US-Justizministerium erhält gerichtliche Genehmigung zur Beschlagnahme von 1,2 Milliarden US-Dollar im Zusammenhang mit dem Binance-Hack und nordkoreanischen Hackern
Wichtige Erkenntnisse
- •Das DOJ erhielt eine gerichtliche Genehmigung, um mehr als 1,2 Milliarden US-Dollar in Kryptowährungen im Zusammenhang mit dem Binance-Hack vom 29. Oktober zu beschlagnahmen oder einzufrieren, den Bundesermittler der mit Nordkorea verbundenen Gruppe TraderTraitor zuschreiben.
- •Behörden und Partner aus der Privatwirtschaft haben im Rahmen einer umfassenderen Rückholmaßnahme mehr als 2,7 Milliarden US-Dollar in gestohlener Kryptowährung eingefroren; beide Beträge bleiben im Vergleich zu den geschätzten Verlusten von 6 Milliarden US-Dollar Teilrückholungen.
- •Binance erklärte, rund 6,34 Milliarden US-Dollar aus Unternehmensmitteln zur Abdeckung der betroffenen Kundenguthaben bereitgestellt und einen aktualisierten Proof-of-Reserves-Bericht veröffentlicht zu haben; die bundesstaatliche Rückholmaßnahme richtet sich daher auf die gestohlenen Vermögenswerte und nicht auf die Entschädigung der Kunden.
- •In einer verwandten Maßnahme beschlagnahmte das FBI die Cloud-Infrastruktur der FaceStealer-Kampagne, einer mit Nordkorea verbundenen Operation, die laut Schätzungen in 18 Monaten durch Deepfakes in gefälschten Videokonferenzen zur Verbreitung wallet-kompromittierender Schadsoftware Verluste von mehr als 400 Millionen US-Dollar verursachte.
- •Ermittler fanden heraus, dass Angreifer kompromittierte Computer teils monatelang oder länger als ein Jahr ungenutzt ließen, bevor sie sie ausnutzten; die Rückverfolgung der verbleibenden gestohlenen Gelder über Blockchain-Bridges, Mixer und Börsen läuft weiter, ohne dass ein Zeitplan für die Rückholung angekündigt wurde.
Das US-Justizministerium hat eine gerichtliche Genehmigung erhalten, um mehr als 1,2 Milliarden US-Dollar in Kryptowährungen zu beschlagnahmen oder einzufrieren, die mit dem Hack der Binance-Börse im Oktober in Zusammenhang stehen, während bundesstaatliche Ermittler ihre Bemühungen intensivieren, mutmaßlich von nordkoreanischen Hackern gestohlene Vermögenswerte zurückzuholen.
In einer Ankündigung am Donnerstag teilte das DOJ mit, dass Behörden und Partner aus der Privatwirtschaft mehr als 2,7 Milliarden US-Dollar in gestohlener Kryptowährung eingefroren haben. Das Ministerium erklärte, die Maßnahme spiegele die Koordination zwischen Regierungsbehörden und Unternehmen der Privatwirtschaft wider. Die Ermittler verfolgen weiterhin weitere Gelder, die über Blockchain-Bridges, Kryptowährungs-Mixer und Börsen bewegt werden, wo gestohlene Vermögenswerte transferiert oder verschleiert werden können.
DOJ verfolgt Vermögenswerte im Zusammenhang mit Binances Verlust von 6 Milliarden US-Dollar
Bundesermittler schrieben den Angriff auf Binance vom 29. Oktober der Gruppe TraderTraitor zu, einer Hackergruppe, die mit den Militärgeheimdienstaktivitäten Nordkoreas in Verbindung gebracht wird. Das DOJ schätzt, dass die Gruppe bei dem Angriff mehr als 6 Milliarden US-Dollar erbeutete.
Binance bezifferte seine Verluste zuvor auf rund 6,3 Milliarden US-Dollar und erklärte, 6,34 Milliarden US-Dollar aus Unternehmensmitteln zur Abdeckung der betroffenen Vermögenswerte bereitgestellt zu haben. Die Börse bestätigte außerdem, dass die Abdeckung der betroffenen Kundenguthaben abgeschlossen sei, und veröffentlichte einen aktualisierten Proof-of-Reserves-Bericht. Da Binance die betroffenen Kundenguthaben mit Unternehmensmitteln abgedeckt hat, konzentriert sich die bundesstaatliche Rückholmaßnahme auf die gestohlenen Vermögenswerte selbst und nicht auf die Entschädigung der Kunden.
Die gerichtlich genehmigte Maßnahme über mehr als 1,2 Milliarden US-Dollar ist Teil eines umfassenderen Vorhabens, die Bewegung gestohlener Kryptowährungen einzuschränken. Die separate Zahl von mehr als 2,7 Milliarden US-Dollar stellt die im Rahmen der breiter angelegten Rückholmaßnahme eingefrorenen Vermögenswerte dar, nicht den Betrag der jüngsten gerichtlichen Genehmigung. Gemessen an den geschätzten Verlusten von 6 Milliarden US-Dollar stellen beide Beträge eine teilweise Rückholung dar; der Rest wird über Dienste und Netzwerke hinweg weiterverfolgt.
