Le autorità statunitensi hanno ottenuto l'approvazione giudiziaria per sequestrare o vincolare oltre 1,2 miliardi di dollari in criptovalute rubate nell'hack di ottobre ai danni dell'exchange Binance. Il Dipartimento di Giustizia ha annunciato l'azione il 12 novembre, due settimane dopo la divulgazione del furto da parte della piattaforma, come indicato in un comunicato stampa ufficiale. I fondi oggetto dell'azione fanno parte di un totale più ampio di oltre 2,7 miliardi di dollari congelati grazie a sforzi congiunti del governo e del settore privato.

L'FBI attribuisce l'attacco a TraderTraitor, un gruppo di hacker collegato alla Corea del Nord, mentre Binance ha stimato le proprie perdite in 6,34 miliardi di dollari, una cifra che resta ben al di sopra degli importi congelati finora. In un'operazione separata, gli agenti federali hanno inoltre sequestrato infrastrutture cloud collegate a FaceStealer, uno schema di false videochiamate che, secondo gli ufficiali, ha sottratto oltre 400 milioni di dollari in criptovalute negli ultimi 18 mesi. Il Dipartimento ha inquadrato le due misure come parte del proprio sforzo per contrastare ciò che descrive come il massiccio furto di criptovalute da parte della Corea del Nord.

I provvedimenti giudiziari prendono di mira i proventi dell'hack di Binance

L'FBI ha attribuito l'attacco, avvenuto il 29 ottobre e che ha riguardato diverse criptovalute detenute dall'exchange, al gruppo TraderTraitor. La Corea del Nord ha negato il proprio coinvolgimento nel furto, ma gli ufficiali statunitensi affermano che il furto di criptovalute contribuisce a finanziare i programmi di governo e di armamento del paese.

Secondo il Dipartimento di Giustizia, gli oltre 1,2 miliardi di dollari coperti dall'autorizzazione giudiziaria sono inclusi nel totale più ampio dei fondi congelati e non costituiscono una somma aggiuntiva da sommare ai 2,7 miliardi di dollari. Il congelamento degli asset può impedirne lo spostamento, mentre il sequestro o il vincolo autorizzati dal tribunale rappresentano un ulteriore passaggio del procedimento legale. Nessuna delle due cifre implica che tutta la criptovaluta rubata sia stata recuperata o restituita.

Gli investigatori stanno ancora tracciando gli asset mentre gli hacker spostano i fondi attraverso exchange, mixer e bridge, secondo il Dipartimento. I bridge trasferiscono asset tra blockchain, mentre i mixer possono oscurarne la cronologia delle transazioni.

Dopo l'hack, l'FBI ha dichiarato di aver osservato gli attaccanti convertire gli asset rubati principalmente in Ether. L'agenzia ha invitato i fornitori di servizi cripto a bloccare le transazioni collegate agli indirizzi identificati.

Binance ha dichiarato che gli attaccanti hanno avuto accesso a un servizio interno di firma dei wallet e hanno avviato trasferimenti al di fuori del normale processo di prelievo. L'indagine ha descritto un'operazione articolata in più fasi, che comprendeva finti colloqui di lavoro, download di malware e strumenti interni compromessi, e l'exchange ha dichiarato che società di sicurezza indipendenti avrebbero fornito ulteriori verifiche dopo l'attacco.

Il 12 novembre, Binance ha dichiarato di aver completato la copertura degli asset interessati dall'hack utilizzando risorse aziendali. L'exchange ha inoltre pubblicato un nuovo snapshot delle riserve, sebbene la prova crittografica correlata, l'elemento tipicamente utilizzato per rendere tali snapshot verificabili in modo indipendente, fosse ancora in fase di completamento. La sostituzione degli asset interessati non significa che l'exchange abbia recuperato tutte le monete rubate, e sia la prova ancora pendente sia le verifiche indipendenti che Binance ha detto seguiranno rimangono questioni aperte.

Come FaceStealer usava riunioni finte per rubare criptovalute

Le autorità hanno annunciato l'azione di enforcement contro FaceStealer separatamente dal caso dell'hack di Binance. Il Dipartimento di Giustizia ha dichiarato di aver sequestrato le infrastrutture cloud utilizzate dagli hacker nordcoreani responsabili della campagna, un'azione mirata all'hosting e agli strumenti alla base dello schema e non a fondi rubati specifici. L'FBI ha dichiarato che FaceStealer prendeva di mira persone che lavoravano nel settore delle criptovalute e del Web3, e che gli attaccanti hanno anche puntato in misura crescente sugli sviluppatori che mantengono software open source.

Lo schema iniziava con account di messaggistica compromessi appartenenti a vittime precedenti. Gli hacker utilizzavano quegli account per invitare i contatti delle vittime a videoconferenze su siti progettati per assomigliare a Zoom o Microsoft Teams. Una volta dentro, i bersagli vedevano registrazioni di persone che riconoscevano, secondo gli investigatori. In alcuni casi, gli attaccanti hanno anche utilizzato video generati dall'IA di personaggi noti del settore cripto.

Gli hacker sostenevano quindi che vi fosse un problema tecnico, come un problema audio, e fornivano un link o istruzioni per una presunta soluzione che instead installava malware. Il software poteva aiutarli a rubare criptovalute o ad accedere ad altri sistemi. Gli account compromessi davano inoltre agli attaccanti accesso ai contatti e alle conversazioni passate, informazioni che li aiutavano ad avvicinare nuovi bersagli con messaggi che sembravano provenire da qualcuno di familiare.

In base a un mandato federale, l'FBI ha sequestrato oltre 900 video webcam di vittime di FaceStealer. Gli investigatori hanno dichiarato che gli attaccanti potevano riutilizzare le registrazioni di una vittima per impersonarla in successive chiamate fraudolente con i suoi contatti fidati.

L'FBI ha anche avvertito che l'accesso al dispositivo o agli account software di uno sviluppatore potrebbe consentire attacchi alle applicazioni ampiamente utilizzate che quello sviluppatore mantiene, una violazione che potrebbe esporre chiunque scarichi tale software.

Fonte: Blockonomi