Das US-Justizministerium teilte am Donnerstag mit, dass es eine gerichtliche Genehmigung zur Beschlagnahme oder Sperrung von mehr als 1,2 Milliarden US-Dollar in Kryptowährungen erhalten hat, die aus Binance gestohlen wurden – Teil einer umfassenderen Sperrung von über 2,7 Milliarden US-Dollar, die nach Angaben der Behörden etwa die Hälfte des Oktober-Coup-Überfalls Nordkoreas auf die Börse gestoppt hat.

In einer Ankündigung am Donnerstag teilte das Ministerium mit, dass Mitglieder des nordkoreanischen Militärs – vom FBI als TraderTraitor bezeichnet – am oder um den 29. Oktober virtuelle Vermögenswerte im Wert von mehr als 6 Milliarden US-Dollar aus Binance gestohlen haben. Diese Zahl liegt unter den 6,34 Milliarden US-Dollar, die Binance seit dem Angriff gedeckt hat.

Binance erklärte, die Abdeckung der vom Angriff betroffenen Vermögenswerte sei abgeschlossen; die betroffenen Token wurden aus Unternehmensmitteln ersetzt und nicht durch eine Wiedererlangung der gestohlenen Coins, wie aus der Erklärung der Börse hervorgeht. Die beiden Bemühungen laufen auf getrennten Wegen: Das Justizministerium arbeitet daran, das Gestohlene abzufangen, während Binance mitteilte, die Nutzer seien über seinen Secure Asset Fund for Users (eine Notreserve, die die Börse 2018 einrichtete), einen Teil seines Futures-Versicherungsfonds und sein Treasury vollständig entschädigt wurden.

Justiz-Staatsanwalt A. Tysen Duva von der Strafrechtsabteilung des Ministeriums erklärte, das Ministerium und seine Partner hätten „etwa die Hälfte dieses historischen Eindringlingsvorgangs sofort gestoppt“, indem sie die gestohlenen Vermögenswerte „einfroren, bevor sie außerhalb der Reichweite der Strafverfolgungsbehörden gelangten“.

Die Sperrung von über 2,7 Milliarden US-Dollar ist eine gemeinsame Zahl, die Bemühungen der US-Regierung und des Privatsektors umfasst. Von diesem Gesamtbetrag hat das Justizministerium laut eigener Angabe bereits eine gerichtliche Genehmigung zur Beschlagnahme oder Sperrung von mehr als 1,2 Milliarden US-Dollar erhalten; für den Rest der eingefrorenen Mittel wurde keine gerichtliche Genehmigung bekannt gegeben. Die zugrunde liegenden Gerichtsdokumente wurden mit der Ankündigung nicht veröffentlicht.

Die 1,2 Milliarden US-Dollar sind kein neu wiedererlangtes Geld. Sie stammen aus den rund 2,85 Milliarden US-Dollar, die Binance am 3. November als eingefroren oder abgefangen meldete, und die am Donnerstag erteilte gerichtliche Genehmigung ist der rechtliche Schritt, der es der Regierung ermöglicht, die Eigentumsübertragung dieser Mittel durch Einziehung (Forfeiture) zu verfolgen. Bislang waren die Vermögenswerte lediglich bei den Token-Herausgebern eingefroren.

Auch die Sperrung markiert nicht das Ende der Spur. Nach Angaben des Justizministeriums bewegen die TraderTraitor-Akteure die gestohlenen Vermögenswerte weiterhin über Krypto-Bridges, Mixer und Börsen – Dienste, die die Rückverfolgung gestohlener Mittel erschweren – und die Arbeit an Rückverfolgung, Beschlagnahme und Einziehung läuft weiter.

