Amerykański Departament Sprawiedliwości (DOJ) uzyskał zgodę sądu na zajęcie lub ograniczenie ponad 1,2 mld USD w kryptowalutach skradzionych z Binance przez północnokoreańskich hakerów wojskowych. Akcja egzekucyjna, ogłoszona 12 listopada, dotyczy środków związanych z cyberatakiem, który urzędnicy opisują jako atak o wartości 6,3 mld USD, i stanowi część szerszej strategii zakłócania operacji kradzieży kryptowalut prowadzonych przez reżim (komunikat Departamentu Sprawiedliwości).

Od ataku z 29 października rząd USA we współpracy z partnerami zamroził ponad 2,7 mld USD skradzionych kryptowalut. Kwota objęta nakazem sądowym DOJ stanowi niemal połowę zamrożonych skradzionych środków, a dochodzenia mające na celu namierzenie reszty wciąż trwają. Reakcja przebiegła szybko: włamanie nastąpiło 29 października, FBI wydało alert o przypisaniu ataku 31 października, a działanie zatwierdzone przez sąd nastąpiło 12 listopada. FBI przypisało atak grupie TraderTraitor (alert cybernetyczny FBI).

Akcja z 12 listopada dotyczy również drugiego powiązanego z Koreą Północną przedsięwzięcia, FaceStealer, które w ciągu 18 miesięcy ukradło ponad 400 mln USD w kryptowalutach przy użyciu nagrań wideo przygotowanych wcześniej i technologii deepfake.

Departament Sprawiedliwości Uderza w Kradzieże Kryptowalut Korei Północnej

DOJ twierdzi, że KRLD wykorzystuje kradzieże kryptowalut jako sposób pozyskiwania pieniędzy na finansowanie rządu i nielegalnego uzbrojenia. Najnowsza seria działań objęła wiele agencji, w tym Division of National Security, Criminal Division, FBI, U.S. Secret Service oraz IRS Criminal Investigation.

The US Department of Justice seized infrastructure linked to North Korea's $400 million FaceStealer crypto theft scheme and froze over $1.2 billion in cryptocurrency stolen from Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Źródło: post na X

Zaangażowanie dostawców usług aktywów wirtualnych umożliwiło władzom zamrożenie miliardów dolarów, zanim pieniądze opuściły ich jurysdykcję. Dla branży kryptowalut ten szczegół pokazuje, jak wyniki działań egzekucyjnych mogą zależeć od współpracy dostawców usług: środki przechowywane na giełdzie lub platformie powierniczej mogą zostać unieruchomione, zanim zostaną rozproszone. Zastępca prokuratora generalnego A. Tysen Duva wyjaśnił, że Criminal Division i jej partnerzy działali szybko, aby zatrzymać około połowę ogromnego włamania na Binance.

Sąd nakazał rządowi zajęcie lub ograniczenie ponad 1,2 mld USD z zamrożonych 2,7 mld USD. Ta różnica ma znaczenie: zamrożenie kryptowalut oznacza uniemożliwienie przepływu pieniędzy, natomiast ograniczenie oznacza uzyskanie prawa do zajęcia środków.

TraderTraitor Przesuwa Skradzione Aktywa z Binance Przez Sieci Kryptowalut

FBI oświadczyło, że za atakiem na Binance z 29 października stali żołnierze Koreańskiej Republiki Ludowo-Demokratycznej, działający pod pseudonimem "TraderTraitor". W alercie cybernetycznym wydanym 31 października FBI poinformowało, że sprawcy przenosili aktywa na konta, gdzie skradzione środki były wymieniane na Ether (ETH).

FBI stwierdziło, że sprawcy będą korzystać z aplikacji zdecentralizowanych finansów (DeFi) i usług natychmiastowej wymiany, aby przekształcić kryptowaluty w inne formy środków. To utrudni śledczym namierzenie transakcji, ponieważ pieniądze będą przepływać przez wiele sieci blockchain i aktywa cyfrowe.

FBI zaapelowało do operatorów giełd kryptowalut, usług DeFi, firm zajmujących się analizą blockchain oraz dostawców infrastruktury o blokowanie wszelkich transakcji związanych z adresami portfeli, które opublikowano w związku z operacją prania pieniędzy.

