Sanzioni OFAC sui lavoratori IT nordcoreani: otto wallet in lista, hanno mosso decine di milioni e oggi sono quasi vuoti

L’Office of Foreign Assets Control (OFAC) del Tesoro americano ha sanzionato mercoledì 28 ottobre 10 persone e una società con sede in Russia che, secondo un comunicato del Tesoro, aiutano a gestire gli schemi dei lavoratori IT della Corea del Nord: sviluppatori nordcoreani che usano identità false per farsi assumere da aziende statunitensi e alleate e che inviano la maggior parte dello stipendio al regime. Due dei nomi sono russi che blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il Tesoro accusa di trasformare in contanti le criptovalute nordcoreane: Vitold Obertas, per quasi 2 milioni di dollari da gennaio 2025, e Ilya Boykov, per circa 3,5 milioni dal 2024.

Queste sanzioni OFAC sulla Corea del Nord e i suoi lavoratori IT hanno anche un risvolto on-chain. L’OFAC ha associato indirizzi crypto a tre delle voci della lista delle sanzioni: otto indirizzi distinti in totale, tre su Ethereum e cinque su Tron, secondo la pagina delle azioni recenti dell’OFAC. Coindaro li ha controllati tutti sugli explorer pubblici il 28 ottobre tra le 17:40 e le 17:50 UTC. Insieme contenevano circa 2.300 dollari in stablecoin ed ether. Eppure tra novembre 2022 e novembre 2025 negli stessi indirizzi sono confluiti più di 80 milioni di dollari in stablecoin, in gran parte nel 2024 e nel 2025. È una cifra lorda: comprende denaro che è solo transitato, in parte due volte, e non misura quanto abbia guadagnato la Corea del Nord.

«Il regime nordcoreano continua a prendere di mira e a sfruttare le aziende americane con attività fraudolente», ha dichiarato nel comunicato il segretario al Tesoro Scott Bessent. Le persone e la società indicate sono designate, non condannate: ogni accusa riportata qui sotto viene dal Tesoro, e il comunicato non annuncia alcuna incriminazione penale nei loro confronti.

Chi ha colpito l’OFAC il 28 ottobre con le sanzioni sui lavoratori IT nordcoreani

L’azione si divide in due parti. Quattro persone sono state designate in base all’Executive Order 13687, che colpisce il governo nordcoreano e chi lo sostiene. Una società con sede in Russia e sei suoi lavoratori sono stati designati in base all’Executive Order 13722, che riguarda, tra l’altro, l’invio di lavoratori nordcoreani all’estero per far guadagnare denaro a Pyongyang. Nella lista dell’OFAC portano le sigle di programma DPRK2 e DPRK3.

Vitold Viktorovich Obertas, cittadino russo, faceva da intermediario per transazioni finanziarie nordcoreane, tra cui quelle di Amnokgang Technology Development Company, una copertura per lavoratori IT che l’OFAC aveva sanzionato il 12 marzo 2026. Ilya Aleksandrovich Boykov, anch’egli russo, lavorava per LLC Alis, società russa di lavoratori IT, cambiando e convertendo crypto, controllando le transazioni e curando la logistica.

I due nordcoreani guidano ciascuno una delegazione di lavoratori IT che vivono in Russia. Secondo il Tesoro, Kim Ki Hyok ne dirige una per conto di Alis e tiene traccia di quanto denaro portano i suoi lavoratori. Kim Hyo Dong guida un gruppo distinto che risponde a Chinyong Information Technology Cooperation Company, la rete madre che l’OFAC aveva sanzionato per la prima volta nel maggio 2023.

La società è il First Financial and Technical Development Center (FFTDC), che il Tesoro definisce un’impresa controllata dalla Corea del Nord e attiva in Russia almeno dal 2024. Secondo il Tesoro avrebbe fruttato diversi milioni di dollari al governo nordcoreano, con strumenti che il comunicato chiama «Super Intelligence» (in parole semplici, software di intelligenza artificiale) e con complessi trasferimenti in crypto per spostare il denaro. I sei lavoratori citati sono Kim Kyong Ju, Ri Thae Chol, So Hyon Jin, Han Yu Song, Kim Sung Gwan e Hyon Se Il, tutti nati tra il 1999 e il 2002 secondo le loro schede SDN.

