De Amerikaanse autoriteiten hebben van de rechter toestemming gekregen om meer dan $1,2 miljard aan cryptocurrency die is gestolen bij de hack van de cryptovalutabeurs Binance in oktober in beslag te nemen of te blokkeren. Het ministerie van Justitie kondigde de maatregel op 12 november aan, twee weken nadat de beurs de diefstal had bekendgemaakt, in een officiële persverklaring. De beoogde fondsen maken deel uit van een breder totaal van meer dan $2,7 miljard dat door gecombineerde inspanningen van overheid en particuliere sector is bevroren.

De FBI schrijft de aanval toe aan TraderTraitor, een hackersgroep die aan Noord-Korea wordt gelinkt, terwijl Binance haar verlies schat op $6,34 miljard, een bedrag dat nog ver boven de tot nu toe bevroren bedragen ligt. In een afzonderlijke operatie namen federale agenten ook cloudinfrastructuur in beslag die verbonden is met FaceStealer, een nep-videogesprek-regeling waarvan officials zeggen dat deze in de afgelopen 18 maanden meer dan $400 miljoen aan cryptocurrency heeft gestolen. Het ministerie presenteerde de twee maatregelen als onderdeel van haar inspanning om te verstoren wat het omschrijft als de massale diefstal van cryptocurrency door Noord-Korea.

Gerechtelijke bevelen zijn gericht op opbrengsten van de Binance-hack

De FBI schreef de aanval, die op 29 oktober plaatsvond en verschillende cryptovaluta trof die door de beurs werden aangehouden, toe aan de TraderTraitor-groep. Noord-Korea heeft elke betrokkenheid bij de diefstal ontkend, maar Amerikaanse officials zeggen dat diefstal van cryptocurrency helpt bij de financiering van de regering en wapenprogramma's van het land.

Volgens het ministerie van Justitie is het bedrag van meer dan $1,2 miljard dat door gerechtelijke machtiging wordt gedekt, opgenomen in het grotere bevroren totaal en geen extra bedrag dat moet worden opgeteld bij de $2,7 miljard. Het bevriezen van activa kan voorkomen dat deze worden verplaatst, terwijl gerechtelijk gemachtigde inbeslagname of blokkering een volgende stap in het juridische proces vertegenwoordigt. Geen van beide bedragen betekent dat alle gestolen cryptocurrency is teruggevorderd of teruggegeven.

Volgens het ministerie sporen onderzoekers de activa nog steeds op, terwijl hackers fondsen verplaatsen via beurzen, mixers en bridges. Bridges verplaatsen activa tussen blockchains, terwijl mixers hun transactiegeschiedenis kunnen verhullen.

Na de hack zei de FBI dat de aanvallers de gestolen activa voornamelijk omzetten in Ether. Het agentschap riep cryptovalutadienstverleners op om transacties die aan geïdentificeerde adressen zijn gekoppeld, te blokkeren.

Binance zei dat aanvallers toegang kregen tot een interne wallet-ondertekeningsdienst en overboekingen startten buiten het normale opnameproces. Het onderzoek beschreef een meerfasenoperatie met nep-sollicitatiegesprekken, malware-downloads en gecompromitteerde interne tools, en de beurs zei dat onafhankelijke securitybedrijven na de aanval verdere reviews zouden uitvoeren.

Op 12 november zei Binance dat de dekking van de door de hack getroffen activa met eigen middelen was afgerond. De beurs publiceerde ook een nieuwe reserve-snapshot, hoewel de bijbehorende cryptografische verificatie, het element dat doorgaans wordt gebruikt om dergelijke snapshots onafhankelijk verifieerbaar te maken, nog in behandeling was. Het vervangen van getroffen activa betekent niet dat de beurs alle gestolen munten heeft teruggevorderd, en zowel de lopende verificatie als de onafhankelijke reviews die Binance naar eigen zeggen zou laten uitvoeren, blijven open punten.

Hoe FaceStealer nepvergaderingen gebruikte om crypto te stelen

De autoriteiten kondigden de handhavingsactie rond FaceStealer afzonderlijk van de Binance-hackzaak aan. Het ministerie van Justitie zei dat het cloudinfrastructuur heeft in beslag genomen die door de Noord-Koreaanse hackers achter de campagne werd gebruikt, een actie gericht op de hosting en gereedschappen achter de regeling in plaats van op specifieke gestolen fondsen. De FBI zei dat FaceStealer mensen richtte die werkzaam zijn in cryptocurrency en Web3, en dat aanvallers in toenemende mate ook ontwikkelaars achtervolgden die open-sourcesoftware onderhouden.

De regeling begon met gecompromitteerde messagingaccounts van eerdere slachtoffers. Hackers gebruikten die accounts om contacten van de slachtoffers uit te nodigen voor videogesprekken op sites die waren ontworpen om op Zoom of Microsoft Teams te lijken. Eenmaal binnen zagen doelwitten opnames van mensen die ze herkenden, aldus onderzoekers. In sommige gevallen gebruikten aanvallers ook AI-gegenereerde video's van bekende figuren uit de crypto-industrie.

De hackers beweerden vervolgens dat er een technisch probleem was, zoals een audiofout, en leverden een link of instructies voor een zogenaamde oplossing die in plaats daarvan malware installeerde. De software kon hen helpen cryptocurrency te stelen of toegang te krijgen tot andere systemen. Gecompromitteerde accounts gaven aanvallers ook toegang tot contacten en eerdere gesprekken, informatie die hen hielp nieuwe doelwitten te benaderen met berichten die leken te komen van een bekende.

Op basis van een federaal bevel nam de FBI meer dan 900 webcamvideo's van FaceStealer-slachtoffers in beslag. Onderzoekers zeiden dat aanvallers opnames van het ene slachtoffer opnieuw konden gebruiken om die persoon te imiteren in latere nepgesprekken met de vertrouwde contacten van het slachtoffer.

De FBI waarschuwde ook dat toegang tot het apparaat of de softwareaccounts van een ontwikkelaar aanvallen op de veelgebruikte applicaties die die ontwikkelaar onderhoudt mogelijk zou maken, een inbreuk die iedereen bloot kan stellen die die software downloadt.

Bron: Blockonomi