Eine am 12. November über das Internet Crime Complaint Center (IC3) des FBI veröffentlichte Warnung – die Stelle des Büros für die Erfassung von Internetkriminalitätsmeldungen und die Herausgabe öffentlicher Hinweise – beschreibt Verzögerungen von Monaten bis zu mehr als einem Jahr zwischen der anfänglichen Intrusion und dem Diebstahl von Kryptowährung in mehreren gemeldeten Fällen im Zusammenhang mit FaceStealer, einer nordkoreanischen Operation, die gekaperte Kommunikationskonten und gefälschte Videokonferenzen nutzt, um Ziele zur Installation von Malware zu verleiten. Die Warnung richtet sich an Personen, die möglicherweise bereits vor langer Zeit bösartigen Fehlerbehebungsanweisungen gefolgt sind: Das Fehlen unbefugter Überweisungen, so das FBI, beweise nicht, dass ihre Wallet-Zugangsdaten privat geblieben seien.

Warum eine Wallet nach dem Diebstahl der Phrase normal aussehen kann

Eine Wiederherstellungsphrase ermöglicht kompatibler Wallet-Software die Rekonstruktion der privaten Schlüssel, die zur Autorisierung von Transaktionen verwendet werden. Bei einer Standard-Wallet mit Wiederherstellungsphrase kann jeder, der die Phrase besitzt, den Zugriff auf einem anderen Gerät wiederherstellen, ohne den Zugriff des Eigentümers zu entfernen – beide Parteien können dann über die Mittel verfügen, um das Guthaben auszugeben.

Das Kopieren der Phrase bewegt keine Kryptowährung. Ein Block-Explorer kann Einzahlungen und Überweisungen anzeigen, aber er kann nicht offenlegen, dass eine andere Person die Informationen erlangt hat, die zur Autorisierung einer künftigen Abhebung erforderlich sind. Ein Eigentümer kann die Wallet daher weiter normal nutzen, während ein Angreifer auf ein größeres Guthaben wartet.

Die Warnung vom 12. November beschreibt Angreifer, die genau dies tun. Sie nennt keine durchschnittliche Wartedauer und keine Schätzung, wie oft eine Kompromittierung zu verzögertem Diebstahl führt. Ihre Feststellung ist enger gefasst: In mehreren gemeldeten Fällen erfolgten Diebstahl und die Kaperung von Kommunikationskonten Monate bis mehr als ein Jahr nach der Intrusion.

Das Ausmaß der Exposition hängt davon ab, worauf die Angreifer zugreifen konnten. Eine auf einem infizierten Computer gespeicherte Wiederherstellungsphrase birgt ein anderes Risiko als eine Phrase, die für dieses Gerät nie zugänglich war, und eine Computerinfektion allein bedeutet nicht, dass jede vom Eigentümer genutzte Wallet ihre Schlüssel verloren hat.

Wie ein vertrauter Kontakt den gefälschten Fix übermittelt

FaceStealer-Operationen beginnen mit dem Zugriff auf das Kommunikationskonto eines früheren Opfers. Angreifer nutzen dieses echte Konto, um die Kontakte des Opfers wegen eines Treffens, einer Zusammenarbeit oder einer Investitionsmöglichkeit anzusprechen, und senden dann einen Link zu einem nachgeahmten Meeting-Dienst.

In der gefälschten Konferenz spielen sie gestohlene Webcam-Aufnahmen ab, damit erkennbare Personen als Teilnehmer erscheinen. Anschließend behaupten sie, das Ziel habe ein Audioproblem oder benötige ein Update. Die vorgeschlagene Lösung verlangt, dass das Ziel eine Datei herunterlädt, ein Skript ausführt oder einen Befehl eingibt, der die Malware installiert.

Die Kampagne verlässt sich weiterhin überwiegend auf echte, gestohlene Aufnahmen, although die Warnung auch synthetisches Video beschreibt. Der Betrug erfordert kein erfundenes Gesicht: Echtes Material wird in einem Gespräch verwendet, das die aufgenommene Person nicht steuert.

