Gli Stati Uniti colpiscono Xinbi Guarantee e congelano 52,8 milioni di dollari legati a reti di frode globali

Oscurati canali Telegram e portafogli di criptovalute

Le autorità statunitensi hanno annunciato mercoledì un'azione coordinata contro Xinbi Guarantee, un marketplace in lingua cinese che forniva infrastrutture e servizi finanziari a operazioni di frode informatica.

Il Dipartimento di Giustizia ha sequestrato i canali Telegram e i nomi utente che ospitavano il marketplace dopo aver ricevuto l'autorizzazione da un tribunale distrettuale il lunedì precedente. Il canale principale di Xinbi non era più raggiungibile da mercoledì.

Gli inquirenti hanno inoltre sequestrato due portafogli di criptovalute contenenti circa 12 milioni di dollari. In un'operazione finanziaria più ampia, il Secret Service statunitense ha collaborato con la società di analisi blockchain Elliptic e con l'emittente di stablecoin Tether per congelare 52,8 milioni di dollari distribuiti su 52 portafogli associati a Xinbi e alla sua rete di fornitori.

Il Dipartimento di Giustizia ha dichiarato che in un solo giorno sono stati bloccati circa 52 milioni di dollari di fondi sospettati di essere riciclati tramite truffe. Ciò porta il totale congelato dalla Scam Center Strike Force a circa 938 milioni di dollari.

L'Office of Foreign Assets Control del Dipartimento del Tesoro ha sanzionato Xinbi e due società accusate di sostenere le sue operazioni. The Record ha identificato le imprese come Anwen Technology e SafeW Technology Co.

Anwen Technology, con sede in Cambogia, ha sviluppato l'applicazione di pagamento in criptovalute XinbiPay. SafeW Technology ha prodotto un'applicazione di messaggistica crittografata presumibilmente utilizzata dai fornitori di Xinbi e dalle reti di riciclaggio di denaro.

Non sono stati resi pubblici indirizzi di portafoglio, domini, identificativi Telegram o altri indicatori tecnici. Questo limita ciò che gli istituti finanziari e i team di sicurezza possono cercare autonomamente nei propri archivi interni.

Un fornitore unico per la frode industriale

Creata nel 2022, Xinbi operava come intermediario di deposito a garanzia tra fornitori specializzati e i gruppi criminali che gestiscono i compound delle truffe. Elliptic la descrive come il secondo marketplace online illecito più grande mai registrato.

Le stime sul volume delle transazioni variano. Una cifra riporta un'attività di circa 30 miliardi di dollari dalla creazione del marketplace, mentre un'altra indica che ha elaborato almeno 24 miliardi di dollari. DarkTower ha contato più di 4.600 fornitori di crime-as-a-service su Xinbi alla settimana precedente.

Il marketplace supportava le truffe di tipo pig butchering e le truffe sentimentali, in cui gli operatori coltivano relazioni con le vittime prima di indirizzarle verso investimenti fraudolenti. Il ruolo di Xinbi andava oltre i pagamenti.

Secondo quanto riferito, i servizi pubblicizzati sulla piattaforma includevano:

• siti web di investimento personalizzati progettati per impersonare servizi di trading legittimi
• riciclaggio di denaro per proventi derivanti da frodi tramite bonifico
• informazioni personali rubate utilizzate per profilare o impersonare le vittime
• strumenti deepfake per l'ingegneria sociale e identità fraudolente
• reclutamento o tratta di lavoratori verso i compound delle truffe nel Sud-est asiatico
• servizi finanziari e di comunicazione per i fornitori che operano in quei compound

Questa struttura permetteva agli operatori delle truffe di acquistare le componenti di una campagna da fornitori diversi, affidandosi a Xinbi per trattenere o trasferire i pagamenti. Il modello di deposito a garanzia riduceva la diffidenza tra criminali che altrimenti sarebbero stati restii a trattare con fornitori anonimi.

Il Dipartimento del Tesoro ha riferito che la piattaforma sarebbe stata utilizzata da hacker nordcoreani e da organizzazioni già sanzionate. Tra queste figurano Jin Bei Group Co., Ltd. ed entità appartenenti all'organizzazione criminale transnazionale Prince Group.

I congelamenti di USDT colpiscono il modello di pagamento del marketplace

Storicamente Xinbi si basava sulla stablecoin USDT di Tether, trasferita principalmente sulla blockchain TRON. Questa dipendenza ha creato un punto critico per l'intervento delle autorità, perché Tether può congelare centralmente i token associati agli indirizzi designati.

Il congelamento di 52,8 milioni di dollari dimostra come le transazioni blockchain possano rimanere tecnicamente trasferibili mentre gli asset stessi vengono resi inutilizzabili dal loro emittente. L'analisi blockchain ha contribuito a identificare i portafogli interessati, mentre la collaborazione di Tether ha consentito le restrizioni.

Gli amministratori di Xinbi hanno risposto annunciando il passaggio a USDD, un'altra stablecoin ancorata al dollaro che opera su TRON. Secondo quanto riferito, il marketplace ha scambiato circa 2,8 milioni di dollari in USDT rimanenti con USDD tramite un exchange decentralizzato.

La mossa potrebbe rendere più complicato l'intervento diretto, ma non elimina l'esposizione ai congelamenti. Il grado di decentralizzazione di USDD è contestato e parte della sua garanzia collaterale consisterebbe in USDT che resta soggetto ai controlli di Tether.

