Een Canadese man is uitgeleverd aan de Verenigde Staten om zich te verantwoorden voor federale aanklachten dat hij en een vermeende medeplichtige zijn binnengedrongen in computers van universiteiten, inloggegevens hebben gestolen en de machines in het geheim hebben gebruikt om cryptocurrency te minen, maakte het Amerikaanse ministerie van Justitie dinsdag bekend in een persbericht.

Een federale grand jury in het Western District of New York heeft Ryan James Roach, 35, uit Saskatchewan, en Mathiew James Stubbings, 41, uit Ontario, aangeklaagd wegens samenzwering om informatie te verkrijgen uit en schade toe te brengen aan een beveiligde computer, het verkrijgen van informatie uit een beveiligde computer en het opzettelijk beschadigen van een beveiligde computer. De term "beveiligde computer" komt uit de Computer Fraud and Abuse Act, de federale anti-hackwet die betrekking heeft op computers die worden gebruikt in interstatelijke of buitenlandse handel — in de praktijk in feite elke machine die met het internet is verbonden. De aanklachten staan op een maximale straf van 10 jaar gevangenis en een boete van $250.000.

Het kantoor van de openbare aanklager voor het Western District of New York kondigde de uitlevering aan in een bericht op X:

Canadian man extradited to the U.S. for his role in computer hacking scheme targeting universities... @FBIBuffalo @USDOJ_Intl
— WDNYnews (@WDNYnews) November 4, 2026

Volgens de aanklacht richtten de twee mannen zich tussen juni 2016 en december 2019 op Amerikaanse onderwijsinstellingen met supercomputers, waarbij ze eerst zwakke plekken in de netwerken van de instellingen onderzochten voordat ze binnendrongen. Eenmaal binnen zouden ze malware hebben geïnstalleerd, inloggegevens hebben gestolen en de computers van de slachtoffers hebben gedwongen om voor hun eigen voordeel cryptocurrency te minen. Supercomputers bundelen grote rekenkracht in één systeem, capaciteit die kan worden hergebruikt voor rekenintensieve taken zoals cryptocurrency-mining.

Tot de slachtoffers behoorden instellingen in New York, Tennessee, North Carolina en Massachusetts, waaronder een universiteit in het Western District of New York, aldus de aanklagers. Het duo zou virtuele privé-servers in verschillende landen hebben gebruikt, geregistreerd onder valse namen, om malware en mining-software naar de computers van slachtoffers te sturen en gestolen inloggegevens op te slaan. Ze worden er ook van beschuldigd aanvallen te hebben geleid via gecompromitteerde computers van andere slachtoffers om hun identiteit te verhullen.

Roach, die op 28 oktober uit Canada werd uitgeleverd, is berecht in Rochester, New York, waar hij vastzit in afwachting van een detentiehoorzitting. De uitleveringsprocedure tegen Stubbings loopt nog in Canada.

De zaak valt samen met verschuivende tactieken in de ondergrondse economie rond gestolen rekenkracht.

Van cryptojacking naar LLMjacking

De vermeende scheemloop is een vorm van cryptojacking, waarbij aanvallers de computers van anderen gebruiken om cryptocurrency te minen terwijl de slachtoffers de elektriciteitskosten en verminderde machineprestaties dragen. Het ministerie van Justitie heeft niet gezegd welke cryptocurrency het duo volgens de aanklacht zou hebben gemined. De privacycoin Monero is al lang een favoriet voor dit soort praktijken omdat het op gewone hardware kan worden gemined. In augustus waarschuwde het nationale cyberagentschap van Nederland dat aanvallers een kwetsbaarheid in de Screen Sharing-functie van Apples macOS misbruikten om Monero-miners op Macs te plaatsen.

Maar hackers die willen profiteren van gestolen rekenkracht kunnen hun aandacht elders richten. In een maandag gepubliceerd rapport zei Google's Threat Intelligence Group te verwachten dat aanvallers "steeds meer prioriteit geven aan LLMjacking boven traditionele diefstal van bronnen zoals cryptojacking", waarbij ze de toegang van bedrijven tot AI-modellen kapen en de daaruit voortvloeiende rekeningen doorschuiven naar slachtoffers.

Anders dan bij de geleidelijke aftakeling van cryptojacking kan LLMjacking binnen enkele uren enorme cloudkosten veroorzaken, aldus Google. Bij incidenten die dit jaar door zijn dochteronderneming Mandiant zijn onderzocht, liepen frauduleuze kosten boven de $100.000 op één dag uit, en sommige organisaties stapelden $1 miljoen op voordat de toegang werd afgesneden. Aanvallers verkopen gestolen toegang door via ondergrondse diensten die Google "LLM Mixers" noemt.

De zaak tegen Roach is hangende in het Western District of New York.