Departament Sprawiedliwości USA uzyskał zgodę sądu na zajęcie lub zablokowanie ponad 1,2 mld USD w kryptowalutach powiązanych z październikowym hakiem giełdy Binance, podczas gdy federalni śledczy intensyfikują działania na rzecz odzyskania aktywów rzekomo skradzionych przez północnokoreańskich hakerów.

Według ogłoszenia z czwartku władze i partnerzy z sektora prywatnego zablokowali ponad 2,7 mld USD skradzionych kryptowalut. Departament poinformował, że działanie to odzwierciedla koordynację między agencjami rządowymi a firmami z sektora prywatnego. Śledczy nadal śledzą kolejne środki przemieszczające się przez mostki blockchain, mikser kryptowalut i giełdy, gdzie skradzione aktywa mogą być transferowane lub ukrywane.

DOJ Ściga Aktywa Powiązane z Hakem Binance o Wartości 6 Mld USD

Federalni śledczy przypisali atak na Binance z 29 października grupie TraderTraitor, powiązanej z operacjami północnokoreańskiego wywiadu wojskowego. Według szacunków DOJ grupa ukradła podczas włamania ponad 6 mld USD.

Binance wcześniej oszacował swoje straty na około 6,3 mld USD i poinformował, że przeznaczył 6,34 mld USD ze środków własnych na pokrycie poszkodowanych aktywów. Giełda potwierdziła również, że zakończyła pokrywanie objętych skutkami włamania środków klientów i opublikowała zaktualizowany dowód rezerw. Ponieważ Binance pokrył poszkodowane środki klientów ze środków własnych, federalna akcja odzyskiwania koncentruje się na samych skradzionych aktywach, a nie na zwrocie środków klientom.

Zatwierdzona przez sąd akcja obejmująca ponad 1,2 mld USD stanowi część szerszego wysiłku na rzecz ograniczenia przepływu skradzionych kryptowalut. Oddzielna kwota ponad 2,7 mld USD reprezentuje aktywa zablokowane w ramach szerszej akcji odzyskiwania, a nie kwotę objętą najnowszym zezwoleniem sądu. W odniesieniu do szacowanych strat w wysokości 6 mld USD obie kwoty stanowią częściowe odzyskanie, a pozostała część podlega dalszemu śledzeniu w różnych usługach i sieciach.

Zastępca prokuratora generalnego M. Scott Proctor oskarżył Koreę Północną o wykorzystywanie kradzieży kryptowalut do finansowania rządu i programów zbrojeniowych. Powiedział, że Wydział Bezpieczeństwa Narodowego DOJ będzie nadal ścigał skradzione aktywa i dążył do ich odzyskania. Zaangażowanie tego wydziału odzwierciedla traktowanie przez rząd kradzieży kryptowalut powiązanej z państwem jako kwestii bezpieczeństwa narodowego, a nie zwykłej przestępczości finansowej.

Władze nie podały pełnego harmonogramu odzyskiwania środków. Operacje śledzenia blockchainów trwają, a śledczy analizują kolejne transakcje w różnych usługach i sieciach. Ponieważ nie ogłoszono harmonogramu odzyskiwania, przyszłe pisma sądowe i akcje zajęcia będą najjasniejszym publicznym sygnałem postępów akcji.

FBI Przejmuje Infrastrukturę Północnokoreańskiej Operacji FaceStealer

DOJ ogłosiło także działania przeciwko oddzielnej kampanii kradzieży kryptowalut powiązanej z Koreą Północną, znanej jako FaceStealer. Władze federalne przejęły infrastrukturę chmurową rzekomo wspierającą tę operację, która według szacunków FBI spowodowała w ciągu ostatnich 18 miesięcy straty w kryptowalutach przekraczające 400 mln USD.

Według śledczych atakujący przejęli konta komunikacyjne i wykorzystali je do organizowania oszukańczych spotkań wideo z potencjalnymi ofiarami. Podszywali się pod osoby znane swoim celom za pomocą nagranych wcześniej materiałów wideo i deepfake'ów generowanych przez sztuczną inteligencję. Ta taktyka pokazuje, jak media generowane przez AI stały się praktycznym narzędziem przestępczości finansowej, pozwalając atakującym posługiwać się wizerunkiem zaufanych kontaktów na powszechnie używanych platformach wideo.

Podczas rozmów przestępcy zgłaszali zmyślone problemy techniczne i przekonywali ofiary do zainstalowania złośliwego oprogramowania. Oprogramowanie mogło następnie przejąć portfele kryptowalutowe i systemy komputerowe, dając atakującym dostęp do aktywów cyfrowych i innych informacji.

Patrick Grandy, zastępca dyrektora biura FBI w Los Angeles, ostrzegł, że schemat wykorzystywał zaufane relacje oraz powszechnie używane platformy do wideokonferencji.

Hakerzy Odraczali Wykorzystanie Przejętych Komputerów

Śledczy ustalili, że w niektórych przypadkach atakujący czekali miesiącami, a nawet dłużej niż rok, zanim wykorzystali wcześniej przejęte komputery, pozostawiając włamania w stanie uśpienia. Kampania obejmowała również wykorzystanie skradzionych danych kontaktowych do identyfikacji kolejnych celów. Taka uśpiona aktywność komplikuje reagowanie na incydenty, ponieważ włamanie ujawnione dziś może sięgać przejęcia sprzed długo przed zauważeniem jakiejkolwiek kradzieży.

Wśród celów znaleźli się twórcy oprogramowania open-source, którego oprogramowanie mogło dać atakującym dostęp do szerszej grupy użytkowników. Odkrycia pokazują, jak początkowe przejęcie może być wykorzystane do ułatwienia dalszych ataków na długo po pierwotnym włamaniu.

Federalni agenci przejęli ponad 900 nagrań z kamer internetowych powiązanych z ofiarami FaceStealer i wydali wytyczne dla osób poszkodowanych.

Obie sprawy ilustrują zakres kampanii DOJ przeciwko operacjom kradzieży kryptowalut powiązanym z Koreą Północną. Choć władze zabezpieczyły blokady miliardów dolarów podejrzewanych skradzionych aktywów, dochodzenia w sprawie włamania do Binance i kampanii FaceStealer pozostają w toku, a otwarte pozostaje pytanie, ile kolejnych skradzionych środków można odzyskać i jakie dalsze działania nastąpią po rozbiciu FaceStealer.