Gli amministratori di Xinbi hanno criticato pubblicamente quelli che hanno definito congelamenti arbitrari. Hanno inoltre riconosciuto che sbloccare quantità consistenti di USDT e dimostrare la conformità era diventato più difficile e dispendioso in termini di tempo del previsto.

L'azione finanziaria va quindi oltre i fondi congelati. I marketplace di garanzia dipendono dalla fiducia che i fornitori ricevano i pagamenti e che gli operatori possano ritirare i saldi. Una volta che i fornitori sanno che i loro portafogli possono essere tracciati, sanzionati e congelati, il servizio di deposito a garanzia diventa meno credibile.

Xinbi è cresciuta dopo il crollo dei marketplace concorrenti

Xinbi si è espansa dopo la chiusura, lo scorso anno, di HuiOne Guarantee e del suo successore Tudou Guarantee. HuiOne aveva gestito circa 31 miliardi di dollari di attività prima che Telegram la chiudesse sotto pressione internazionale.

I fornitori criminali sono successivamente migrati su Xinbi. I ricercatori avevano esortato Telegram a intervenire anche contro quel marketplace, ma non vi è stato un intervento immediato.

Xinbi si era già ripresa da una precedente interruzione su Telegram. Il co-fondatore di Elliptic, dott. Tom Robinson, ha dichiarato a gennaio che la piattaforma aveva ripreso le operazioni dopo l'intervento di Telegram e che la società di messaggistica ha rifiutato di adottare ulteriori misure, contribuendo alla crescita di altri mercati.

I sequestri dei canali più recenti cambiano questa equazione, combinando la disgregazione della piattaforma con sanzioni e congelamenti di criptovalute. Rimuovere un solo canale Telegram può indurre gli amministratori a crearne uno sostitutivo. Limitare l'infrastruttura finanziaria del marketplace aumenta il costo di una ricostruzione.

Xinbi potrebbe ancora cambiare nome o rilanciarsi, come HuiOne ha tentato di fare con Tudou. I ricercatori si aspettano comunque che le sanzioni e la fiducia compromessa dei fornitori rendano più difficile la sopravvivenza. La stessa Tudou non è rimasta attiva a lungo.

Il Regno Unito aveva già sanzionato Xinbi a marzo, diventando il primo Paese a designarla. L'azione britannica citava attività tra cui la vendita di dati personali rubati e di apparecchiature internet satellitari usate per contattare le vittime delle truffe. Le misure statunitensi sono arrivate oltre cinque mesi dopo.

L'operazione in Madagascar colpisce i compound fisici delle truffe

La campagna di contrasto non si è limitata a Telegram e alle criptovalute. La Scam Center Strike Force ha dispiegato personale in Madagascar mentre ampliava il proprio mandato per perseguire i compound delle truffe a livello globale.

L'operazione ha contribuito a smantellare 13 centri presumibilmente controllati da sindacati criminali organizzati cinesi. Le autorità hanno sequestrato più di 3.200 dispositivi elettronici e avviato indagini utilizzando le informazioni ottenute attraverso colloqui con quasi 400 arrestati.

Circa 30 presunti leader cinesi dei compound sono stati rimpatriati in Cina dal governo cinese. Il procuratore statunitense Jeanine Pirro ha descritto separatamente il rapido rimpatrio di decine di presunti leader come uno sviluppo interessante.

I compound delle truffe rappresentano il livello operativo dietro molte campagne di pig butchering. I lavoratori possono essere reclutati con false pretese o vittime di tratta, quindi costretti a contattare le vittime, instaurare relazioni e indirizzarle verso piattaforme finanziarie fraudolente.

L'ecosistema di fornitori di Xinbi supportava questa attività mettendo in contatto gli operatori dei compound con servizi di pagamento, venditori di dati, sviluppatori di siti web e fornitori di servizi di riciclaggio. L'intervento in Madagascar ha preso di mira le persone e le apparecchiature dietro le truffe, mentre i congelamenti dei portafogli hanno colpito i loro canali finanziari.

Nessuna patch per questa minaccia

Si tratta di un'operazione di contrasto e di una disgregazione finanziaria, non di una vulnerabilità software. Non esistono versioni software interessate, identificativi CVE, patch o soluzioni temporanee.

Né le autorità hanno diffuso istruzioni difensive specifiche per le vittime. Senza indirizzi di portafoglio, domini o identificativi di account, le aziende non possono costruire regole di rilevamento precise basandosi soltanto sulle informazioni pubbliche.

L'operazione statunitense segnalata stabilisce comunque diversi punti di pressione: le infrastrutture Telegram possono essere sequestrate per ordine del tribunale, i saldi in stablecoin possono essere congelati e i fornitori possono essere sanzionati insieme al marketplace centrale.

L'impatto immediato è notevole ma non necessariamente permanente. Gli operatori di Xinbi possono spostarsi su nuovi canali, adottare un nome diverso o sperimentare asset progettati per resistere ai congelamenti centralizzati.

Ricostruire la fiducia sarà il compito più difficile. I fornitori ora sanno che saldi di deposito a garanzia apparentemente stabili possono diventare inaccessibili, mentre le transazioni possono aiutare gli investigatori a mappare una rete criminale più ampia. Per un marketplace nato per risolvere i problemi di fiducia tra criminali, questa incertezza rappresenta una minaccia diretta al suo modello di business.