blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il dipartimento di Giustizia americano ha comunicato giovedì 12 novembre di aver ottenuto dal tribunale l’autorizzazione a sequestrare o vincolare oltre 1,2 miliardi di dollari delle criptovalute rubate a Binance intorno al 29 ottobre, un furto che l’FBI attribuisce a hacker militari nordcoreani noti all’FBI come TraderTraitor. Nello stesso comunicato dell’Office of Public Affairs il dipartimento spiega che gli sforzi di autorità e privati hanno congelato più di 2,7 miliardi di dollari sugli oltre 6 miliardi sottratti. È il primo passo legale per togliere il denaro ai ladri. Non è una confisca e a nessuno è stato restituito nulla.
Gli 1,2 miliardi non sono denaro fresco strappato ai portafogli degli hacker. Sono una quota di ciò che era già stato congelato nei primi giorni dopo l’attacco a Binance, soprattutto dagli emittenti di stablecoin. Giovedì è cambiato lo status giuridico di quella quota: un giudice ha consentito al governo di prenderne il controllo, o almeno di tenerla bloccata, mentre il caso va avanti.
Alle 17:45 UTC circa di venerdì 13 novembre, un giorno dopo, non risultano pubblici né un atto di accusa, né un mandato, né un numero di procedimento; Binance non ha diffuso alcuna dichiarazione sull’annuncio e il dipartimento non ha aggiornato le cifre. Il comunicato non indica il tribunale. Questo articolo prosegue il nostro resoconto sull’FBI che il 1° novembre ha indicato TraderTraitor, quando gli Stati Uniti avevano attribuito l’attacco e chiesto agli operatori di bloccare gli indirizzi, senza però toccare un dollaro.
Cosa ha detto il DOJ sui fondi dell’hack di Binance il 12 novembre
Il comunicato, che il dipartimento ha segnato come aggiornato il 12 novembre, dà quattro numeri e pochissime carte. Più di 6 miliardi di dollari rubati. Più di 2,7 miliardi congelati. Più di 1,2 miliardi coperti da autorizzazione del tribunale a sequestrare o vincolare. Circa metà della violazione fermata, nelle parole della Divisione penale.
Il procuratore generale aggiunto A. Tysen Duva, che guida quella divisione, ha detto che la risposta ha aiutato a «fermare subito circa metà di questa storica violazione». M. Scott Proctor, vice procuratore generale aggiunto principale per la sicurezza nazionale, ha impostato il caso come una questione di armamenti: «Il governo nordcoreano finanzia il suo regime canaglia e il suo programma di armi illecite con i furti di criptovalute». Ha aggiunto che la sua divisione userà ogni strumento per «sequestrare e restituire i guadagni illeciti della Corea del Nord», senza dire a chi verrebbe restituito qualcosa.
Vengono citate diverse squadre. La National Security Cyber Section della National Security Division e la Computer Crime and Intellectual Property Section della Divisione penale seguono il caso insieme alla Procura federale del Distretto di Columbia, che secondo il dipartimento ha lavorato con i fornitori di servizi per asset virtuali per fermare i fondi. L’ufficio dell’FBI di Los Angeles, attraverso la Cyber Division e la Virtual Asset Unit, coordina il recupero con il Secret Service e l’IRS Criminal Investigation.
Il comunicato ricorda anche il Cyber Alert emesso la settimana prima da FBI, Secret Service e IRS-CI, che chiedeva a exchange e altri fornitori di bloccare le transazioni legate agli indirizzi usati dagli hacker. Secondo il testo, gli aggressori continuano a spostare denaro attraverso bridge, mixer ed exchange.
Lo stesso comunicato riguarda una seconda operazione, senza legami con la prima: il sequestro dell’infrastruttura cloud dietro FaceStealer, uno schema nordcoreano di false videochiamate che l’FBI collega a più di 400 milioni di dollari di furti in 18 mesi. L’FBI non ha saputo dire se FaceStealer abbia avuto un ruolo nella violazione di Binance, ha riferito The Record. Quel sequestro è trattato a parte.
