Het Amerikaanse ministerie van Justitie heeft een rechterlijke machtiging verkregen om meer dan $1,2 miljard aan cryptocurrency in beslag te nemen of te bevriezen, verbonden aan de hack in oktober op de beurs Binance, nu federale onderzoekers de inspanningen opvoeren om activa terug te vorderen die naar verluidt zijn gestolen door Noord-Koreaanse hackers.

In een aankondiging op donderdag zei het DOJ dat autoriteiten en partners uit de private sector meer dan $2,7 miljard aan gestolen cryptocurrency hebben bevroren. Het ministerie zei dat de inspanning de samenwerking weerspiegelt tussen overheidsinstanties en bedrijven in de private sector. Onderzoekers blijven aanvullende fondsen opsporen die bewegen via blockchain-bridges, cryptomixers en beurzen, waar gestolen activa kunnen worden overgezet of verborgen.

DOJ achtervolgt activa verbonden aan de hack van Binance van $6 miljard

Federale onderzoekers schreven de aanval op Binance van 29 oktober toe aan TraderTraitor, een hackersgroep verbonden aan de militaire inlichtingenoperaties van Noord-Korea. Het DOJ schat dat de groep meer dan $6 miljard heeft gestolen tijdens de inbraak.

Binance schatte de verliezen eerder op circa $6,3 miljard en zei dat het $6,34 miljard aan bedrijfsfondsen heeft toegewezen om getroffen activa te dekken. De beurs bevestigde ook dat de dekking van de getroffen klantbezittingen was afgerond en publiceerde een bijgewerkt bewijs van reserves. Omdat Binance de getroffen klantbezittingen met bedrijfsfondsen heeft gedekt, richt de federale herstelinspanning zich op de gestolen activa zelf in plaats van op compensatie voor klanten.

De door de rechter goedgekeurde actie, die meer dan $1,2 miljard omvat, maakt deel uit van een bredere inspanning om de beweging van gestolen cryptocurrency te beperken. Het afzonderlijke bedrag van meer dan $2,7 miljard vertegenwoordigt activa die zijn bevroren via de bredere hersteloperatie, en niet het bedrag gedekt door de meest recente rechterlijke machtiging. Gemeten tegen de geschatte verliezen van $6 miljard vertegenwoordigen beide bedragen een gedeeltelijke terugvordering, waarbij het restant onderwerp blijft van lopende opsporing via diensten en netwerken.

Principal Deputy Assistant Attorney General M. Scott Proctor beschuldigde Noord-Korea ervan cryptodiefstal te gebruiken om zijn regering en wapenprogramma's te financieren. Hij zei dat de National Security Division van het DOJ de gestolen activa zou blijven achtervolgen en zich zou blijven inzetten voor hun teruggave. De betrokkenheid van de divisie weerspiegelt de behandeling door de regering van staatsgelinkte cryptodiefstal als een kwestie van nationale veiligheid in plaats van een gewone financiële misdaad.

De autoriteiten hebben geen volledige tijdlijn gegeven voor de terugvordering van de fondsen. Blockchain-opsporingsoperaties zijn nog steeds gaande terwijl onderzoekers aanvullende transacties volgen over verschillende diensten en netwerken. Nu er geen tijdlijn voor terugvordering is aangekondigd, zouden toekomstige gerechtelijke indieningen en inbeslagnameacties het duidelijkste publieke signaal geven van de voortgang van de inspanning.

FBI neemt infrastructuur in beslag achter Noord-Koreaanse FaceStealer-operatie

Het DOJ kondigde ook actie aan tegen een afzonderlijke, met Noord-Korea gelinkte cryptodiefstalcampagne bekend als FaceStealer. Federale autoriteiten namen cloudinfrastructuur in beslag die naar verluidt de operatie ondersteunde, waarvan de FBI schat dat deze in de afgelopen 18 maanden meer dan $400 miljoen aan cryptoverliezen heeft veroorzaakt.

Volgens onderzoekers compromitteerden de aanvallers communicatieaccounts en gebruikten ze die om frauduleuze videogesprekken te regelen met potentiële slachtoffers. Ze gaven zich uit voor mensen die bekend waren bij hun doelwitten via vooraf opgenomen beelden en dieptepoducaties gegenereerd door kunstmatige intelligentie. De tactiek laat zien hoe door AI gegenereerde media praktisch gereedschap zijn geworden voor financiële criminaliteit, waarmee aanvallers het aanzien van vertrouwde contacten kunnen lenen op veelgebruikte videoplatformen.

Tijdens de gesprekken introduceerden criminelen verzonnen technische problemen en wisten ze slachtoffers te overtuigen kwaadaardige software te installeren. De software kon vervolgens cryptowallets en computersystemen compromitteren, waardoor aanvallers toegang kregen tot digitale activa en andere informatie.

Patrick Grandy, plaatselijk hoofd van het FBI-kantoor in Los Angeles, waarschuwde dat het plan vertrouwensrelaties en veelgebruikte videoconferentieplatforms uitbuitte.

Hackers stelden de uitbuiting van gecompromitteerde computers uit

Onderzoekers ontdekten dat aanvallers in sommige gevallen maanden, of zelfs langer dan een jaar, wachtten voordat ze computers uitbuitten die ze eerder hadden gecompromitteerd, waarbij de inbraken slapend bleven. De campagne omvatte ook het gebruik van gestolen contactinformatie om aanvullende doelwitten te identificeren. Zo'n slapende periode bemoeilijkt de respons op incidenten, omdat een inbraak die vandaag naar boven komt kan teruggaan naar een compromittering lang voordat enige diefstal werd opgemerkt.

Tot de doelwitten behoorden open-sourceontwikkelaars wier software aanvallers toegang kon geven tot een bredere groep gebruikers. De bevindingen benadrukken hoe een eerste compromittering lang na de oorspronkelijke inbraak kan worden gebruikt om verdere aanvallen mogelijk te maken.

Federale agenten namen meer dan 900 webcamopnames in beslag die verband hielden met FaceStealer-slachtoffers en gaven richtlijnen uit aan getroffen personen.

De twee gevallen illustreren de omvang van de campagne van het DOJ tegen cryptodiefstaloperaties gelinkt aan Noord-Korea. Hoewel de autoriteiten beperkingen hebben veiliggesteld op miljarden dollars aan vermoedelijk gestolen activa, lopen de onderzoeken naar zowel de Binance-inbraak als de FaceStealer-campagne nog steeds, en blijft onduidelijk hoeveel meer van de gestolen fondsen kan worden teruggevorderd en welke verdere acties volgen op de uitschakeling van FaceStealer.