DOJ: ok al recupero di 1,2 miliardi in cripto rubate a Binance

I provvedimenti giudiziari riguardano oltre 1,2 miliardi di dollari

Il 12 novembre il Dipartimento di Giustizia degli Stati Uniti (DOJ) ha annunciato di aver ottenuto l’autorizzazione del tribunale a sequestrare o bloccare beni rubati da Binance per un valore superiore a 1,2 miliardi di dollari. Tali fondi facevano parte degli oltre 2,7 miliardi di dollari congelati grazie agli sforzi coordinati del governo e del settore privato. Il Dipartimento ha attribuito il furto di oltre 6 miliardi di dollari, avvenuto intorno al 29 ottobre, agli hacker militari nordcoreani. Il viceprocuratore generale aggiunto principale per la sicurezza nazionale, M. Scott Proctor, ha dichiarato:

«La Divisione per la Sicurezza Nazionale utilizzerà ogni strumento a sua disposizione per sequestrare e restituire i proventi illeciti della Corea del Nord».

Il Dipartimento ha collegato i furti di criptovalute da parte della Corea del Nord al finanziamento del suo governo e del programma di armamenti illeciti. Il sequestro pone i beni sotto la custodia o il controllo del governo; il vincolo ne limita il trasferimento mentre il procedimento è in corso.

Lo stesso annuncio del 12 novembre ha riguardato anche Facestealer, un’altra operazione nordcoreana che utilizzava video registrati di nascosto e deepfake per prendere di mira persone nei settori delle criptovalute e del Web3. Secondo il Dipartimento di Giustizia (DOJ), lo schema ha sottratto oltre 400 milioni di dollari in 18 mesi, e l’FBI ha sequestrato l’infrastruttura cloud alla base dell’operazione e oltre 900 video delle webcam delle vittime.

Binance ha dichiarato il 12 novembre di aver completato la copertura dei beni interessati dopo aver stanziato oltre 6,34 miliardi di dollari di fondi aziendali per coprire le perdite. L’exchange ha inoltre pubblicato un’istantanea delle riserve relativa a 198 token, che riportava i saldi alla mezzanotte UTC di quel giorno.

L’FBI ha richiesto il blocco delle transazioni collegate al furto

In un avviso del 31 ottobre, il Federal Bureau of Investigation (FBI) ha attribuito il furto ai danni di Binance a Tradertraitor, la denominazione attribuita dall’FBI all’attività di hacking nordcoreana. In collaborazione con il Servizio Segreto degli Stati Uniti e la Divisione Investigativa Criminale dell’IRS, l’FBI ha osservato che gli autori dell’attacco stavano convertendo le risorse rubate principalmente in ether. Si prevedeva un ulteriore riciclaggio attraverso la finanza decentralizzata (DeFi) e i servizi di scambio istantaneo, che consentono di scambiare una criptovaluta con un’altra.

Le autorità hanno esortato gli exchange, gli operatori di infrastrutture e altre aziende del settore delle risorse digitali a bloccare le transazioni che coinvolgono o derivano da indirizzi identificati. Il 3 novembre la Corea del Nord ha negato ogni responsabilità per l’attacco a Binance. Kim Yo-jong, sorella del leader nordcoreano Kim Jong Un, ha respinto l’attribuzione dell’FBI in una dichiarazione diffusa dai media statali.

Secondo il Dipartimento di Giustizia (DOJ), gli investigatori stavano seguendo la traccia dei fondi che transitavano attraverso i bridge — che trasferiscono asset tra blockchain —, i «mixer» e le piattaforme di scambio. Il Dipartimento ha affermato che le operazioni di tracciamento, congelamento, sequestro e confisca erano ancora in corso, poiché gli autori dell’attacco continuavano a riciclare gli asset.

La rete di riciclaggio complica il recupero

La società di analisi blockchain Elliptic, che rintraccia le transazioni in criptovaluta per identificare attività illecite, ha monitorato le conversioni di Solana, XRP e Tron rubati in Bitcoin. Il suo aggiornamento del 13 novembre ha contato quasi 27.000 portafogli, almeno 16 blockchain, almeno 36 servizi e oltre 83.000 transazioni nell’ambito dell’operazione di riciclaggio.

L’azienda ha inoltre identificato delle meme coin utilizzate per mascherare i proventi del furto da Binance su Tron, Solana e Near. Nell’attività su Tron e Near sono stati utilizzati token di nuova creazione, mentre la tattica su Solana ha coinvolto asset già esistenti. Il trading attraverso i pool di liquidità dei token ha permesso ai fondi rubati di passare da un portafoglio all’altro senza un trasferimento diretto che collegasse il mittente e il destinatario.

L’aggiornamento di Elliptic relativo al periodo dall’11 al 13 novembre ha descritto un’attività limitata, al di là di ulteriori scambi di XRP. I proventi convertiti avevano raggiunto circa 4.100 bitcoin, per un valore di 285 milioni di dollari all’epoca. Le stime relative al mixing includevano circa 11.000 ether in depositi collegati al riciclaggio su Tornado Cash.