Congelati, sequestrabili, confiscati: tre cose diverse
Ciascuna delle tre fasi dà al governo un potere diverso sulle monete.
Congelati significa che un emittente o una piattaforma ha bloccato i token dove si trovano. Per le stablecoin in dollari come USDT e USDC, l’emittente può mettere un indirizzo in blacklist, così i token non si muovono più. Fino a questa settimana i fondi di Binance erano stati semplicemente congelati presso gli emittenti dei token, ha scritto Bitcoin Magazine nella sua lettura dell’annuncio. Un blocco ferma il ladro. Non stabilisce chi sia il proprietario dei token.
L’autorizzazione del tribunale a sequestrare o vincolare è il passo successivo. Un giudice ha ritenuto che il governo possa prendere il controllo dei beni, o tenerli vincolati, perché ci sono ragioni per credere che siano proventi di reato. Il dipartimento ha scelto le parole con cura: ha scritto sequestrare o vincolare e non ha detto quanto ricada sotto ciascun verbo.
La confisca viene per ultima. È la decisione del tribunale che trasferisce la proprietà agli Stati Uniti, di solito dopo un’azione civile di confisca, la notifica a chiunque possa rivendicare i beni e il tempo per presentare le rivendicazioni. Solo dopo la confisca il denaro può essere versato alle vittime o trattenuto. Per i fondi di Binance nulla di tutto questo è stato annunciato.
I titoli che dicono che gli Usa hanno sequestrato 1,2 miliardi corrono più dei fatti, e lo stesso comunicato non è coerente su questo punto. La procuratrice del Distretto di Columbia, Jeanine Ferris Pirro, vi parla di «sequestro di oltre 1,2 miliardi dei loro beni rubati», mentre il testo del dipartimento dice sequestrare o vincolare. Oggi esiste un’autorizzazione su una parte dei fondi congelati, non una confisca compiuta. Per le basi su come funzionano i token controllati da un emittente, vedi la nostra voce del glossario sulle stablecoin.
Da dove vengono i 2,7 miliardi congelati
Il dipartimento di Giustizia non ha detto chi abbia congelato cosa. Le dichiarazioni precedenti degli emittenti colmano in parte il vuoto, anche se nessuna fonte collega le loro cifre al totale del dipartimento.
Il 30 ottobre, il giorno dopo il furto, l’amministratore delegato di Circle Jeremy Allaire ha detto che la sua società aveva congelato più di 800 milioni di dollari in USDC, e quello di Tether Paolo Ardoino che Tether aveva congelato quasi 1,57 miliardi in USDT, ha riportato Finance Magnates. Insieme, più di 2,37 miliardi. Il Secret Service disse allora di lavorare con Circle. Binance stimava in circa 3 miliardi il totale congelato dai suoi partner di settore.
Il 3 novembre Binance ha dichiarato che circa 2,85 miliardi erano stati congelati o intercettati, secondo Bitcoin Magazine. La società di analisi blockchain Elliptic indica la stessa cifra di 2,85 miliardi come congelata o sequestrata, su 6,43 miliardi che conta come rubati.
La cifra del dipartimento, oltre 2,7 miliardi, resta un po’ sotto questi conteggi privati. Non spiega la differenza. Potrebbe contare solo ciò che il governo è in grado di documentare, oppure escludere i token congelati da piattaforme fuori dalla sua portata; il comunicato non lo precisa.
