Het Amerikaanse ministerie van Justitie meldde donderdag dat het rechterlijke toestemming heeft verkregen om meer dan 1,2 miljard dollar aan bij Binance gestolen cryptocurrency in beslag te nemen of te bevriezen — onderdeel van een ruimere bevriezing van meer dan 2,7 miljard dollar die volgens ambtenaren ongeveer de helft van Noord-Korea's overval op een beurs in oktober heeft gestopt.

In een aankondiging donderdag meldde het ministerie dat leden van het Noord-Koreaanse leger — door de FBI aangeduid als TraderTraitor — op of rond 29 oktober meer dan 6 miljard dollar aan virtuele activa van Binance hebben gestolen. Dat bedrag ligt onder de 6,34 miljard dollar die Binance sinds de aanval heeft gedekt.

Binance meldde dat het de dekking van de door de inbreuk getroffen activa heeft afgerond en de getroffen tokens heeft vervangen uit bedrijfsfondsen in plaats van de gestolen munten terug te vorderen, aldus de verklaring van de beurs. De twee trajecten lopen apart: het DOJ werkt aan de onderschepping van wat is gestolen, terwijl Binance heeft gemeld dat gebruikers volledig zijn gecompenseerd via het Secure Asset Fund for Users (een noodreserve die de beurs in 2018 heeft opgericht), een deel van het futures-verzekeringsfonds en de schatkist.

Assistent-s procureur-generaal A. Tysen Duva van de criminele afdeling van het DOJ zei dat het ministerie en zijn partners erin slaagden "ongeveer de helft van deze historische inbreuk onmiddellijk te stoppen" door gestolen activa te bevriezen "voordat ze buiten bereik van de rechtshandhaving raakten."

De bevriezing van meer dan 2,7 miljard dollar is een gezamenlijk cijfer dat zowel overheids- als private-sectorinspanningen omvat. Van dat totaal heeft het DOJ volgens eigen zeggen al rechterlijke toestemming verkregen om meer dan 1,2 miljard dollar in beslag te nemen of te bevriezen; voor het restant van de bevroren fondsen is geen rechterlijke goedkeuring aangekondigd. De onderliggende gerechtelijke stukken zijn niet bij de aankondiging gepubliceerd.

De 1,2 miljard dollar is geen nieuw teruggekregen geld. Het komt uit de circa 2,85 miljard dollar die Binance op 3 november als bevroren of onderschept meldde, en de donderdag verkregen rechterlijke toestemming is de juridische stap die de overheid in staat stelt via confiscatie eigendom van die fondsen na te streven. Tot nu toe waren de activa simpelweg bevroren bij de tokenuitgevers.

Zelfs de bevriezing markeert niet het einde van het spoor. Volgens het DOJ verplaatsen TraderTraitor-actoren de gestolen activa nog steeds via crypto-bruggen, mixers en beurzen — diensten die het opsporen van gestolen fondsen bemoeilijken — en werken tracering, beslaglegging en confiscatie door.

Vorige week, op 31 oktober, gaven de FBI, samen met de Amerikaanse Secret Service en de criminele afdeling van de IRS, een Cyber Alert uit waarin de diefstal aan Noord-Korea werd toegeschreven en aanbieders van virtuele activa werden opgeroepen transacties met, of afkomstig van, door de actoren gebruikte adressen te blokkeren. In de waarschuwing stond dat onderzoekers hebben gezien dat de gestolen activa voornamelijk zijn omgezet in ether. Amerikaanse instanties en VN-onderzoekers hebben jarenlang hoogwaardige beursdiefstallen toegeschreven aan Noord-Korea gelieerde hackereenheden, waarvan de opbrengsten volgens VN-rapportage bijdragen aan de financiering van de wapenprogramma's van het regime.

Een apart deepfake-plan van 400 miljoen dollar en 900 in beslag genomen video's

Los van de DOJ- en Binance-zaak kondigden het Amerikaanse parket voor het Central District of California en de FBI de inbeslagname aan van cloudinfrastructuur die werd gebruikt in een social engineering-campagne die het bureau FaceStealer noemt. De FBI meldde dat het plan in de afgelopen 18 maanden heeft geleid tot de diefstal van meer dan 400 miljoen dollar aan cryptocurrency en ook is gebruikt in pogingen om beheerders van open-source software te compromitteren — een stap die volgens het bureau erop gericht lijkt supply-chain-aanvallen mogelijk te maken.

De methode is een nep-videogesprek. Volgens de FBI lokken Noord-Koreaanse hackers, publiekelijk bekend onder namen als APT38 en BlueNoroff, slachtoffers met vergaderuitnodigingen die worden verstuurd van accounts die van eerdere slachtoffers zijn gestolen. Zodra een doelwit deelneemt, spelen de hackers een vooraf opgenomen webcamvideo van een persoon die het doelwit kent, of een deepfake van een bekend figuur uit de cryptosector, en sturen vervolgens een valse technische fout en een "fix" die malware installeert. In verschillende gevallen vond de diefstal maanden tot meer dan een jaar na de eerste compromittering plaats, omdat de hackers wachtten tot de wallet-saldi groeiden.

Volgens een donderdag gepubliceerd FBI FLASH-rapport verlopen de gesprekken via imitatieversies van Zoom, Microsoft Teams en Google Meet, waarbij uitnodigingen vaak via gekaapte Telegram-, LinkedIn-, Slack- of Discord-accounts gaan. Op basis van een federaal bevel nam de FBI meer dan 900 webcamvideo's van FaceStealer-slachtoffers in beslag. Het bureau heeft een overzichtspagina voor de campagne gepubliceerd op fbi.gov/facestealer.

Plaatsvertend hoofdaanklager voor Nationale Veiligheid M. Scott Proctor verbond beide donderdag-acties aan dezelfde aantijging: "De regering van Noord-Korea financieret zijn schurkenstaat en illegale wapenprogramma's door diefstal van cryptocurrency."

De Binance-terugvordering blijft geleid door de FBI-veldoffice Los Angeles, de Cyber Division en de Virtual Asset Unit, in samenwerking met de Secret Service en de criminele afdeling van de IRS. Het DOJ heeft niet gezegd hoeveel van de bevriezing van meer dan 2,7 miljard dollar, of van de 1,2 miljard dollar die nu onder rechterlijk bevel staat, bitcoin is.

Dit artikel is gebaseerd op verslaggeving door Micah Zimmerman, oorspronkelijk gepubliceerd door Bitcoin Magazine.