Amerykańskie władze uzyskały zgodę sądu na przejęcie lub zablokowanie ponad 1,2 mld dolarów w kryptowalutach skradzionych podczas październikowego włamania na giełdę Binance. Ministerstwo Sprawiedliwości ogłosiło tę decyzję 12 listopada, dwa tygodnie po tym, jak giełda ujawniła kradzież – w oficjalnym komunikacie prasowym. Środki, których dotyczy decyzja, stanowią część większej łącznej kwoty przekraczającej 2,7 mld dolarów zamrożonej dzięki wspólnym działaniom rządu i sektora prywatnego.

FBI przypisuje atak grupie TraderTraitor, powiązanej z Koreą Północną, a Binance oszacował swoje straty na 6,34 mld dolarów – kwotę, która nadal znacznie przekracza dotychczas zamrożone środki. W osobnej operacji agenci federalni przejęli również infrastrukturę chmurową związaną z FaceStealer, oszustwem opartym na fałszywych rozmowach wideo, które – jak twierdzą urzędnicy – ukradło ponad 400 mln dolarów w kryptowalutach w ciągu ostatnich 18 miesięcy. Ministerstwo przedstawiło oba działania jako element wysiłków na rzecz powstrzymania tego, co określa jako masową kradzież kryptowalut dokonywaną przez Koreę Północną.

Postanowienia sądowe dotyczą środków z włamania na Binance

FBI przypisało atak, do którego doszło 29 października i który dotknął kilku kryptowalut przechowywanych na giełdzie, grupie TraderTraitor. Korea Północna zaprzeczyła udziału w kradzieży, ale amerykańscy urzędnicy twierdzą, że kradzieże kryptowalut pomagają finansować rząd i programy zbrojeniowe tego kraju.

Według Ministerstwa Sprawiedliwości ponad 1,2 mld dolarów objętych autoryzacją sądową jest wliczone w większą zamrożoną kwotę, a nie stanowi dodatkowej sumy doliczanej do 2,7 mld dolarów. Zamrożenie aktywów może uniemożliwić ich przemieszczanie, natomiast sądowo autoryzowane przejęcie lub zablokowanie stanowi kolejny etap postępowania prawnego. Żadna z tych kwot nie oznacza, że cała skradziona kryptowaluta została odzyskana lub zwrócona.

Według ministerstwa śledczy wciąż śledzą aktywa, ponieważ hakerzy przemieszczają środki poprzez giełdy, mikser i mostki. Mostki przenoszą aktywa między blockchainami, a mikser mogą zaciemniać ich historię transakcji.

Po włamaniu FBI oświadczyło, że zaobserwowało przeliczanie skradzionych aktywów przez napastników przede wszystkim na Ether. Agencja wezwała dostawców usług kryptowalutowych do blokowania transakcji powiązanych ze zidentyfikowanymi adresami.

Binance poinformował, że napastnicy uzyskali dostęp do wewnętrznej usługi podpisywania transakcji portfelowych i zainicjowali transfery poza normalnym procesem wypłat. Przeprowadzone przez giełdę śledztwo opisało wieloetapową operację obejmującą fałszywe rozmowy kwalifikacyjne, pobieranie złośliwego oprogramowania i przejęte narzędzia wewnętrzne. Binance oświadczył, że po ataku niezależne firmy bezpieczeństwa przeprowadzą dodatkowe przeglądy.

12 listopada Binance poinformował, że zakończył pokrycie aktywów dotkniętych włamaniem przy użyciu środków własnych. Giełda opublikowała również nowy zrzut rezerw, choć towarzyszący mu dowód kryptograficzny – element zwykle umożliwiający niezależną weryfikację takich zrzutów – wciąż był niedostępny. Zastąpienie dotkniętych aktywów nie oznacza, że giełda odzyskała wszystkie skradzione monety, a zarówno oczekujący dowód, jak i zapowiedziane niezależne przeglądy pozostają kwestiami otwartymi.

Jak FaceStealer kradł kryptowaluty za pomocą fałszywych spotkań

Władze ogłosiły działania egzekucyjne wobec FaceStealer niezależnie od sprawy włamania na Binance. Ministerstwo Sprawiedliwości oświadczyło, że przejęło infrastrukturę chmurową używaną przez północnokoreańskich hakerów stojących za kampanią – działanie wymierzone w hosting i narzędzia schematu, a nie w konkretne skradzione środki. FBI poinformowało, że FaceStealer wymierzył w osoby pracujące w kryptowalutach i Web3, a napastnicy coraz częściej kierowali się również ku programistom utrzymującym oprogramowanie open-source.

Schemat zaczął się od przejęcia kont komunikatorów należących do wcześniejszych ofiar. Hakerzy wykorzystywali te konta, aby zapraszać kontakty ofiar na wideorozmowy na stronach przypominających Zoom lub Microsoft Teams. Po wejściu do środka cechy widziały nagrania osób, które rozpoznawały – według śledczych. W niektórych przypadkach napastnicy używali też filmów wygenerowanych przez AI z udziałem znanych postaci branży krypto.

Następnie hakerzy zgłaszali problem techniczny, na przykład z dźwiękiem, i podawali link lub instrukcję rzekomej naprawy, która w rzeczywistości instalowała złośliwe oprogramowanie. Program mógł pomóc im ukraść kryptowaluty lub uzyskać dostęp do innych systemów. Przejęte konta dawały napastnikom również dostęp do kontaktów i wcześniejszych rozmów – informacji pomagających im podchodzić do nowych celów z wiadomościami wyglądającymi, jakby pochodziły od kogoś znajomego.

Na podstawie federalnego nakazu FBI przejęło ponad 900 nagrań z kamerek internetowych ofiar FaceStealer. Śledczy stwierdzili, że napastnicy mogli wykorzystywać nagrania jednej ofiary ponownie, aby podszywać się pod nią podczas późniejszych fałszywych rozmów z zaufanymi kontaktami ofiary.

FBI ostrzegło również, że dostęp do urządzenia programisty lub jego kont programistycznych może umożliwić ataki na powszechnie używane aplikacje, które ten programista utrzymuje – naruszenie, które może narazić każdego, kto pobierze to oprogramowanie.

Źródło: Blockonomi