Die Behörden beschlagnahmten mehr als 900 Webcam-Aufnahmen von Opfern bei der Zerschlagung der FaceStealer-Infrastruktur. Das FBI ordnet dem Schema über 400 Millionen Dollar an gestohlener Kryptowährung innerhalb von 18 Monaten zu.

Die Bereinigung des Computers ersetzt nicht die Kontrolle über die Wallet

Das Entfernen von Malware kann verhindern, dass die Software auf einem Gerät weiterläuft, aber sie kann keine Wiederherstellungsphrase zurückholen, die bereits anderweitig kopiert wurde. Die Neuinstallation einer Wallet-Anwendung, das Ändern ihres lokalen Passworts oder das Wiederherstellen derselben Phrase auf einem anderen Computer lässt die zugrunde liegenden Wallet-Zugangsdaten unverändert.

Bei einer exponierten Wallet mit Wiederherstellungsphrase bedeutet der Ersatz, eine Wallet mit einer neuen Phrase zu erstellen und die Assets zu verschieben. Eine Standard-Wallet mit Wiederherstellungsphrase hat keinen herausgebenden Anbieter, der eine Phrase nach dem Kopieren ungültig machen könnte – weshalb der Ersatz statt der Reparatur der einzige Weg ist. Phantoms Migrationsanleitung erläutert, dass ihren bestehenden Wallets mit Wiederherstellungsphrase nicht einfach eine neue Phrase zugewiesen werden kann, und rät, Tokens, Sammlerstücke, gestakte Assets und DeFi-Positionen zu prüfen, von denen einige zusätzliche Schritte erfordern, bevor sie verlegt werden können.

Eine Migration muss daher mehr berücksichtigen als das Guthaben auf dem Startbildschirm der Wallet. Der Eigentümer muss die Assets und Positionen identifizieren, die weiterhin von den exponierten Zugangsdaten kontrolliert werden, und künftige Zahlungen nicht mehr an die alten Adressen richten.

Gestohlene Konten gefährden den nächsten Kontakt

Der Wallet-Zugriff ist nur eine Verwendung des kompromittierten Geräts. FaceStealer-Angreifer erlangen auch Kontaktlisten und Chatverläufe, wodurch sie ein Vorgehen auf ein früheres Gespräch zuschneiden können. Eine Nachricht über eine Investition oder ein Meeting kann vom erwarteten Konto kommen und sich auf eine echte Beziehung beziehen.

Die Wiederherstellung des Kontos kann diesen Weg zu weiteren Opfern unterbrechen, doch Kontakte haben möglicherweise bereits Einladungen erhalten oder das aufgenommene Gesicht des Eigentümers gesehen. Sie benötigen eine Warnung über einen anderen etablierten Kanal. Auch Arbeitgeber müssen erfahren, wenn ein Arbeitsgerät oder Arbeitsinformationen exponiert sein könnten – selbst wenn keine Kryptowährung verschwunden ist.

Für künftige Meeting-Einladungen wird empfohlen, die offizielle Anwendung eigenständig zu öffnen und mit dem Meeting-Code beizutreten, ungewöhnliche Anfragen über einen anderen etablierten Kontaktweg zu bestätigen und Updates separat einzuholen, statt Skripte oder Befehle aus dem Chat auszuführen.

Jeder, der vor Monaten einem verdächtigen „Fix“ gefolgt ist, sollte die zu diesem Zeitpunkt zugänglichen Zugangsdaten und Konten erneut prüfen. Da die in der Warnung beschriebenen Fälle Diebstähle Monate bis mehr als ein Jahr nach der Intrusion umfassen, muss diese Neubewertung über die jüngste Aktivität hinaus jeden Zeitraum erfassen, in dem das Gerät kompromittiert gewesen sein könnte. Diese Prüfung bestimmt, ob Guthaben verlegt werden müssen, Kontositzungen beendet werden müssen und Kontakte gewarnt werden müssen.