| Cifra | Importo | Fonte e data |
|---|---|---|
| Rubati a Binance | Più di 6 miliardi di dollari | Dipartimento di Giustizia, 12 novembre |
| Rubati a Binance | 6,43 miliardi di dollari | Tracker di Elliptic |
| Coperti da Binance con fondi propri | 6,34 miliardi di dollari | Binance, tramite Bitcoin Magazine, 12 novembre |
| USDT congelati da Tether | Quasi 1,57 miliardi di dollari | Paolo Ardoino, tramite Finance Magnates, 30 ottobre |
| USDC congelati da Circle | Più di 800 milioni di dollari | Jeremy Allaire, tramite Finance Magnates, 30 ottobre |
| Congelati o intercettati | Circa 2,85 miliardi di dollari | Binance (3 novembre) ed Elliptic |
| Congelati | Più di 2,7 miliardi di dollari | Dipartimento di Giustizia, 12 novembre |
| Autorizzazione del tribunale a sequestrare o vincolare | Più di 1,2 miliardi di dollari | Dipartimento di Giustizia, 12 novembre |
Sulle cifre arrotondate del dipartimento, l’autorizzazione del tribunale copre circa il 44% di quanto è congelato, e il totale congelato è circa il 45% di quanto è stato rubato.
Cosa il comunicato non dice
L’annuncio è avaro dei dettagli che un atto giudiziario riporterebbe di norma. Venerdì mattina su CourtListener non risultava alcun atto di accusa né mandato; Bitcoin Magazine ha notato che insieme all’annuncio non sono stati pubblicati documenti del tribunale, e nemmeno The Record indica un tribunale.
- Il tribunale che ha concesso l’autorizzazione e il numero del procedimento.
- Di quali beni sono fatti gli 1,2 miliardi e quali emittenti o piattaforme li detengono.
- Come gli 1,2 miliardi si dividono tra sequestro e vincolo.
- Chi ha oggi la custodia dei token.
- Un calendario per la confisca o per una procedura di rivendicazione.
I pubblici ministeri non hanno detto nemmeno quanta parte dell’importo congelato sia in bitcoin. L’allerta dell’FBI di fine ottobre indicava che i beni rubati venivano convertiti soprattutto in ether, ha notato Bitcoin Magazine.
Il Distretto di Columbia compare nel comunicato solo come ufficio partner. Alcuni media hanno scritto che a concedere l’ordine sia stato un tribunale di Washington. Il comunicato non lo dice, e questo articolo nemmeno.
Binance ha già risarcito i suoi utenti: a chi andranno i soldi?
Chi ha perso monete in questo hack, gli utenti di Binance, è già stato reintegrato da Binance stessa. L’exchange afferma di aver coperto i beni colpiti, 6,34 miliardi di dollari, sostituendo i token con denaro societario: il suo Secure Asset Fund for Users, parte del fondo assicurativo dei futures e la tesoreria, secondo Bitcoin Magazine. È una sostituzione, non un recupero. Il nostro primo articolo sull’hack di Binance raccontava come è iniziato l’attacco.
Se dunque i token congelati venissero confiscati, la parte con la perdita più evidente è Binance, che ne ha sostenuto il costo. Se l’exchange presenterà una richiesta, e se il dipartimento la sosterrà, non si sa. Né il comunicato né alcuna dichiarazione reperibile lo affrontano. Venerdì sera Binance non aveva commentato l’annuncio e nemmeno The Record e Finance Magnates riportano una sua dichiarazione.
Secondo le regole americane sulla confisca, le vittime di solito chiedono la restituzione dopo che un tribunale ha ordinato la confisca. Qui gli utenti sono già stati rimborsati, il che lascia l’exchange come parte che porta la perdita. La promessa di Proctor di «restituire» i guadagni è l’unico indizio nel comunicato, e non indica nessun destinatario.
L’altra metà si muove ancora, lentamente
L’analisi aggiornata di Elliptic sul riciclaggio, ultimo aggiornamento intorno alle 07:30 UTC del 13 novembre, offre il quadro più chiaro del denaro che gli Usa non hanno fermato. Circa 2,8 miliardi di dollari restano in indirizzi collegati al furto, soprattutto in ether e bitcoin. I nove indirizzi più grandi, che detengono l’89% dell’ether degli aggressori, non si muovono dal 30 ottobre. Altri 68.300 ETH circa sono sparsi in circa 830 indirizzi minori. Dal furto il riciclaggio ha usato quasi 27.000 wallet su almeno 16 blockchain, secondo Elliptic.
