Il Dipartimento di Giustizia degli Stati Uniti ha ottenuto l'autorizzazione del tribunale per sequestrare o vincolare oltre 1,2 miliardi di dollari in criptovalute collegati all'hack di ottobre contro l'exchange Binance, mentre gli investigatori federali intensificano gli sforzi per recuperare le risorse presumibilmente rubate da hacker nordcoreani.

In un annuncio di giovedì, il DOJ ha dichiarato che le autorità e i partner del settore privato hanno congelato oltre 2,7 miliardi di dollari in criptovalute rubate. Il dipartimento ha affermato che l'iniziativa riflette il coordinamento tra agenzie governative e aziende del settore privato. Gli investigatori continuano a tracciare ulteriori fondi in movimento attraverso bridge blockchain, mixer di criptovalute ed exchange, dove le risorse rubate possono essere trasferite o nascoste.

Il DOJ punta alle risorse legate all'hack da 6 miliardi di dollari contro Binance

Gli investigatori federali hanno attribuito l'attacco del 29 ottobre contro Binance a TraderTraitor, un gruppo di hacker associato alle operazioni dei servizi segreti militari della Corea del Nord. Il DOJ stima che il gruppo abbia rubato più di 6 miliardi di dollari durante la breccia.

Binance aveva in precedenza quantificato le perdite in circa 6,3 miliardi di dollari e ha dichiarato di aver stanziato 6,34 miliardi di dollari di fondi aziendali per coprire le risorse interessate. L'exchange ha anche confermato di aver completato la copertura delle risorse dei clienti impattate e di aver pubblicato un proof-of-reserves aggiornato. Poiché Binance ha coperto le risorse dei clienti con fondi aziendali, lo sforzo federale di recupero si concentra sulle risorse rubate stesse piuttosto che sul rimborso dei clienti.

L'azione approvata dal tribunale che copre oltre 1,2 miliardi di dollari fa parte di uno sforzo più ampio per limitare il movimento delle criptovalute rubate. La cifra separata di oltre 2,7 miliardi di dollari rappresenta le risorse congelate attraverso il più ampio sforzo di recupero, anziché l'importo coperto dall'ultima autorizzazione del tribunale. Rispetto alle perdite stimate in 6 miliardi di dollari, entrambi gli importi rappresentano un recupero parziale, con il restante soggetto a tracciamento in corso tra servizi e reti.

Il Vice Procuratore Aggiunto Principale M. Scott Proctor ha accusato la Corea del Nord di utilizzare il furto di criptovalute per finanziare il proprio governo e i programmi di armamenti. Ha dichiarato che la Divisione Sicurezza Nazionale del DOJ continuerebbe a inseguire le risorse rubate e a cercarne la restituzione. Il coinvolgimento della divisione riflette l'approccio del governo al furto di criptovalute legato a Stati come questione di sicurezza nazionale anziché come comune crimine finanziario.

Le autorità non hanno fornito una cronologia completa per il recupero dei fondi. Le operazioni di tracciamento blockchain rimangono in corso mentre gli investigatori seguono ulteriori transazioni attraverso diversi servizi e reti. In assenza di una cronologia di recupero annunciata, i futuri fascicoli giudiziari e le azioni di sequestro offriranno il segnale pubblico più chiaro sull'avanzamento dello sforzo.

L'FBI sequestra l'infrastruttura dietro l'operazione nordcoreana FaceStealer

Il DOJ ha anche annunciato azioni contro una campagna separata di furto di criptovalute legata alla Corea del Nord, nota come FaceStealer. Le autorità federali hanno sequestrato l'infrastruttura cloud che presumibilmente supportava l'operazione, che l'FBI stima abbia causato oltre 400 milioni di dollari in perdite di criptovalute negli ultimi 18 mesi.

Secondo gli investigatori, gli attaccanti hanno compromesso account di comunicazione e li hanno utilizzati per organizzare riunioni video fraudolente con potenziali vittime. Si sono fatti passare per persone conosciute dai loro bersagli tramite riprese preregistrate e deepfake generati dall'intelligenza artificiale. La tattica mostra come i media generati dall'IA siano diventati strumenti pratici per la criminalità finanziaria, consentendo agli attaccanti di prendere in prestito l'immagine di contatti fidati su piattaforme video ampiamente utilizzate.

Durante le chiamate, i criminali hanno introdotto problemi tecnici fabbricati e hanno convinto le vittime a installare software dannoso. Il software poteva quindi compromettere wallet di criptovalute e sistemi informatici, dando agli attaccanti accesso alle risorse digitali e ad altre informazioni.

Patrick Grandy, direttore assistente dell'ufficio FBI di Los Angeles, ha avvertito che lo schema sfruttava relazioni di fiducia e piattaforme di videoconferenza ampiamente utilizzate.

Gli hacker hanno ritardato lo sfruttamento dei computer compromessi

Gli investigatori hanno scoperto che in alcuni casi gli attaccanti hanno atteso mesi, o persino più di un anno, prima di sfruttare i computer precedentemente compromessi, lasciando le intrusioni in stato dormiente. La campagna ha comportato anche l'uso di informazioni di contatto rubate per identificare ulteriori bersagli. Tale stato dormiente complica la risposta agli incidenti, poiché un'intrusione che emerge oggi può risalire a una compromissione avvenuta molto prima che qualsiasi furto fosse notato.

Tra i bersagli vi erano sviluppatori open source il cui software poteva dare agli attaccanti accesso a un gruppo più ampio di utenti. I risultati evidenziano come una compromissione iniziale possa essere utilizzata per facilitare ulteriori attacchi molto tempo dopo l'intrusione originale.

Gli agenti federali hanno sequestrato oltre 900 registrazioni webcam associate alle vittime di FaceStealer e hanno emesso linee guida per le persone interessate.

I due casi illustrano l'ampiezza della campagna del DOJ contro le operazioni di furto di criptovalute legate alla Corea del Nord. Mentre le autorità hanno ottenuto restrizioni su miliardi di dollari in risorse sospettate di essere rubate, le indagini sia sulla breccia di Binance sia sulla campagna FaceStealer rimangono in corso, lasciando aperto quanto altro dei fondi rubati potrà essere recuperato e quali azioni seguiranno allo smantellamento di FaceStealer.