Il caso Huione ha messo in evidenza un cambiamento nel modo in cui gli Usa affrontano alcune forme di criminalità informatica.
Gli attacchi informatici attribuiti alla Corea del Nord vengono spesso raccontati a partire dal furto: una piattaforma violata, milioni di dollari in criptovalute sottratti e un gruppo di hacker sospettato di agire per conto di Pyongyang. Ma il furto è soltanto una parte del problema.
Per trasformare le criptovalute rubate in risorse utilizzabili, i responsabili devono spostare i fondi, nasconderne la provenienza e, in alcuni casi, convertirli in denaro attraverso circuiti finanziari tradizionali.
È in questa fase che entrano in gioco gli intermediari del riciclaggio. Il caso del gruppo cambogiano Huione mostra come le autorità statunitensi stiano cercando di colpire non soltanto chi commette gli attacchi, ma anche i servizi che possono aiutare a spostare i guadagni.
Huione: un intermediario al centro della rete
Nel maggio 2025, la Financial Crimes Enforcement Network (FinCEN), l’agenzia del Dipartimento del Tesoro statunitense incaricata di contrastare il riciclaggio, ha identificato Huione Group come una delle principali preoccupazioni in materia di riciclaggio di denaro. Secondo la sua valutazione, tra agosto 2021 e gennaio 2025 il gruppo avrebbe movimentato almeno 4 miliardi di dollari in fondi illeciti, compresi almeno 37 milioni di dollari in criptovalute collegati a cyber attacks attribuiti alla Corea del Nord. La cifra riguarda l’insieme dei fondi illeciti individuati, non soltanto quelli nordcoreani: una distinzione essenziale per capire la portata del caso senza attribuire a Pyongyang attività che coinvolgono anche altre reti criminali.
Huione non era semplicemente una piattaforma sulla quale trasferire criptovalute. Una delle sue componenti più note, Huione Guarantee, operava attraverso canali Telegram e offriva servizi utilizzati da truffatori e altri soggetti criminali, compresi servizi di deposito a garanzia e strumenti per facilitare transazioni illecite. La piattaforma aveva ricevuto oltre 24 miliardi di dollari in transazioni in criptovalute prima della sua chiusura nel maggio 2025. Questo dato si riferisce a Huione Guarantee e non si deve confondere con le stime relative all’intero gruppo o con il volume dei fondi attribuiti alla Corea del Nord.
La rilevanza di Huione, quindi, va oltre il singolo attacco informatico. Un intermediario di questo tipo può contribuire a trasformare un furto digitale in risorse più facilmente utilizzabili, riducendo gli ostacoli che separano l’attività criminale dal sistema finanziario. Per la Corea del Nord, che ricorre alle criptovalute anche per aggirare le sanzioni internazionali, questo genere di servizi rappresenta un possibile punto di vulnerabilità.
Dall’esclusione finanziaria al sequestro delle infrastrutture
La risposta statunitense si è sviluppata attraverso strumenti diversi. Nell’ottobre 2025, FinCEN ha adottato una misura definitiva per isolare Huione Group dal sistema finanziario degli Usa, sulla base della Sezione 311 del USA PATRIOT Act. La norma vieta agli istituti finanziari statunitensi interessati di aprire o mantenere conti di corrispondenza per conto del gruppo e impone misure di controllo per impedire l’impiego indiretto di tali conti nell’elaborazione delle sue transazioni. Non si tratta di un semplice avvertimento: la misura mira a ridurre l’accesso di Huione ai canali finanziari statunitensi, anche attraverso intermediari bancari.
Il 23 giugno 2026, il Dipartimento di Giustizia statunitense ha annunciato il sequestro di un account di cloud computing utilizzato da società controllate da Huione. Secondo i documenti giudiziari citati dal Dipartimento, l’account ospitava infrastrutture backend necessarie al funzionamento di servizi collegati al gruppo, compresa Huione Guarantee. L’operazione ha quindi colpito una componente tecnologica dell’ecosistema, anziché limitarsi ai flussi finanziari; le autorità hanno cercato di interrompere anche i servizi digitali che permettevano alle attività illecite di funzionare. Tuttavia, il sequestro di uno specifico account cloud non equivale alla confisca di tutte le infrastrutture del gruppo né dimostra, da solo, che ogni sua attività sia stata interrotta.
