Il Dipartimento di Giustizia degli Stati Uniti ha annunciato il 12 novembre 2026 di aver ottenuto l'autorizzazione del tribunale per sequestrare o congelare oltre 1,2 miliardi di dollari in criptovalute presumibilmente rubate a Binance da hacker sponsorizzati dallo stato nordcoreano, segnando uno dei più grandi provvedimenti di enforcement singoli nel settore crypto nella storia degli USA. L'annuncio ha coperto due sforzi paralleli: il congelamento degli asset legati all'attacco all'exchange e lo smantellamento di una campagna di furto crypto separata, presumibilmente collegata.

Cosa coprono gli ordini del tribunale

Secondo il comunicato stampa del DOJ, i procuratori federali del Distretto di Columbia hanno ottenuto ordini di sequestro e congelamento autorizzati dal tribunale che coprono oltre 1,2 miliardi di dollari in asset virtuali collegati alla violazione di Binance. Ordini di questo tipo bloccano il movimento degli asset bersaglio mentre i procedimenti legali ne determinano la destinazione finale. L'azione rappresenta uno sforzo coordinato che coinvolge il Dipartimento di Giustizia, l'FBI, i Secret Service e la divisione Criminal Investigation dell'Internal Revenue Service (IRS).

Quando le misure autorizzate dal tribunale vengono combinate con i congelamenti eseguiti da agenzie governative statunitensi e partner del settore privato, il valore totale degli asset rimossi dalla circolazione supera i 2,7 miliardi di dollari, secondo l'annuncio del DOJ. Gli ordini ottenuti a Washington coprono circa un quinto dei 6 miliardi di dollari che il dipartimento afferma siano stati rubati nella violazione.

Nell'annuncio, il vice procuratore generale A. Tysen Duva ha descritto l'operazione come il congelamento "immediato di miliardi di dollari in asset digitali di Binance rubati prima che uscissero dalla portata delle forze dell'ordine". L'autorizzazione del tribunale è arrivata circa due settimane dopo la presunta violazione del 29 ottobre, una tempistica che il dipartimento ha collegato al mantenimento dei fondi rubati alla portata delle forze dell'ordine.

Presunto furto e attribuzione alla Corea del Nord

Il DOJ sostiene che il furto sia avvenuto il 29 ottobre 2026 o in una data vicina, quando TraderTraitor, un'unità dell'esercito nordcoreano, avrebbe rubato oltre 6 miliardi di dollari in asset virtuali a Binance — un episodio che il dipartimento ha definito il più grande attacco a un exchange mai registrato. Secondo il DOJ, TraderTraitor opera sotto una rete di alias che include Sapphire Sleet, BlueNoroff, APT38, UNC1069, Dangerous Password, CryptoCore e Stardust Chollima.

Secondo rapporti non confermati citati da The Record, gli investigatori ritengono che gli hacker abbiano ottenuto l'accesso iniziale tramite il dispositivo di un dipendente dopo mesi di preparazione, anche se questo metodo di intrusione non è stato confermato nella dichiarazione ufficiale del DOJ. Una singola fonte ha inoltre riferito che Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha smentito il coinvolgimento della Corea del Nord il 3 novembre 2026, anche se questa affermazione non è stata verificata in modo indipendente. Nessuno dei due dettagli è confermato, lasciando il metodo di accesso iniziale e la posizione ufficiale della Corea del Nord come questioni aperte mentre il caso si sviluppa.

La società di analisi blockchain Elliptic ha tracciato l'attività di riciclaggio attraverso circa 12.000 wallet su 11 blockchain, coinvolgendo oltre 40.000 transazioni, secondo dati citati da The Record. Una dispersione di tale scala sottolinea perché gli sforzi di recupero nei grandi furti crypto abbinano l'analisi blockchain all'azione delle forze dell'ordine. Con una tecnica osservata anche nell'attacco da 1,4 miliardi di dollari a Bybit, la Corea del Nord avrebbe creato almeno sei meme coin sulla blockchain NEAR tra il 5 e il 7 novembre, facendo circolare i fondi rubati attraverso i liquidity pool degli exchange decentralizzati per oscurare la traccia degli asset.

Il direttore delle operazioni del FBI Cyber Branch Brett Leatherman ha dichiarato nell'annuncio del DOJ: "Il regime nordcoreano si affida ai proventi dei furti di criptovalute su larga scala per finanziare il suo programma di armamenti illegale, rubando miliardi di dollari negli ultimi anni".

Operazione FaceStealer e rischio sistemico per gli sviluppatori

Accanto al recupero degli asset di Binance, il DOJ ha annunciato lo smantellamento di un'operazione separata attribuita ad APT38, lo stesso cluster di minacce nordcoreano citato tra gli alias di TraderTraitor. La campagna FaceStealer avrebbe rubato oltre 400 milioni di dollari in criptovalute in un periodo di 18 mesi, usando deepfake generati con l'AI e false videochiamate per ingannare le vittime. Quell'arco di 18 mesi segnala una campagna prolungata e non occasionale.

Nell'ambito dell'indagine su FaceStealer, l'FBI ha separatamente sequestrato oltre 900 video webcam delle vittime, con mandati eseguiti nel Distretto Centrale della California che coprivano il sequestro di infrastrutture cloud.

Meno riportata è la dimensione supply chain della campagna. Gli attori nordcoreani avrebbero preso di mira i maintainer di pacchetti JavaScript open source e crate Rust per inserire codice dannoso in librerie per sviluppatori ampiamente utilizzate. Tale rischio va oltre le singole vittime e tocca chiunque dipenda dai pacchetti interessati.

Impatto sul mercato e contesto di enforcement

BNB, il token nativo dell'exchange Binance, è sceso del 7,46% in 24 ore a 588,37 dollari, portando la capitalizzazione di mercato dell'asset a circa 77,38 miliardi di dollari, secondo dati di CoinGecko al 9 novembre 2026. I dati riflettono un istantanea rilevata tre giorni prima dell'annuncio del DOJ.

Implicazioni per l'infrastruttura di sviluppatori e Web3

Per l'economia dei creator e l'infrastruttura alla base della proprietà digitale, l'implicazione più ampia dell'annuncio risiede nella minaccia alla supply chain. Le piattaforme NFT, i marketplace e i protocolli di token-gating che si affidano a dipendenze JavaScript open source sono direttamente esposti alle tattiche mirate agli sviluppatori attribuite a FaceStealer. Man mano che gli attori nordcoreani evolvono dagli attacchi agli exchange verso l'avvelenamento degli strumenti che gli sviluppatori usano per costruire l'infrastruttura Web3, le revisioni di sicurezza delle piattaforme dovranno estendersi ben oltre il livello degli smart contract.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettua sempre le tue ricerche prima di prendere decisioni.