Die US-Behörden haben gerichtliche Genehmigung erhalten, mehr als 1,2 Milliarden US-Dollar in Kryptowährungen zu beschlagnahmen oder einzufrieren, die beim Oktober-Hack der Kryptobörse Binance gestohlen wurden. Das Justizministerium gab die Maßnahme am 12. November bekannt, zwei Wochen nachdem die Börse den Diebstahl offenlegt hatte, wie in einer offiziellen Pressemitteilung zu lesen. Die zielgerichteten Gelder sind Teil eines größeren Gesamtbetrags von über 2,7 Milliarden US-Dollar, der durch kombinierte staatliche und privatwirtschaftliche Maßnahmen eingefroren wurde.

Das FBI schreibt den Angriff der Hackergruppe TraderTraitor zu, die mit Nordkorea in Verbindung gebracht wird, während Binance seine Verluste auf 6,34 Milliarden US-Dollar schätzt – eine Zahl, die deutlich über den bislang eingefrorenen Beträgen liegt. In einer separaten Operation beschlagnahmten Bundesagenten zudem Cloud-Infrastruktur im Zusammenhang mit FaceStealer, einem Fake-Videoanruf-System, das nach Angaben der Behörden in den vergangenen 18 Monaten mehr als 400 Millionen US-Dollar in Kryptowährungen gestohlen hat. Das Ministerium rahmte die beiden Maßnahmen als Teil seiner Bemühungen ein, die von ihm als massiven Kryptodiebstahl Nordkoreas bezeichneten Aktivitäten zu stören.

Gerichtsbeschlüsse zielen auf Erlöse aus dem Binance-Hack

Das FBI schrieb den Angriff, der am 29. Oktober stattfand und mehrere von der Börse gehaltene Kryptowährungen betraf, der Gruppe TraderTraitor zu. Nordkorea hat eine Beteiligung am Diebstahl bestritten, doch US-Beamte sagen, dass Kryptodiebstähle zur Finanzierung von Regierung und Waffenprogrammen des Landes beitragen.

Nach Angaben des Justizministeriums sind die mehr als 1,2 Milliarden US-Dollar, die von der gerichtlichen Genehmigung abgedeckt sind, in dem größeren eingefrorenen Gesamtbetrag enthalten und kein zusätzlicher Betrag, der zu den 2,7 Milliarden US-Dollar hinzukommt. Das Einfrieren von Vermögenswerten kann deren Verlagerung verhindern, während die gerichtlich angeordnete Beschlagnahme oder Sperrung einen weiteren Schritt im rechtlichen Verfahren darstellt. Keine der beiden Zahlen bedeutet, dass die gesamte gestohlene Kryptowährung bereits sichergestellt oder zurückgegeben wurde.

Den Angaben des Ministeriums zufolge spüren die Ermittler die Vermögenswerte weiterhin, während die Hacker Gelder über Börsen, Mixer und Bridges bewegen. Bridges transferieren Vermögenswerte zwischen Blockchains, während Mixer ihre Transaktionshistorien verschleiern können.

Nach dem Hack teilte das FBI mit, beobachtet zu haben, dass die Angreifer die gestohlenen Vermögenswerte überwiegend in Ether umwandelten. Die Behörde rief Kryptowährungsdienstleister auf, Transaktionen zu blockieren, die mit identifizierten Adressen in Verbindung stehen.

Binance teilte mit, dass die Angreifer auf einen internen Wallet-Signaturdienst zugriffen und Überweisungen außerhalb des normalen Auszahlungsprozesses veranlassten. Die Untersuchung beschreibe einen mehrstufigen Vorgang, der gefälschte Vorstellungsgespräche, Malware-Downloads und kompromittierte interne Tools umfasste; die Börse sagte, unabhängige Sicherheitsunternehmen würden nach dem Angriff weitere Prüfungen vornehmen.

Am 12. November teilte Binance mit, die Ausgleichung der vom Hack betroffenen Vermögenswerte mit Unternehmensmitteln abgeschlossen zu haben. Die Börse veröffentlichte zudem einen neuen Reserve-Snapshot, wobei der zugehörige kryptografische Nachweis – das Element, das solche Snapshots üblicherweise unabhängig überprüfbar macht – noch ausstand. Der Ersatz der betroffenen Vermögenswerte bedeutet nicht, dass die Börse alle gestohlenen Coins sichergestellt hat, und sowohl der ausstehende Nachweis als auch die angekündigten unabhängigen Prüfungen bleiben offene Punkte.

Wie FaceStealer mit gefälschten Meetings Kryptowährung stahl

Die Behörden gaben die FaceStealer-Vollstreckungsmaßnahme getrennt vom Binance-Hack-Fall bekannt. Das Justizministerium teilte mit, dass es die Cloud-Infrastruktur beschlagnahmt habe, die die nordkoreanischen Hacker hinter der Kampagne nutzten – eine Maßnahme, die auf das Hosting und die Werkzeuge hinter dem System und nicht auf konkrete gestohlene Gelder abzielte. Das FBI sagte, FaceStealer habe auf Personen in der Kryptowährungs- und Web3-Branche abgezielt, und die Angreifer verfolgten zunehmend auch Entwickler, die Open-Source-Software pflegen.

Das System begann mit kompromittierten Messaging-Konten früherer Opfer. Hacker nutzten diese Konten, um die Kontakte der Opfer zu Video-Meetings auf Websites einzuladen, die Zoom oder Microsoft Teams ähneln sollten. Sobald die Ziele teilnahmen, sahen sie Aufnahmen von Personen, die sie kannten, wie Ermittler berichten. In einigen Fällen nutzten die Angreifer zudem KI-generierte Videos bekannter Persönlichkeiten der Kryptoindustrie.

Die Hacker behaupteten dann, es gebe ein technisches Problem, etwa einen Audiofehler, und lieferten einen Link oder Anweisungen für eine angebliche Lösung, die stattdessen Malware installierte. Die Software konnte ihnen helfen, Kryptowährung zu stehlen oder auf andere Systeme zuzugreifen. Kompromittierte Konten gaben den Angreifern zudem Zugriff auf Kontakte und frühere Gespräche – Informationen, die ihnen halfen, neue Ziele mit Nachrichten anzusprechen, die von einer vertrauten Person zu stammen schienen.

Auf Grundlage eines Bundesbeschlusses beschlagnahmte das FBI mehr als 900 Webcam-Videos von FaceStealer-Opfern. Ermittler sagten, Angreifer könnten Aufnahmen eines Opfers wiederverwenden, um diese Person in späteren gefälschten Anrufen mit den vertrauten Kontakten des Opfers zu imitieren.

Das FBI warnte außerdem, dass der Zugriff auf das Gerät oder die Softwarekonten eines Entwicklers Angriffe auf die breit genutzten Anwendungen ermöglichen könnte, die dieser Entwickler pflegt – eine Sicherheitsverletzung, die jeden gefährden könnte, der diese Software herunterlädt.

Quelle: Blockonomi