L’FBI ha smantellato l’infrastruttura di una truffa nordcoreana chiamata FaceStealer, usata per sottrarre oltre 400 milioni di dollari in criptovalute in circa 18 mesi. Il Dipartimento di Giustizia statunitense ha anche ottenuto l’autorizzazione giudiziaria per sequestrare o trattenere più di 1,2 miliardi di dollari dei fondi rubati da Binance, attribuiti al gruppo TraderTraitor.

Una truffa costruita sulla fiducia

FaceStealer è una truffa che parte da una semplice videochiamata. Gli hacker prendono il controllo dell’account social o di messaggistica di una persona già colpita e la usano per invitare la vittima a una riunione online, facendola sembrare una persona conosciuta o un collega.

Durante la chiamata mostrano un video preregistrato di quella persona, così la vittima crede di parlare davvero con lei. In realtà gli hacker registrano anche il video della webcam della vittima, per usarlo più avanti per ingannare altri suoi contatti.

A un certo punto fanno sembrare che l’audio non funzioni e chiedono alla vittima di cliccare su un link per risolvere il problema. Quel link, però, installa un virus nel computer. Da quel momento gli hacker possono entrare nei suoi account, rubare criptovalute e accedere ai suoi contatti, per colpire anche altre persone.

Perché è così efficace

L’FBI definisce FaceStealer uno schema di ingegneria sociale “altamente efficace”, capace di ingannare anche utenti tecnicamente preparati e attenti alla sicurezza. Il punto non è soltanto il malware: è la combinazione tra piattaforme di videoconferenza considerate affidabili, relazioni personali reali e deepfake costruiti con l’ausilio dell’intelligenza artificiale.

Gli attaccanti hanno prodotto video deepfake di personaggi noti e influenti del mondo crypto e Web3, usandoli nelle chiamate per rafforzare la credibilità dell’inganno. In alcuni casi documentati, il furto di criptovalute o il dirottamento degli account di comunicazione è avvenuto mesi, o persino più di un anno, dopo la compromissione iniziale.

Dopo aver preso il controllo di un dispositivo, gli hacker consultavano rubriche, social network e app di messaggistica della vittima. Così ogni persona colpita diventava a sua volta un veicolo per raggiungere nuovi bersagli, trasformando la truffa in una rete che si autoalimenta.

I bersagli: crypto e open source

Le vittime principali sono state persone attive nel settore delle criptovalute e del Web3, ma l’attenzione si è estesa anche a chi sviluppa e mantiene software open source. L’obiettivo, secondo il Dipartimento di Giustizia, sarebbe ottenere l’accesso a dispositivi e account che controllano repository di codice, con la possibile finalità di avviare attacchi alla supply chain del software.

È un passaggio rilevante: compromettere uno sviluppatore non significa soltanto rubare fondi a un singolo individuo, ma potenzialmente introdurre codice malevolo o alterare componenti utilizzati da molti altri progetti. Per questo l’FBI ha sottolineato che FaceStealer non riguarda più soltanto il furto di criptovalute, ma anche lo sfruttamento della catena di fornitura del software open source.

L’FBI ha sequestrato, con un mandato federale, oltre 900 video registrati dalle webcam delle vittime. Non è stato reso pubblico il numero esatto delle persone derubate, ma il valore complessivo dei furti attribuiti alla campagna supera i 400 milioni di dollari.

Chi sono gli hacker

Il Dipartimento di Giustizia collega FaceStealer a gruppi di hacker nordcoreani noti con diversi nomi pubblici: Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff e Stardust Chollima. Sono denominazioni che ricercatori e autorità hanno usato nel tempo per descrivere attività spesso sovrapposte, legate a operazioni di furto di asset digitali e ingegneria sociale.

Secondo Washington, Pyongyang usa i proventi dei furti informatici su larga scala per finanziare il regime e il suo programma di armamenti. Il direttore delle operazioni del Cyber Branch dell’FBI, Brett Leatherman, ha affermato che i gruppi nordcoreani hanno rubato miliardi di dollari negli ultimi anni proprio per sostenere tali attività.

La Corea del Nord è uno dei Paesi più isolati al mondo e la maggior parte della popolazione ha un accesso molto limitato a internet. Il governo ha però costruito capacità cyber offensive sofisticate, reclutando e formando studenti particolarmente dotati nelle università e organizzandoli in unità che rispondono ai servizi di intelligence.

Il precedente Binance

L’annuncio su FaceStealer arriva dopo l’attacco a Binance, la maggiore piattaforma di scambio di criptovalute al mondo per volumi. L’azienda ha dichiarato che l’incidente, avvenuto il 29 ottobre, ha coinvolto circa 6,3 miliardi di dollari di asset digitali, rendendolo il più grande furto di criptovalute mai registrato.

L’FBI ha attribuito formalmente l’attacco a TraderTraitor, un gruppo di hacker nordcoreani collegato al più ampio Lazarus Group. Secondo le prime ricostruzioni, gli aggressori avrebbero compromesso il laptop di un ingegnere DevOps di Binance e, da lì, ottenuto accesso a un service container interno della piattaforma.

Binance ha precisato che non sarebbero state sottratte le private keys, i codici che permettono di disporre direttamente dei fondi custoditi nei portafogli. L’azienda ha comunque sospeso temporaneamente prelievi e depositi, avviato controlli di sicurezza e dichiarato di voler coprire integralmente le perdite con risorse proprie

Quanto è stato recuperato

Il Dipartimento di Giustizia ha dichiarato che, grazie alla collaborazione con fornitori di servizi per asset virtuali e altri partner del settore privato, sono stati congelati oltre 2,7 miliardi di dollari dei fondi rubati a Binance. Di questi, più di 1,2 miliardi sono già oggetto di sequestro o trattenuta autorizzata da un tribunale.

Binance aveva inoltre comunicato di aver recuperato circa il 90 per cento dei fondi colpiti, ricomprando le criptovalute necessarie con risorse aziendali. La società aveva a disposizione 5 miliardi di dollari in asset per i rimborsi e stava acquisendo gli ulteriori 1,3 miliardi necessari a completare la copertura.

Il recupero non è però concluso. Gli investigatori ritengono che TraderTraitor stia ancora riciclando parte del bottino attraverso bridge, mixer e exchange di criptovalute, tecniche usate per spezzare la tracciabilità delle transazioni e nascondere l’origine dei fondi.

Il ruolo delle stablecoin

Una parte importante del congelamento è stata possibile grazie agli emittenti di stablecoin. Tether avrebbe bloccato circa 1,6 miliardi di dollari in USDT, mentre Circle avrebbe congelato oltre 800 milioni di dollari in USDC, secondo le ricostruzioni riportate dopo l’attacco.

Le stablecoin, essendo ancorate a valute tradizionali come il dollaro, possono essere gestite dai loro emittenti con meccanismi di blocco in situazioni di emergenza. Questo le rende strumenti utili per il recupero dei fondi, ma non elimina il problema: una quota rilevante del bottino resta potenzialmente nelle mani degli hacker.