Come funzionano gli schemi dei lavoratori IT nordcoreani, secondo il Tesoro

Gli sviluppatori nordcoreani si candidano a lavori da remoto con documenti falsificati, identità rubate o personaggi inventati. Una volta assunti, svolgono il lavoro e incassano lo stipendio, di cui lo Stato trattiene la maggior parte. Il Tesoro sostiene che il denaro finanzia i programmi nordcoreani di armi di distruzione di massa e di missili balistici.

La frode sullo stipendio non è l’unico rischio per i datori di lavoro. Il Tesoro afferma che alcuni di questi lavoratori hanno sfruttato l’accesso alle reti aziendali per installare malware, sottrarre dati e rubare informazioni riservate. Il comunicato lega le reti alle crypto in due modi: i lavoratori sono pagati, o il loro denaro viene trasferito, tramite asset digitali, e il denaro viene poi riciclato, in parte da figure come Obertas e Boykov che lo cambiano in valuta tradizionale.

Il Tesoro non fornisce un totale di quanto abbiano guadagnato le reti, non nomina alcun exchange e non cita alcuna stablecoin per nome. Nemmeno CBS News, che ha seguito l’azione il 28 ottobre, ha indicato una piattaforma di scambio.

Gli otto indirizzi crypto nella lista SDN

L’OFAC ha elencato nove righe di indirizzi, ma un indirizzo Ethereum compare due volte: è l’indirizzo alternativo di Boykov e quello principale di Obertas. Restano otto indirizzi distinti. Boykov ne ha due su Ethereum e due su Tron. Obertas ha quell’indirizzo Ethereum condiviso e tre su Tron. Kim Ki Hyok ha un indirizzo Ethereum. Kim Hyo Dong, FFTDC e i sei lavoratori non ne hanno.

Essere nella lista significa che qualsiasi proprietà di queste persone negli Stati Uniti, o detenuta da un soggetto statunitense, è bloccata e deve essere segnalata all’OFAC, e che ai soggetti statunitensi è in genere vietato avere rapporti con loro. Sono bloccate anche le società possedute al 50% o più da persone bloccate. L’OFAC può sanzionare le violazioni in base alla responsabilità oggettiva, cioè un’azienda può essere punita anche se non sapeva.

Per le piattaforme crypto l’effetto pratico sta negli indirizzi. Gli exchange e i fornitori di wallet che controllano le operazioni rispetto alla lista SDN possono ora segnalare qualsiasi deposito proveniente da questi otto indirizzi e qualsiasi prelievo diretto verso di essi.

Cosa contengono oggi gli otto wallet: circa 2.300 dollari

Abbiamo interrogato ogni indirizzo tramite l’API di Blockscout per Ethereum e l’API di TronGrid per Tron il 28 ottobre tra le 17:40 e le 17:50 UTC, contando solo i veri contratti di USDT, USDC e DAI e ignorando i token imitazione che gli spammer inviano ai wallet più trafficati. L’indirizzo Ethereum condiviso si può verificare su Blockscout.

Con l’ETH a circa 2.332 dollari alle 17:32 UTC, l’ether rimasto sui tre indirizzi Ethereum valeva circa 42 dollari. Quasi tutto il valore ancora presente nella lista sono i 2.120,81 USDT su uno degli indirizzi Tron di Obertas. Il resto è polvere.

La maggior parte degli indirizzi è rimasta silenziosa da più di un anno. L’indirizzo Ethereum che l’OFAC attribuisce a Boykov ha mosso stablecoin per l’ultima volta il 25 agosto 2025. L’indirizzo di Kim Ki Hyok è stato usato per un solo giro di andata e ritorno: 50.000 DAI sono arrivati il 9 settembre 2024 e sono usciti il giorno dopo. L’ultimo movimento di stablecoin su uno qualsiasi degli otto risale al 1° dicembre 2025, sull’indirizzo TQCB di Obertas.

Un’eccezione spicca. L’indirizzo condiviso da Boykov e Obertas ha inviato 0,0312 ETH, circa 73 dollari al prezzo delle 17:32 UTC, a un indirizzo senza etichetta il 13 ottobre 2026 alle 14:56 UTC, quindici giorni prima dell’inserimento in lista. È una cifra piccola, e la blockchain non dice chi abbia firmato.

