Las autoridades estadounidenses obtuvieron la aprobación judicial para decomisar o inmovilizar más de 1,200 millones de dólares en criptomonedas robadas en el hackeo de octubre a la casa de intercambio de criptomonedas Binance. El Departamento de Justicia anunció la medida el 12 de noviembre, dos semanas después de que la plataforma revelara el robo, según un comunicado de prensa oficial. Los fondos objetivo forman parte de un total más amplio de más de 2,700 millones de dólares inmovilizados mediante esfuerzos combinados del gobierno y el sector privado.

El FBI atribuye el ataque a TraderTraitor, un grupo de hackers que vincula con Corea del Norte, mientras que Binance ha estimado sus pérdidas en 6,340 millones de dólares, una cifra que sigue siendo muy superior a los montos inmovilizados hasta ahora. En una operación aparte, agentes federales también decomisaron infraestructura en la nube vinculada a FaceStealer, un esquema de videollamadas falsas que, según los funcionarios, robó más de 400 millones de dólares en criptomonedas durante los últimos 18 meses. El Departamento enmarcó ambas medidas como parte de su esfuerzo por disruptir lo que describe como el masivo robo de criptomonedas por parte de Corea del Norte.

Órdenes Judiciales Apuntan a los Fondos del Hackeo de Binance

El FBI atribuyó el ataque, ocurrido el 29 de octubre y que afectó varias criptomonedas en poder de la casa de intercambio, al grupo TraderTraitor. Corea del Norte ha negado su participación en el robo, pero funcionarios estadounidenses afirman que el robo de criptomonedas ayuda a financiar los programas gubernamentales y de armas del país.

Según el Departamento de Justicia, los más de 1,200 millones de dólares cubiertos por la autorización judicial están incluidos dentro del total inmovilizado más amplio, no son una suma adicional que se agregue a los 2,700 millones de dólares. Inmovilizar activos puede evitar que se trasladen, mientras que el decomiso o la retención autorizada por un tribunal representa otro paso en el proceso legal. Ninguna de las dos cifras significa que toda la criptomoneda robada haya sido recuperada o devuelta.

Los investigadores aún rastrean los activos mientras los hackers mueven fondos a través de casas de intercambio, mixers y bridges, según el Departamento. Los bridges transfieren activos entre blockchains, mientras que los mixers pueden ocultar sus historiales de transacciones.

Después del hackeo, el FBI dijo haber observado que los atacantes convertían los activos robados principalmente en Ether. El organismo instó a los proveedores de servicios cripto a bloquear las transacciones vinculadas a direcciones identificadas.

Binance señaló que los atacantes accedieron a un servicio interno de firma de wallets e iniciaron transferencias fuera de su proceso normal de retiros. Su investigación describió una operación de múltiples etapas que involucró entrevistas de trabajo falsas, descargas de malware y herramientas internas comprometidas, y la casa de intercambio dijo que firmas de seguridad independientes realizarían revisiones adicionales tras el ataque.

El 12 de noviembre, Binance anunció que había completado la cobertura de los activos afectados por el hackeo utilizando recursos de la empresa. La plataforma también publicó una nueva instantánea de reservas, aunque la prueba criptográfica correspondiente, el elemento que normalmente permite verificar dichas instantáneas de forma independiente, seguía pendiente. Reemplazar los activos afectados no significa que la casa de intercambio haya recuperado todas las monedas robadas, y tanto la prueba pendiente como las revisiones independientes que Binance dijo que seguirían siguen siendo puntos abiertos.

Cómo FaceStealer Usaba Reuniones Falsas para Robar Cripto

Las autoridades anunciaron la acción de aplicación de la ley contra FaceStealer por separado del caso del hackeo de Binance. El Departamento de Justicia dijo que decomisó infraestructura en la nube utilizada por los hackers norcoreanos detrás de la campaña, una acción dirigida al alojamiento y las herramientas del esquema en lugar de a fondos robados específicos. El FBI dijo que FaceStealer apuntaba a personas que trabajan en criptomonedas y Web3, y que los atacantes también perseguían cada vez más a desarrolladores que mantienen software de código abierto.

El esquema comenzaba con cuentas de mensajería comprometidas pertenecientes a víctimas anteriores. Los hackers usaban esas cuentas para invitar a los contactos de las víctimas a videollamadas en sitios diseñados para parecerse a Zoom o Microsoft Teams. Una vez dentro, los objetivos veían grabaciones de personas que conocían, según los investigadores. En algunos casos, los atacantes también usaron videos generados por IA de figuras conocidas de la industria cripto.

Luego, los hackers afirmaban que había un problema técnico, como un fallo de audio, y proporcionaban un enlace o instrucciones para una supuesta solución que en cambio instalaba malware. El software podía ayudarles a robar criptomonedas o acceder a otros sistemas. Las cuentas comprometidas también daban a los atacantes acceso a contactos y conversaciones anteriores, información que les ayudaba a acercarse a nuevos objetivos con mensajes que parecían provenir de alguien conocido.

Mediante una orden federal, el FBI decomisó más de 900 videos de webcam de víctimas de FaceStealer. Los investigadores dijeron que los atacantes podían reutilizar grabaciones de una víctima para hacerse pasar por esa persona en llamadas falsas posteriores con los contactos de confianza de la víctima.

El FBI también advirtió que el acceso al dispositivo de un desarrollador o a sus cuentas de software podría permitir ataques a las aplicaciones de uso generalizado que ese desarrollador mantiene, una vulneración que podría exponer a cualquiera que descargue ese software.

Fuente: Blockonomi