Een waarschuwing van 12 november, gepubliceerd via het Internet Crime Complaint Center (IC3) van de FBI, het kanaal van het bureau voor het verzamelen van meldingen van internetcriminaliteit en het uitgeven van publieke waarschuwingen, beschrijft vertragingen van maanden tot meer dan een jaar tussen de eerste inbraak en de diefstal van cryptocurrency in verschillende gerapporteerde zaken rondom FaceStealer, een Noord-Koreaanse operatie die gekaapte communicatieaccounts en nepvideogesprekken gebruikt om slachtoffers te misleiden malware te installeren. De waarschuwing is gericht op mensen die lang geleden mogelijk kwaadaardige probleemoplossingsinstructies hebben gevolgd: de afwezigheid van ongeautoriseerde overboekingen, waarschuwt het bureau, betekent niet dat hun walletreferenties privé zijn gebleven.

Waarom een wallet normaal kan lijken nadat de herstelzin is gestolen

Een herstelzin stelt compatibele walletsoftware in staat de privésleutels te reconstrueren die worden gebruikt om transacties te autoriseren. Bij een standaard wallet met herstelzin kan iedereen die de zin in handen heeft de toegang op een ander apparaat herstellen zonder de toegang van de eigenaar te verwijderen, wat betekent dat beide partijen vervolgens de middelen hebben om de fondsen uit te geven.

Het kopiëren van de zin verplaatst geen cryptocurrency. Een block explorer kan stortingen en overboekingen tonen, maar kan niet laten zien dat een ander de informatie heeft verkregen die nodig is om een toekomstige opname te autoriseren. Een eigenaar kan de wallet dus gewoon blijven gebruiken terwijl een aanvaller wacht op een groter saldo.

De waarschuwing van 12 november beschrijft aanvallers die precies dat doen. Het biedt geen gemiddelde wachttijd en geen schatting van hoe vaak een compromittering tot vertraagde diefstal leidt. De bevinding is beperkter: in verschillende gerapporteerde zaken vond diefstal en kaping van communicatieaccounts plaats maanden tot meer dan een jaar na de inbraak.

De omvang van de blootstelling hangt af van waartoe de aanvallers toegang hadden. Een herstelzin die op een geïnfecteerde computer is opgeslagen, vormt een ander risico dan een zin die nooit beschikbaar was op dat apparaat, en een computerinfectie alleen betekent niet dat elke wallet die de eigenaar gebruikt zijn sleutels is kwijtgeraakt.

Hoe een bekende contactpersoon de nepoplossing aanlevert

FaceStealer-operaties beginnen met toegang tot het communicatieaccount van een eerder slachtoffers. Aanvallers gebruiken dat echte account om de contacten van het slachtoffers te benaderen over een kennismaking, een samenwerking of een beleggingsmogelijkheid, en sturen vervolgens een link naar een namaak-vergaderdienst.

In het nepgesprek spelen ze gestolen webcamopnames af, zodat herkenbare personen lijken deel te nemen. Vervolgens beweren ze dat het doelwit een audioprobleem heeft of een update nodig heeft. De voorgestelde oplossing vraagt het doelwit iets te downloaden, een script uit te voeren of een opdracht in te voeren die de malware installeert.

De campagne is nog steeds grotendeels afhankelijk van echte gestolen opnames, al beschrijft de waarschuwing ook synthetische video. De misleiding vereist geen verzonnen gezicht: authentiek beeldmateriaal wordt gebruikt in een gesprek die de opgenomen persoon niet leidt.

De autoriteiten namen meer dan 900 webcamopnames van slachtoffers in beslag bij de ontmanteling van de FaceStealer-infrastructuur. De FBI schrijft meer dan 400 miljoen dollar aan cryptodiefstal in 18 maanden toe aan de regeling.

Het schoonmaken van de computer herstelt geen walletcontrole

Het verwijderen van malware kan voorkomen dat software op een apparaat blijft draaien, maar kan een herstelzin die elders al is gekopieerd niet terughalen. Het opnieuw installeren van een walletapplicatie, het wijzigen van het lokale wachtwoord of het herstellen van dezelfde zin op een andere computer laat de onderliggende walletreferenties ongewijzigd.

Voor een blootgestelde wallet met herstelzin betekent vervanging het aanmaken van een wallet met een nieuwe zin en het verplaatsen van de activa. Een standaard wallet met herstelzin heeft geen uitgevende partij die een zin ongeldig kan maken nadat deze is gekopieerd, waardoor vervanging, in plaats van reparatie, de enige beschikbare route is. Phantoms migratiehandleiding legt uit dat de bestaande wallets met herstelzin niet eenvoudig een nieuwe zin kunnen krijgen, en raadt aan tokens, verzamelobjecten, gestakte activa en DeFi-posities te controleren, waarvan sommige extra stappen vereisen voordat ze verplaatst kunnen worden.

Een migratie moet daarom rekening houden met meer dan alleen het saldo dat op het beginscherm van de wallet wordt getoond. De eigenaar moet de activa en posities identificeren die nog onder controle staan van de blootgestelde referenties en moet toekomstige betalingen niet meer naar de oude adressen laten sturen.

Gestolen accounts brengen de volgende contactpersoon in gevaar

Wallettoegang is slechts één gebruik van het gecompromitteerde apparaat. FaceStealer-aanvallers verkrijgen ook contactlijsten en chatgeschiedenissen, waardoor ze een benadering kunnen toespitsen op een eerder gesprek. Een bericht over een belegging of een vergadering kan afkomstig zijn van het verwachte account en verwijzen naar een echte relatie.

Het terugkrijgen van het account kan die route naar nieuwe slachtoffers onderbreken, maar contacten hebben mogelijk al uitnodigingen ontvangen of het opgenomen gezicht van de eigenaar gezien. Zij moeten via een ander gevestigd kanaal worden gewaarschuwd. Werkgevers moeten ook weten wanneer een werkapparaat of werkgerelateerde informatie mogelijk is blootgesteld, zelfs als er geen cryptocurrency is verdwenen.

Voor toekomstige vergaderuitnodigingen luidt het advies: open de officiële applicatie zelfstandig en word lid met de vergadercode, bevestig ongebruikelijke verzoeken via een ander gevestigd contactkanaal, en verkrijg updates apart in plaats van scripts of opdrachten uit te voeren die via de chat worden aangeleverd.

Iedereen die maanden geleden een verdachte "oplossing" heeft gevolgd, moet de referenties en accounts die toen toegankelijk waren opnieuw beoordelen. Omdat de zaken die de waarschuwing beschrijft diefstal betreffen die maanden tot meer dan een jaar na de inbraak plaatsvond, moet die herbeoordeling verder terugreiken dan de recente activiteit, tot elke periode waarin het apparaat mogelijk is gecompromitteerd. Dat onderzoek bepaalt of fondsen verplaatst moeten worden, accountsessies beëindigd moeten worden en contacten gewaarschuwd moeten worden.