Dochodzenie wciąż trwa, ponieważ północnokoreańscy hakerzy nieustannie próbują przenosić skradzione środki przy użyciu mostów kryptowalutowych, miksów i giełd.

FaceStealer Używa Deepfake, by Ukraść Ponad 400 Mln USD

Oprócz działań związanych z Binance Departament Sprawiedliwości ogłosił przejęcie infrastruktury chmurowej wykorzystywanej w kampanii FaceStealer. Według FBI dochodzenie ujawniło, że sprawcy przejęli kontrolę nad osobami zajmującymi się kryptowalutami, Web3 oraz tworzeniem oprogramowania open-source i ukradli ponad 400 mln USD w kryptowalutach w ciągu 18 miesięcy.

Wideorozmowy były umawiane przy użyciu skompromitowanych kont. Hakerzy prezentowali podczas rozmów wcześniej nagrane materiały wideo osób znanych ofiarom, a także korzystali z filmów generowanych przez sztuczną inteligencję, by podszywać się pod wpływne postacie ze świata kryptowalut i Web3.

Podczas wideorozmów sprawcy przedstawiali fałszywe problemy techniczne — na przykład niemożność usłyszenia ofiary — a następnie podawali linki lub instrukcje naprawy, które prowadziły do instalacji złośliwego oprogramowania na urządzeniach ofiar, dającego dostęp do kryptowalut i innych informacji.

Sprawcy czekali miesiącami, a nawet latami po początkowym zainfekowaniu komputera, zanim przeprowadzali kradzieże lub przejmowali konta komunikacyjne. Wykorzystywali także skompromitowane komputery, by uzyskać dostęp do kontaktów ofiar, kont w mediach społecznościowych i wiadomości w celu zdobycia kolejnych celów.

Agenci FBI przejęli ponad 900 nagrań z kamer internetowych na podstawie nakazu wydanego przez sąd federalny, zniszczyli zasoby przetwarzania w chmurze wykorzystywane w kampanii i opublikowali raport techniczny (wspólne zalecenie cyberbezpieczeństwa) wyjaśniający, jak przeprowadzono operację.

Działania DOJ Uwydatniają Ryzyka dla Kryptowalut i Deweloperów Oprogramowania

FaceStealer celował w deweloperów oprogramowania open-source. Kampania miała na celu włamanie na konta osób odpowiedzialnych za tworzenie i utrzymywanie oprogramowania, aby przeprowadzać ataki na łańcuch dostaw w aplikacjach innych organizacji. W ataku na łańcuch dostaw przejęcie kontroli nad zaufanym deweloperem lub zależnością ma znaczenie, ponieważ każda aplikacja zależna od tego kodu dziedziczy ryzyko.

Skutki ataku wykraczają więc poza posiadaczy kryptowalut. Hakerzy mogą zaszkodzić nie tylko osobom pracującym z kryptowalutami, lecz także firmom software'owym i ich produktom, co oznacza, że firmy korzystające z oprogramowania open-source mogą być zagrożone nawet wtedy, gdy nie obracają kryptowalutami.

Patrick Grandy, zastępca dyrektora biura terenowego FBI w Los Angeles, powiedział, że operacja mogła zmylić nawet ekspertów technicznych, wykorzystując zaufane kontakty i niezawodne narzędzia do wideokonferencji. Jak zauważył Grandy, osoby, które nie wierzyły, że mogą paść ofiarą takich ataków, mogły nie rozważyć wszystkich możliwych sposobów ich przeprowadzenia.

Dla firm kryptowalutowych te wydarzenia podkreślają znaczenie sprawdzania zaproszeń na spotkania, weryfikacji tożsamości odrębnymi kanałami komunikacji oraz unikania nieznanych prompcji do instalacji oprogramowania. Monitorowanie portfeli oraz szybka reakcja na powiadomienia organów ścigania stały się również kluczowe dla giełd i dostawców infrastruktury.

Według Departamentu Sprawiedliwości namierzanie, zamrażanie, przejmowanie i konfiskata aktywów związanych z Binance trwają. Dochodzenia w obu operacjach — TraderTraitor i FaceStealer — są w toku, a władze złożyły wnioski o raporty o podejrzanych działaniach. Co warto obserwować dalej, to aspekty proceduralne: czy ograniczenia przejdą w ostateczną konfiskatę i czy nastąpią kolejne przejęcia, gdy śledczy namierzą resztę skradzionych środków.