provengono dai circa 2,85 miliardi di dollari che Binance ha dichiarato il 3 novembre essere stati congelati o intercettati, e l'autorizzazione del tribunale ottenuta giovedì è il passaggio giuridico che consente al governo di avviare l'acquisizione della proprietà di tali fondi tramite confisca. Finora, le attività erano semplicemente state congelate presso gli emittenti dei token.

Anche il congelamento non segna la fine della pista. Secondo il DOJ, gli attori TraderTraitor stanno ancora spostando le attività rubate attraverso bridge, mixer ed exchange di criptovalute — servizi che complicano il compito di tracciare i fondi rubati — e il lavoro di tracciamento, sequestro e confisca continua.

La settimana scorsa, il 31 ottobre, l'FBI, insieme ai Services Segreti statunitensi e all'Investigazione Criminale dell'IRS, ha emesso un Cyber Alert attribuendo il furto alla Corea del Nord e esortando i fornitori di servizi di attività virtuali a bloccare le transazioni con, o derivate da, gli indirizzi utilizzati dagli attori. L'avviso ha dichiarato che gli investigatori hanno visto le attività rubate convertite principalmente in ether. Le agenzie statunitensi e gli investigatori delle Nazioni Unite hanno attribuito anni di furti di alto valore agli exchange a unità di hacking legate alla Corea del Nord, con proventi che, secondo i rapporti ONU, contribuiscono a finanziare i programmi di armamento del regime.

Un separat$400 milioni di dollari deepfake, e 900 video sequestrati

Separatamente dal caso DOJ-Binance, l'ufficio del procuratore statunitense per il Distretto Centrale della California e l'FBI hanno annunciato il sequestro dell'infrastruttura cloud utilizzata in una campagna di ingegneria sociale che l'agenzia chiama FaceStealer. L'FBI ha dichiarato che lo schema ha portato al furto di oltre 400 milioni di dollari in criptovalute negli ultimi 18 mesi ed è stato utilizzato anche in tentativi di compromettere le persone che mantengono software open-source — un passaggio che, secondo l'agenzia, sembra calcolato per abilitare attacchi alla supply chain.

Il metodo è una finta videochiamata. Secondo l'FBI, gli hacker nordcoreani, noti pubblicamente con nomi come APT38 e BlueNoroff, attirano i bersagli con inviti a riunioni inviati da account rubati a vittime precedenti. Una volta che il bersaglio si unisce, gli hacker riproducono un video preregistrato di webcam di una persona conosciuta dal bersaglio, oppure un deepfake di una figura nota del settore delle criptovalute, quindi introducono un finto errore tecnico e inviano una "correzione" che installa malware. In diversi casi, il furto è avvenuto da mesi fino a oltre un anno dopo la prima compromissione, mentre gli hacker attendevano che i saldi dei wallet crescessero.

Un rapporto FLASH dell'FBI di giovedì ha dichiarato che le riunioni si svolgono su versioni contraffatte di Zoom, Microsoft Teams e Google Meet, con inviti che spesso transitano attraverso account Telegram, LinkedIn, Slack o Discord compromessi. In base a un mandato federale, l'FBI ha sequestrato oltre 900 video di webcam di vittime di FaceStealer. L'agenzia ha pubblicato un hub dedicato alla campagna su fbi.gov/facestealer.

Il Vice Procuratore Generale Aggiunto Principal per la Sicurezza Nazionale M. Scott Proctor ha collegato entrambe le azioni di giovedì alla stessa accusa: "Il governo della Corea del Nord finanzia il proprio regime canaglia e il programma di armamenti illeciti attraverso il furto di criptovalute".

Il recupero dei fondi Binance rimane guidato dall'ufficio sul campo FBI di Los Angeles, dalla sua Divisione Cyber e dalla Virtual Asset Unit, in collaborazione con i Services Segreti e l'Investigazione Criminale dell'IRS. Il DOJ non ha dichiarato quanta parte del congelamento di oltre 2,7 miliardi di dollari, o dei 1,2 miliardi di dollari ora sottoposti ad autorità giudiziaria, sia in bitcoin.

Questo articolo è basato su un servizio di Micah Zimmerman, pubblicato originariamente da Bitcoin Magazine.