Il DOJ può sequestrare o sottoporre a vincolo oltre 1,2 miliardi di dollari in criptovalute rubate a Binance

Il Dipartimento della Giustizia degli Stati Uniti ha annunciato il 12 novembre 2026 di aver ottenuto l’autorizzazione di un tribunale a sequestrare o sottoporre a vincolo criptovalute per un valore superiore a 1,2 miliardi di dollari, rubate a Binance. Grazie agli sforzi congiunti del governo statunitense e del settore privato, sono stati congelati oltre 2,7 miliardi di dollari dopo il furto di più di 6 miliardi di dollari in asset virtuali dall’exchange, avvenuto il 29 ottobre 2026 circa.

L’annuncio riguarda l’autorizzazione di un tribunale a sequestrare o sottoporre a vincolo una parte dell’importo congelato, non una confisca già perfezionata. Il dipartimento ha dichiarato che le attività per tracciare, congelare, sequestrare e confiscare gli asset sono ancora in corso, mentre gli attori di TraderTraitor continuano a riciclarli attraverso bridge di criptovalute, mixer ed exchange. TraderTraitor è il nome usato dall’FBI per indicare la specifica attività informatica dolosa nordcoreana responsabile del furto.

Il procuratore generale aggiunto A. Tysen Duva, della Divisione penale, ha attribuito alla sezione Computer Crime and Intellectual Property della divisione e ai partner delle forze dell’ordine il merito di aver congelato miliardi di dollari prima che gli asset diventassero irraggiungibili per le autorità. «In qualità di referente del Dipartimento per il settore degli asset digitali, la Divisione penale ha sfruttato rapidamente ed efficacemente le proprie competenze per bloccare immediatamente circa la metà dei fondi sottratti in questa violazione storica».

Il coordinamento delle operazioni di recupero coinvolge agenzie e fornitori di servizi

La Sezione per la sicurezza informatica della Divisione per la sicurezza nazionale, la sezione Computer Crime and Intellectual Property della Divisione penale, l’Ufficio del procuratore degli Stati Uniti per il Distretto di Columbia e i partner delle forze dell’ordine hanno collaborato con i fornitori di servizi per gli asset virtuali per intercettare gli asset rubati. L’ufficio dell’FBI di Los Angeles, la Divisione informatica e l’Unità per gli asset virtuali stanno coordinando le attività di recupero dell’FBI con i Servizi segreti degli Stati Uniti e la Divisione investigativa penale dell’IRS.

L’avviso dell’FBI del 31 ottobre 2026 ha attribuito il furto alla Corea del Nord, ha segnalato conversioni osservate degli asset rubati, principalmente in Ether, e ha previsto ulteriori operazioni di riciclaggio attraverso la DeFi e i servizi di scambio istantaneo. L’FBI, i Servizi segreti e la Divisione investigativa penale dell’IRS hanno utilizzato l’avviso per esortare gli operatori di nodi, gli exchange istantanei, i servizi DeFi, le società di analisi della blockchain e gli altri fornitori di servizi per gli asset virtuali a bloccare le transazioni che coinvolgono gli indirizzi elencati o che ne derivano.

Smantellamento separato dell’infrastruttura di FaceStealer

Un’operazione distinta, annunciata dall’Ufficio del procuratore degli Stati Uniti per il Distretto centrale della California, ha interrotto l’infrastruttura basata sul cloud utilizzata da FaceStealer, una campagna nordcoreana di ingegneria sociale che, secondo l’FBI, ha sottratto oltre 400 milioni di dollari in criptovalute nei 18 mesi precedenti l’annuncio. In esecuzione di un mandato federale, l’FBI ha sequestrato più di 900 video delle webcam delle vittime.

L’avviso dell’FBI su FaceStealer descrive piattaforme di videoconferenza contraffatte, video registrati di nascosto tramite webcam e account di comunicazione dirottati, usati per attirare le vittime in riunioni false ma realistiche. Video preregistrati o deepfake simulavano persone fidate; poi un falso errore tecnico induceva le vittime a seguire un link o un prompt che installava malware. In diversi casi segnalati, il furto di criptovalute e il dirottamento degli account si sono verificati da alcuni mesi a oltre un anno dopo la compromissione iniziale.

La campagna prendeva di mira il personale del settore delle criptovalute e del Web3 e, sempre più spesso, gli sviluppatori e i manutentori di software open source. Secondo l’FBI, gli attori cercavano di accedere ai loro dispositivi e agli account dei repository software con l’obiettivo di compromettere la catena di fornitura del software. Tale accesso avrebbe potuto consentire la distribuzione di codice dannoso tramite software ampiamente utilizzati, con possibili ripercussioni su milioni di utenti a valle.

Le due operazioni intervengono in fasi diverse delle attività di furto di criptovalute della Corea del Nord: preservare gli asset sottratti a Binance e interrompere le infrastrutture utilizzate per compromettere nuove vittime. Nel caso di Binance, l’entità del recupero finale resta legata al proseguimento delle attività di tracciamento, sequestro e confisca, mentre gli attori continuano a spostare gli asset attraverso bridge, mixer ed exchange.