L’FBI ha riferito che, insieme al Secret Service statunitense (USSS) e a IRS Criminal Investigation (IRS-CI), ha osservato la conversione degli asset rubati a Binance soprattutto in Ether. L’agenzia si aspettava poi altri passaggi attraverso la finanza decentralizzata (DeFi) e i servizi di scambio istantaneo, descritti come tappe successive del riciclaggio previsto. Nell’avviso dell’FBI, osservazioni e previsioni riguardano momenti distinti.

Che cosa hanno osservato gli investigatori

Secondo l’FBI, il furto di oltre 6 miliardi di dollari in asset virtuali avvenne il 29 ottobre 2026, o intorno a quella data. L’avviso pubblico dell’agenzia, diffuso il 31 ottobre, attribuì l’attività informatica a North Korea e la identificò come TraderTraitor.

Dopo il furto, l’FBI, l’USSS e IRS-CI osservarono che gli asset venivano convertiti principalmente in Ether, la criptovaluta della rete Ethereum. È il passaggio concreto descritto dalle agenzie nella ricostruzione dei movimenti dei fondi.

La traccia osservata dagli investigatori passa soprattutto per Ether; DeFi e swap istantanei appartenevano invece alla fase successiva prevista dall’FBI.

Quali passaggi successivi prevedeva l’FBI

L’agenzia si aspettava che gli autori usassero poi piattaforme di finanza decentralizzata e servizi di swap istantaneo per proseguire il riciclaggio. La DeFi permette di scambiare o trasferire asset tramite servizi basati su blockchain; gli swap istantanei consentono di convertire rapidamente una criptovaluta in un’altra.

La distinzione conta per ricostruire la sequenza: le conversioni principalmente in Ether erano state osservate, mentre i passaggi successivi erano una previsione dell’FBI. L’avviso collocava queste attività nella preparazione al riciclaggio dei fondi.

L’attribuzione a TraderTraitor e il racconto dell’accesso

Il 31 ottobre l’FBI attribuì a North Korea il furto e chiamò TraderTraitor la specifica attività informatica malevola. CoinDesk ha riferito che Pyongyang ha negato il coinvolgimento.

Sul possibile accesso iniziale, CoinDesk ha riferito il racconto di Jimmy Su, responsabile della sicurezza di Binance: a settembre un ingegnere sarebbe stato avvicinato da una persona che si presentava come direttore di progetto, poi coinvolto in un incarico di programmazione contenente malware. Il precedente approfondimento di NeoTeo sul servizio di firma di Binance ricostruisce il percorso descritto dall’azienda fino a quel sistema interno.