Letzte Woche, am 31. Oktober, gaben das FBI gemeinsam mit dem US Secret Service und der Strafverfolgungsabteilung der IRS eine Cyber-Warnung heraus, in der der Diebstahl Nordkorea zugeschrieben wird und Anbieter virtueller Vermögenswerte aufgefordert werden, Transaktionen mit von den Akteuren genutzten Adressen oder daraus abgeleiteten Transaktionen zu blockieren. In der Warnung heißt es, Ermittler hätten beobachtet, dass die gestohlenen Vermögenswerte hauptsächlich in Ether umgewandelt wurden. US-Behörden und Ermittler der Vereinten Nationen haben Jahre hochwertiger Börsendiebstähle nordkorea-linked Hacking-Einheiten zugeschrieben, deren Erlöse nach UN-Berichten der Finanzierung der Waffenprogramme des Regimes dienen.

Ein separates Deepfake-Schema über 400 Millionen US-Dollar und 900 beschlagnahmte Videos

Unabhängig vom Fall Justizministerium und Binance gaben die US-Staatsanwaltschaft für den zentralen Bezirk von Kalifornien und das FBI die Beschlagnahme cloud-basierter Infrastruktur bekannt, die in einer Social-Engineering-Kampagne verwendet wurde, die das Bureau FaceStealer nennt. Nach FBI-Angaben hat das Schema in den vergangenen 18 Monaten zur Entwendung von mehr als 400 Millionen US-Dollar in Kryptowährungen geführt und wurde auch verwendet, um Personen anzugreifen, die Open-Source-Software pflegen – ein Schritt, der nach Angaben des Bureau darauf abzielt, Supply-Chain-Angriffe zu ermöglichen.

Die Methode ist ein gefälschter Videoanruf. Laut FBI ködern nordkoreanische Hacker, die öffentlich unter Namen wie APT38 und BlueNoroff bekannt sind, ihre Ziele mit Besprechungseinladungen von Konten, die von früheren Opfern gestohlen wurden. Sobald ein Ziel dem Anruf beitritt, spielen die Hacker ein aufgezeichnetes Webcam-Video einer Person ab, die das Ziel kennt, oder ein Deepfake einer bekannten Persönlichkeit der Kryptobranche, signalisieren dann einen gefälschten technischen Fehler und senden einen „Fix“, der Schadsoftware installiert. In mehreren Fällen erfolgte der Diebstahl Monate bis mehr als ein Jahr nach der ersten Kompromittierung, während die Hacker auf wachsende Wallet-Guthaben warteten.

Ein am Donnerstag veröffentlichter FBI-FLASH-Bericht sagte, die Besprechungen liefen über nachgeahmte Versionen von Zoom, Microsoft Teams und Google Meet, wobei Einladungen oft über gehackte Telegram-, LinkedIn-, Slack- oder Discord-Konten verschickt wurden. Auf Grundlage eines Bundesbeschlagnahmeverfügung beschlagnahmte das FBI mehr als 900 Webcam-Videos von FaceStealer-Opfern. Das Bureau hat ein Informationsportal zur Kampagne unter fbi.gov/facestealer eingerichtet.

Der stellvertretende Hauptstaatsanwalt für Nationale Sicherheit, M. Scott Proctor, verband beide Donnerstags-Aktionen mit derselben Anschuldigung: „Die Regierung Nordkoreas finanziert ihr Schurkenregime und ihre illegale Waffenprogramme durch Kryptowährungsdiebstahl.“

Die Wiedererlangung der Binance-Mittel wird weiterhin vom FBI-Feldbüro Los Angeles, der Cyber-Abteilung und der Virtual Asset Unit geleitet, in Zusammenarbeit mit dem Secret Service und der IRS Criminal Investigation. Das Justizministerium gab nicht an, wie viel der über 2,7 Milliarden US-Dollar umfassenden Sperrung oder der 1,2 Milliarden US-Dollar unter gerichtlicher Genehmigung in Bitcoin gehalten sind.

Dieser Artikel basiert auf einer Berichterstattung von Micah Zimmerman, ursprünglich veröffentlicht bei Bitcoin Magazine.