Nella stessa giornata, FinCEN ha inoltre proposto di estendere la misura del 2025 a H-Pay Service PLC e a eventuali entità succedute a Huione. L’obiettivo dichiarato è impedire che il gruppo aggiri l’esclusione dal sistema finanziario statunitense attraverso società collegate o nuove strutture societarie. È importante, però, distinguere lo status giuridico delle due iniziative: mentre la misura del 2025 è una regola definitiva, l’estensione annunciata nel giugno 2026 è rimasta una proposta puramente normativa.
Il limite delle operazioni di contrasto: le reti possono spostarsi
Le misure contro Huione mostrano perché il contrasto al cybercrime non possa fermarsi all’identificazione degli autori di un attacco. Se un intermediario viene escluso dal sistema finanziario o perde l’accesso a un’infrastruttura tecnologica, le sue operazioni possono diventare più difficili. Ma questo non significa necessariamente che la rete criminale scompaia: operatori e clienti possono cercare altri servizi, spostare le transazioni o ricostruire parte delle attività altrove.
La vicenda di Tudou Guarantee offre un esempio concreto di questo concetto. Al seguito della chiusura di Huione Guarantee nel maggio 2025, molti commercianti e utenti si sono spostati verso Tudou, che avrebbe elaborato oltre 12 miliardi di dollari in transazioni. Nel gennaio 2026, Tudou avrebbe interrotto le transazioni attraverso i suoi gruppi Telegram pubblici, anche se alcune attività collegate, come le operazioni di gioco d’azzardo, erano continuate. Il caso suggerisce che la chiusura di una piattaforma possa interrompere un servizio specifico, ma anche creare spazio per nuovi intermediari.
Per valutare l’efficacia della risposta statunitense servono quindi indicatori più precisi del numero di sequestri o del valore complessivo delle transazioni identificate. Occorre capire se i servizi colpiti siano rimasti inattivi, se gli stessi operatori siano ricomparsi attraverso altri intermediari e, soprattutto, se sia diminuita la capacità delle reti collegate alla Corea del Nord di convertire i guadagni dei furti in risorse utilizzabili. Le misure Statunitensi contro Huione hanno provocato cambiamenti nell’ecosistema delle piattaforme criminali, ma non sembrano aver ridotto le entrate nordcoreane derivanti dal cybercrime. Difatti, negli ultimi cinque anni, si stima che gli hacker Nordcoreani abbiano rubato più di 1,2 miliardi di dollari in criptovalute e altri asset virtuali, di cui oltre la metà nel solo corso di quest’anno.
Colpire l’ecosistema, non soltanto l’attacco
Il caso Huione mette in evidenza un cambiamento nel modo in cui gli Usa affrontano alcune forme di criminalità informatica: accanto alle indagini sugli attacchi e sui loro autori, cresce l’attenzione verso gli intermediari finanziari e le infrastrutture tecnologiche che consentono ai proventi di circolare. L’esclusione dal sistema finanziario, l’estensione delle misure alle società collegate e il sequestro di un account cloud intervengono su livelli diversi. Nessuno di questi strumenti, preso singolarmente, garantisce però che una rete criminale venga smantellata.
A livello internazionale, la posta in gioco è particolarmente rilevante, in quanto i guadagni di attacchi attribuiti alla Corea del Nord possono contribuire ad aggirare le sanzioni. Per questo, il collegamento tra una parte dei fondi transitati da Huione e attacchi informatici attribuiti a Pyongyang rende l’intermediario un bersaglio particolarmente rilevante. Ma il successo delle misure non può essere dedotto dal solo annuncio di un’operazione: deve essere valutato sulla base dei suoi effetti nel tempo.
La domanda, dunque, non è soltanto quanti fondi siano stati tracciati o quante infrastrutture siano state sequestrate, ma se queste azioni riescano a interrompere in modo duraturo i servizi di cui le reti criminali hanno bisogno, senza limitarsi a spostare il problema altrove. Huione mostra che colpire l’infrastruttura può essere un passo importante, ma che non basta per ridurre davvero la capacità finanziaria della Corea del Nord.