Decine di milioni in stablecoin sono transitati prima dell’inserimento in lista

I saldi dicono poco su come siano stati usati questi wallet. Sommando ogni trasferimento in entrata di USDT, USDC e DAI da un token in su, si arriva a circa 32,4 milioni di dollari sui tre indirizzi Ethereum e a circa 53,8 milioni sui cinque indirizzi Tron, tutti in USDT. Una parte di quel denaro è passata da un indirizzo in lista a un altro ed è contata due volte. Su Ethereum circa 9,9 milioni sono andati dall’indirizzo principale di Boykov a quello che condivide con Obertas, lasciando circa 22,5 milioni arrivati dall’esterno del gruppo. Su Tron circa 5,4 milioni si sono spostati tra indirizzi in lista, quindi l’afflusso esterno è stato di circa 48,4 milioni. Nel complesso, circa 71 milioni sono entrati negli otto wallet da indirizzi che non sono nella lista.

Lo schema somiglia a un instradamento, non a un risparmio. Sull’indirizzo Ethereum condiviso, 88.800 USDT sono arrivati alle 20:36 UTC del 6 settembre 2025 e sono usciti alle 21:09. Due giorni dopo, 68.000 USDT sono entrati alle 06:15 e usciti alle 06:35. A luglio 2025 lo stesso indirizzo ha ricevuto depositi in più di dieci giorni, per lo più tra 67.000 e 95.000 USDT o DAI, e quasi tutti sono stati inoltrati entro circa 25 minuti. Ognuno degli otto wallet si chiude con un deflusso quasi pari all’afflusso.

Questi totali vanno letti con cautela. Sono flussi lordi: quando il denaro esce verso una controparte e poi ritorna, viene contato due volte. Qui è successo. L’indirizzo TCV4 di Obertas ha inviato tutti i suoi 9,16 milioni di dollari a un unico indirizzo Tron, che a sua volta ha rimandato circa 7,2 milioni nei wallet in lista. L’attività inizia inoltre alla fine del 2022, prima dei periodi citati dal Tesoro per Obertas (da gennaio 2025) e per Boykov (dal 2024). E nulla sulla blockchain ci dice quale quota appartenga ai lavoratori IT nordcoreani e quale ad altri clienti degli stessi intermediari.

I dati on-chain, quindi, non contraddicono le cifre del Tesoro. Misurano un’altra cosa: quanto denaro è passato da indirizzi che il governo americano ora collega a questi uomini, non quanto abbiano convertito per Pyongyang. Non abbiamo identificato gli exchange o i desk OTC dall’altra parte dei trasferimenti, e nessuna delle controparti più grandi aveva un’etichetta pubblica sugli explorer che abbiamo usato.

Cosa cambia l’inserimento in lista per exchange ed emittenti di stablecoin

Con quasi nulla rimasto nei wallet, l’inserimento in lista funziona soprattutto da filo teso. Se uno degli otto indirizzi riceve di nuovo fondi, o se una piattaforma scopre vecchi depositi provenienti da essi, i team di compliance hanno ora una ragione legale per bloccare e segnalare. Per le molte piattaforme regolate negli Stati Uniti che confrontano ogni trasferimento on-chain con la lista SDN, quel controllo è automatico.

Gli emittenti di stablecoin possono spingersi oltre, perché USDT e USDC hanno una funzione di blocco. Tether dice di congelare spesso i wallet prima che vengano sanzionati, un’affermazione che il personale del Senato americano ha messo in dubbio questo mese, come raccontato nel nostro articolo sui blocchi di Tether e sui wallet legati a Hezbollah. Come l’azienda gestisce queste richieste è spiegato nella nostra pagina su Tether, le sue riserve e i suoi blocchi. Il comunicato del Tesoro non menziona Tether né alcuna stablecoin, e non abbiamo trovato alcuna dichiarazione pubblica su un blocco collegato all’azione di mercoledì.

