Amerykański Departament Sprawiedliwości poinformował w czwartek, że uzyskał zgodę sądu na przejęcie lub zablokowanie kryptowalut skradzionych z Binance o wartości ponad 1,2 mld dolarów — w ramach szerszego zamrożenia przekraczającego 2,7 mld dolarów, które według urzędników zatrzymało około połowy październikowego napadu na giełdę.

W czwartkowym komunikacie departament poinformował, że około 29 października członkowie północnokoreańskich sił zbrojnych — określani przez FBI jako TraderTraitor — ukradli z Binance aktywa wirtualne o wartości ponad 6 mld dolarów. Ta kwota jest niższa niż 6,34 mld dolarów, które Binance pokrył od czasu ataku.

Binance oświadczył, że zakończył pokrycie aktywów dotkniętych włamaniem, zastępując dotknięte tokeny ze środków własnych, a nie poprzez odzyskanie skradzionych monet, zgodnie z oświadczeniem giełdy. Oba działania przebiegają na osobnych torach: Departament Sprawiedliwości pracuje nad przechwyceniem skradzionych środków, podczas gdy Binance stwierdził, że użytkownicy zostali zrekompensowani z Secure Asset Fund for Users (funduszu awaryjnego utworzonego przez giełdę w 2018 roku), części funduszu ubezpieczeniowego kontraktów futures oraz skarbca firmy.

Zastępca prokuratora generalnego A. Tysen Duva z pionu karnego Departamentu Sprawiedliwości powiedział, że departament i jego partnerzy byli w stanie „natychmiast zatrzymać około połowy tego historycznego włamania”, zamrażając skradzione aktywa, „zanim znalazły się poza zasięgiem organów ścigania”.

Zamrożenie ponad 2,7 mld dolarów to wspólna kwota obejmująca działania rządu USA i sektora prywatnego. Z tej sumy Departament Sprawiedliwości oświadczył, że uzyskał już zgodę sądu na przejęcie lub zablokowanie ponad 1,2 mld dolarów; dla pozostałej części zamrożonych środków nie ogłoszono autoryzacji sądowej. Dokumenty sądowe w sprawie nie zostały opublikowane wraz z komunikatem.

Kwota 1,2 mld dolarów to nie nowo odzyskane pieniądze. Pochodzi ona z około 2,85 mld dolarów, które Binance oświadczył 3 listopada, że zostały zamrożone lub przechwycone, a czwartkowa autoryzacja sądowa to krok prawny pozwalający rządowi dążyć do przejęcia własności tych środków w drodze konfiskaty. Do tej pory aktywa były po prostu zamrożone u emitentów tokenów.

Nawet to zamrożenie nie oznacza końca śledztwa. Według Departamentu Sprawiedliwości osoby powiązane z TraderTraitor nadal przemieszczają skradzione aktywa przez krypto-mosty, mixery i giełdy — usługi, które utrudniają śledzenie skradzionych środków — a prace nad śledzeniem, przejmowaniem i konfiskatą trwają.

W zeszłym tygodniu, 31 października, FBI wraz z Secret Service i wydziałem śledczym IRS wydało Cyber Alert, przypisując kradzież Korei Północnej i wzywając dostawców usług aktywów wirtualnych do blokowania transakcji z adresami używanymi przez sprawców lub pochodnymi z tych adresów. Zgłoszenie wskazuje, że śledczy zaobserwowali konwersję skradzionych aktywów przede wszystkim na ether. Amerykańskie agencje i śledczy ONZ przypisali lata wysokowartościowych kradzieży z giełd północnokoreańskim jednostkom hakerskim, a dochody — zgodnie z raportami ONZ — pomagają finansować programy zbrojeniowe reżimu.

Osobny schemat deepfake o wartości 400 mln dolarów i 900 przejętych nagrań wideo

Niezależnie od sprawy Departamentu Sprawiedliwości i Binance biuro prokuratora USA dla dystryktu Central District of California oraz FBI ogłosiły przejęcie infrastruktury chmurowej wykorzystywanej w kampanii socjotechnicznej, którą FBI nazywa FaceStealer. FBI poinformowało, że schemat doprowadził w ciągu ostatnich 18 miesięcy do kradzieży kryptowalut o wartości ponad 400 mln dolarów i był również używany w próbach skompromitowania osób utrzymujących oprogramowanie open-source — kroku, który według biura wydaje się mieć na celu umożliwienie ataków na łańcuch dostaw.

Metodą jest fałszywe połączenie wideo. Według FBI północnokoreańscy hakerzy, publicznie znani pod nazwami takimi jak APT38 i BlueNoroff, zwabiają cele zaproszeniami na spotkania wysyłanymi z kont skradzionych wcześniejszym ofiarom. Gdy cel dołączy, hakerzy odtwarzają nagrane wcześniej wideo z kamery internetowej osoby znanej celowi lub deepfake znanej postaci branży kryptowalut, po czym wprowadzają fałszywy błąd techniczny i wysyłają „poprawkę”, która instaluje złośliwe oprogramowanie. W kilku przypadkach kradzież nastąpiła od kilku miesięcy do ponad roku po pierwszym włamaniu, ponieważ hakerzy czekali, aż salda portfeli urosną.

Z czwartkowego raportu FBI FLASH wynika, że spotkania odbywają się na podróbkach Zoom, Microsoft Teams i Google Meet, a zaproszenia często przemieszczają się przez przejęte konta Telegram, LinkedIn, Slack lub Discord. Na podstawie federalnego nakazu FBI przejęło ponad 900 nagrań z kamer internetowych ofiar FaceStealer. Biuro udostępniło stronę poświęconą kampanii pod adresem fbi.gov/facestealer.

Główny zastępca asystenta prokuratora generalnego ds. bezpieczeństwa narodowego M. Scott Proctor powiązał oba czwartkowe działania z tym samym zarzutem: „Rząd Korei Północnej finansuje swój bandycki reżim i nielegalny program zbrojeniowy poprzez kradzieże kryptowalut”.

Odzyskiwaniem środków z Binance nadal kieruje się biuro terenowe FBI w Los Angeles, pion cyber oraz Virtual Asset Unit, we współpracy z Secret Service i wydziałem śledczym IRS. Departament Sprawiedliwości nie podał, jaka część zamrożenia ponad 2,7 mld dolarów ani kwoty 1,2 mld dolarów objętej autoryzacją sądową to bitcoin.

Niniejszy artykuł powstał na podstawie doniesień Micaha Zimmermana, pierwotnie opublikowanych przez Bitcoin Magazine.