Principal Deputy Assistant Attorney General M. Scott Proctor beschuldigte Nordkorea, Kryptowährungsdiebstahl zur Finanzierung seiner Regierung und Waffenprogramme zu nutzen. Er erklärte, die Nationale Sicherheitsabteilung des DOJ werde die Verfolgung gestohlener Vermögenswerte und deren Rückholung fortsetzen. Das Engagement der Abteilung zeigt, dass die Regierung staatlich verbundene Krypto-Diebstähle als Frage der nationalen Sicherheit und nicht als gewöhnliche Finanzstraftat behandelt.
Die Behörden haben keinen vollständigen Zeitplan für die Rückholung der Gelder genannt. Die Blockchain-Rückverfolgung läuft weiter, während Ermittler zusätzlichen Transaktionen über verschiedene Dienste und Netzwerke hinweg folgen. Da kein Zeitplan für die Rückholung angekündigt wurde, würden künftige Gerichtsdokumente und Beschlagnahmemaßnahmen das deutlichste öffentliche Signal für den Fortschritt der Bemühungen liefern.
FBI beschlagnahmt Infrastruktur hinter nordkoreanischer FaceStealer-Operation
Das DOJ kündigte zudem Maßnahmen gegen eine separate, mit Nordkorea verbundene Kryptowährungs-Diebstahlkampagne namens FaceStealer an. Bundesbehörden beschlagnahmten Cloud-Infrastruktur, die die Operation mutmaßlich unterstützte und die laut FBI-Schätzungen in den vergangenen 18 Monaten zu Kryptowährungsverlusten von mehr als 400 Millionen US-Dollar geführt hat.
Nach Angaben der Ermittler kompromittierten die Angreifer Kommunikationskonten und nutzten diese, um gefälschte Videokonferenzen mit potenziellen Opfern zu vereinbaren. Sie gaben sich über vorab aufgezeichnete Aufnahmen und künstlich erzeugte Deepfakes als der ZielPerson vertraute Personen aus. Diese Taktik zeigt, wie KI-generierte Medien zu einem praktischen Werkzeug der Finanzkriminalität geworden sind, das es Angreifern ermöglicht, das Erscheinungsbild vertrauenswürdiger Kontakte auf weit verbreiteten Videoplattformen zu übernehmen.
Während der Anrufe gaben die Täter erfundene technische Probleme vor und überredeten die Opfer, Schadsoftware zu installieren. Diese Software konnte anschließend Kryptowährungswallets und Computersysteme kompromittieren und den Angreifern Zugang zu digitalen Vermögenswerten und anderen Informationen verschaffen.
Patrick Grandy, Assistant Director des FBI-Feldbüros Los Angeles, warnte, das Betrugsschema habe vertrauensvolle Beziehungen und weit verbreitete Videokonferenzplattformen ausgenutzt.
Hacker verzögerten die Ausnutzung kompromittierter Computer
Die Ermittler stellten fest, dass Angreifer in einigen Fällen monatelang oder sogar länger als ein Jahr warteten, bevor sie zuvor kompromittierte Computer ausnutzten, wodurch die Eindringlinge unentdeckt blieben. Die Kampagne umfasste auch die Nutzung gestohlener Kontaktinformationen, um weitere Ziele zu identifizieren. Diese Latenz erschwert die Reaktion auf Vorfälle, da ein heute auftretender Eindringling auf eine Kompromittierung zurückgehen kann, die lange vor einer bemerkten Diebstahlhandlung erfolgte.
Zu den Zielen gehörten auch Open-Source-Entwickler, deren Software Angreifern Zugang zu einer größeren Nutzergruppe verschaffen könnte. Die Erkenntnisse zeigen, wie eine anfängliche Kompromittierung genutzt werden kann, um noch lange nach dem ursprünglichen Eindringen weitere Angriffe zu ermöglichen.
Bundesagenten beschlagnahmten mehr als 900 Webcam-Aufnahmen im Zusammenhang mit FaceStealer-Opfern und gaben betroffenen Personen Handlungsempfehlungen.
Die beiden Fälle veranschaulichen das Ausmaß der Kampagne des DOJ gegen mit Nordkorea verbundene Kryptowährungsdiebstahl-Operationen. Während die Behörden Beschränkungen über Milliarden von US-Dollar an mutmaßlich gestohlenen Vermögenswerten durchgesetzt haben, laufen die Ermittlungen sowohl zum Binance-Angriff als auch zur FaceStealer-Kampagne weiter, sodass offen bleibt, wie viel mehr der gestohlenen Gelder zurückgeholt werden kann und welche weiteren Maßnahmen aus der Zerschlagung von FaceStealer folgen.