Per i lettori in Europa, la lista dell’OFAC è diritto statunitense. Le piattaforme autorizzate nell’UE controllano le liste di sanzioni dell’UE secondo le proprie regole, anche se quelle che servono clienti americani o gestiscono stablecoin in dollari di solito controllano anche l’OFAC. Il Tesoro ha detto che anche l’Australia e l’Unione europea hanno designato questo mese persone ed entità legate alla Corea del Nord; non ha fornito dettagli, e non abbiamo trovato alcuna misura francese o italiana legata a questa rete.

Per chi invia crypto a un exchange, il controllo avviene al momento del deposito, accanto alle verifiche d’identità descritte nella nostra guida al funzionamento degli exchange centralizzati. Un deposito riconducibile a un indirizzo in lista può essere trattenuto mentre la piattaforma lo verifica.

Le azioni americane precedenti contro le stesse reti

Le designazioni di mercoledì allungano una catena di azioni statunitensi. L’OFAC ha sanzionato Chinyong nel maggio 2023 e ha aggiunto Alis nel marzo 2024 come società sotto il controllo di Chinyong. Il 12 marzo 2026 ha designato Amnokgang e un’altra rete di lavoratori IT. Il 27 agosto 2025 l’OFAC ha sanzionato un altro russo, Vitaliy Andreyev, per aver agevolato pagamenti a Chinyong; secondo una sintesi di TRM Labs su quell’azione, aveva convertito in dollari più di 600.000 dollari in crypto da almeno dicembre 2024. Con lui fu inserito in lista un indirizzo crypto, e lo stesso giorno fu designata una società di copertura con base in Cina, Shenyang Geumpungri.

Il Dipartimento di Giustizia si è mosso su un’altra parte dello schema due settimane fa. Il 13 ottobre 2026 ha annunciato gli arresti di due cittadini statunitensi, Michael James Bostelle della Pennsylvania e Juan Cecilio Pena Carrillo del Texas, in base a un’incriminazione in quattro capi d’accusa per frode telematica, riciclaggio di denaro e furto d’identità presentata nel distretto settentrionale dell’Ohio. L’atto d’accusa nomina 12 imputati, tra cui 10 persone con base in Cina, e altri due sono sotto sigillo. L’accusa descrive uno schema che avrebbe colpito più di 70 datori di lavoro americani e fruttato ai lavoratori IT circa 3 milioni di dollari tra il 2019 e luglio 2025 circa, con le cosiddette «laptop farm»: abitazioni statunitensi che ospitavano computer aziendali controllati da remoto da lavoratori nordcoreani. Tra il 21 e il 25 settembre l’FBI ha perquisito più di 40 abitazioni in Texas note o sospettate di essere laptop farm e ha sequestrato circa 187 laptop e altri dispositivi, secondo il dipartimento. Tutti gli imputati sono presunti innocenti fino a prova contraria. Il comunicato del Tesoro non collega le designazioni di mercoledì a quel caso.

Il reddito crypto della Corea del Nord ha un secondo flusso, molto più grande: il furto. L’FBI ha attribuito alla Corea del Nord il furto di circa 1,5 miliardi di dollari in asset virtuali dall’exchange Bybit intorno al 21 febbraio 2025. Gli hack sono improvvisi e enormi; gli stipendi dei lavoratori IT sono regolari e piccoli per ogni persona. Il Tesoro non ha collegato l’azione di mercoledì a Bybit né ad alcun hack, e il comunicato non nomina il Lazarus Group. I totali degli hack dell’ultimo trimestre sono nella nostra analisi degli hack crypto del terzo trimestre 2026.

Che cosa non sappiamo ancora

Non sappiamo quali exchange o broker abbiano ricevuto le decine di milioni uscite da questi wallet, né se qualcuno di loro abbia poi congelato dei conti. Non sappiamo se i 2.120,81 USDT ancora presenti sull’indirizzo Tron di Obertas possano essere spostati. E poiché le persone designate hanno base in Russia o in Corea del Nord, le misure americane servono soprattutto a isolarle dalle aziende statunitensi e dalle piattaforme che seguono le regole americane.

Le persone designate possono chiedere all’OFAC di essere rimosse dalla lista con la procedura di cancellazione. Il caso del Dipartimento di Giustizia in Ohio prosegue separatamente. I prossimi segnali da osservare sono on-chain: qualsiasi nuovo trasferimento verso uno degli otto indirizzi sarebbe ora visibile a ogni team di compliance che confronta le operazioni con la lista SDN.