Una parte del resto è in movimento. Circa 11.000 ETH sono entrati nel mixer Tornado Cash dall’8 novembre, secondo Elliptic. Prima, circa 12.200 ETH erano passati dal protocollo cross-chain THORChain in bitcoin entro il 4 novembre, e THORChain ha sospeso più volte alcuni scambi tra il 31 ottobre e il 12 novembre. La conclusione di Elliptic sul fronte del contante è breve: finora è stata probabilmente incassata una somma trascurabile.
Gli hacker provano anche trucchi più recenti. Elliptic ha scoperto che hanno creato token propri senza valore per spostare valore rubato attraverso i pool degli exchange decentralizzati, così i fondi non passano mai direttamente da un portafoglio all’altro, ha riferito The Record. Abbiamo raccontato questa scoperta nel nostro articolo sulle memecoin su NEAR usate per il riciclaggio; finora per questa via si è mossa solo una piccola somma.
The Record ha riferito anche che il ricercatore di DTEX Michael Barnhart ha descritto TraderTraitor come una delle unità in cui APT38 fu divisa dopo la rapina alla Banca del Bangladesh del 2016, un gruppo che di solito cede in fretta i fondi rubati a riciclatori cinesi in cambio di una somma fissa o di una percentuale. Elliptic traccia la stessa linea: le monete già in fase di riciclaggio potrebbero ormai essere in mano a reti cinesi, mentre quelle che non si sono mosse sono con ogni probabilità ancora detenute dalla Corea del Nord.
La Corea del Nord nega, gli Usa continuano a tracciare
Pyongyang respinge l’accusa. Kim Yo Jong, sorella del leader Kim Jong Un, ha denunciato l’attribuzione dell’FBI, e i media di Stato hanno definito l’accusa una «grave provocazione politica», ha riferito Yonhap il 3 novembre citando KCNA, secondo CNBC. Elliptic e Chainalysis collegano entrambe il furto ad attori nordcoreani. Il dipartimento di Giustizia non ha risposto alla smentita nel suo comunicato.
I pubblici ministeri dicono che il lavoro per tracciare, congelare, sequestrare e confiscare i fondi prosegue. In pratica, i prossimi segnali pubblici sarebbero un’azione civile di confisca, che indicherebbe il tribunale ed elencherebbe i beni, oppure un nuovo avviso dell’FBI con altri indirizzi da bloccare per gli exchange.
Cosa cambia per chi vive in Europa e in Italia
Stando alle cifre degli stessi emittenti, la maggior parte dei primi congelamenti ha riguardato due stablecoin in dollari, USDT e USDC, quindi il potere degli emittenti di bloccare i token è al centro di questo caso. Per i possessori di USDC nell’area euro, l’unità europea di Circle è sotto la vigilanza dell’Autorità bancaria europea dal 12 novembre, come abbiamo spiegato nel nostro articolo sull’EBA che prende in carico la vigilanza su USDC. Un emittente può mettere in blacklist un indirizzo sul proprio token ovunque si trovi il titolare, ed è così che Tether e Circle hanno potuto agire entro un giorno dal furto.
Per i clienti di Binance in Italia e in Francia la data più pressante non c’entra con l’hack: l’exchange chiude i loro conti il 31 dicembre.
Date e domande da seguire
Non è stata fissata alcuna data per nulla in questo caso. Le domande aperte però sono concrete. Il dipartimento depositerà un’azione di confisca, e in quale tribunale? Per i circa 1,5 miliardi di token congelati e non ancora coperti da un ordine del tribunale ne arriverà uno? I nove indirizzi dormienti che custodiscono la maggior parte dell’ether degli aggressori cominceranno a muoversi?
E chi reclamerà il denaro alla fine? Binance ha pagato 6,34 miliardi di fondi propri. Se una parte degli 1,2 miliardi verrà confiscata, quella è la richiesta da osservare.