L’FBI ha sequestrato l’infrastruttura informatica utilizzata da un gruppo hacker legati alla Corea del Nord, in un’operazione annunciata giovedì 12 novembre dal dipartimento di Giustizia statunitense. La truffa cominciava con un invito a una videochiamata dall’account di un amico o un parente dietro il quale si celava l’hacker. Il nome assegnato dagli investigatori al gruppo di truffatori è proprio FaceStealer e nell’arco di un anno e mezzo sarebbero riusciti a sottrarre 400 milioni di dollari in criptovalute.
“FaceStealer”: le modalità della truffa
I facestealer agivano sottraendo degli account a persone reali per poi contattare loro parenti, conoscenti o amici. Durante le chiamate, secondo gli investigatori, gli aggressori mostravano filmati registrati di nascosto dalle webcam delle vittime o video manipolati dall’intelligenza artificiale. L’obiettivo era far credere all’interlocutore di parlare con qualcuno che conosceva e quindi conquistare la sua fiducia.
La conversazione doveva convincere la persona contattata a installare un malware, un programma che consentiva al gruppo di accedere al computer e sottrarre le criptovalute. Gli aggressori non si limitavano a questo: registravano anche le immagini dei nuovi interlocutori, in questo modo il materiale poteva essere riutilizzato nelle truffe successive, insieme alle rubriche e agli account ai quali riuscivano ad accedere.
L’FBI sequestra 900 filmati di persone inconsapevoli ai FaceStealer
L’FBI ha sequestrato oltre 900 filmati dai FaceStealer in cui venivano riprese le vittime del furto d’identità dalla webcam. Il numero delle persone derubate però resta da chiarire, a fronte del valore complessivo dei furti indicato dal dipartimento di Giustizia.
I bersagli erano soprattutto persone che lavoravano nel settore delle criptovalute. Gli investigatori hanno però rilevato tentativi sempre più frequenti di colpire anche gli sviluppatori e i manutentori di programmi a codice aperto. Secondo le autorità statunitensi, il controllo degli account di chi può modificare il codice di un progetto potrebbe permettere agli aggressori di raggiungere anche gli utenti di quel programma.
Il furto a Binance e l’intervento sui fondi
Il dipartimento di Giustizia ha annunciato anche un secondo intervento, relativo al furto di fine ottobre ai danni di Binance, la maggiore piattaforma di scambio di criptovalute per volume di transazioni. L’FBI ha attribuito il colpo a TraderTraitor, un altro gruppo legato alla Corea del Nord.
Il valore complessivo delle criptovalute sottratte è stato stimato in 6,3 miliardi di dollari. Le autorità statunitensi hanno ottenuto l’autorizzazione giudiziaria a sequestrare o vincolare fondi per oltre 1,2 miliardi.
Secondo Binance, anche in questo caso gli aggressori avevano organizzato falsi colloqui di lavoro per ingannare un ingegnere informatico della società. Secondo gli analisti, agli autori del furto potrebbero servire mesi per riciclare le somme sottratte; inoltre le transazioni sulle blockchain pubbliche sono visibili: gli investigatori possono così seguire almeno una parte degli spostamenti dei fondi.
Dietro c’è la Corea del Nord?
Secondo le autorità statunitensi, i proventi di queste operazioni vanno al governo di Pyongyang che li utilizza per aggirare le sanzioni internazionali e finanziare i propri programmi di armamento, compreso quello missilistico. Già nel settembre 2024 l’FBI aveva avvertito le aziende del settore delle criptovalute che gruppi legati alla Corea del Nord prendevano di mira i loro dipendenti con false offerte di lavoro e proposte di investimento.
Uno dei precedenti più rilevanti per dimensioni risale al febbraio 2025, quando dalla piattaforma di scambio Bybit furono sottratte criptovalute per circa 1,5 miliardi di dollari. L’FBI attribuì il furto a TraderTraitor, il gruppo che le autorità statunitensi ritengono responsabile anche del successivo attacco a Binance.