Министерство юстиции США сообщило в четверг, что получило судебное разрешение на конфискацию или арест криптовалюты на сумму более 1,2 млрд долларов, похищенной у Binance, — в рамках более широкой заморозки активов свыше 2,7 млрд долларов, которая, по словам официальных лиц, остановила около половины октябрьского ограбления биржи, совершенного КНДР.

В заявлении, опубликованном в четверг, ведомство сообщило, что примерно 29 октября военнослужащие северокорейской армии, которых ФБР называет TraderTraitor, похитили у Binance виртуальные активы на сумму более 6 млрд долларов. Эта цифра ниже отмеченных 6,34 млрд долларов, которые Binance компенсировала после атаки.

Binance сообщила, что полностью компенсировала пострадавшие от взлома активы, заменив токены за счет средств компании, а не вернув похищенные монеты, согласно заявлению биржи. Эти два процесса идут параллельными путями: Минюст работает над перехватом похищенного, в то время как Binance заявила, что пользователям возместили ущерб через фонд Secure Asset Fund for Users (экстренный резерв, созданный биржей в 2018 году), часть фонда страхования фьючерсных рисков и собственную казну.

Заместитель генерального прокурора США A. Tysen Duva из уголовного департамента Минюста заявил, что ведомство и его партнеры смогли «немедленно остановить около половины этого исторического взлома», заморозив похищенные активы «до того, как они вышли из-под досягаемости правоохранительных органов».

Заморозка на сумму более 2,7 млрд долларов — это совокупный показатель усилий правительства США и частного сектора. Из этой суммы Минюст уже получил судебное разрешение на конфискацию или арест более 1,2 млрд долларов; о судебном разрешении в отношении остальной части замороженных средств не объявлялось. Соответствующие судебные документы не были приложены к заявлению.

1,2 млрд долларов — это не новые возвращенные средства. Они являются частью примерно 2,85 млрд долларов, которые Binance 3 ноября сообщила как замороженные или перехваченные, а судебное разрешение, полученное в четверг, — это юридический шаг, позволяющий правительству перейти к получению права собственности на эти средства через процедуру конфискации. До сих пор активы просто замораживались на уровне эмитентов токенов.

Даже заморозка не означает завершения дела. По данным Минюста, субъекты TraderTraitor продолжают перемещать похищенные активы через криптомосты, миксеры и биржи — сервисы, усложняющие отслеживание похищенных средств, — а работа по отслеживанию, изъятию и конфискации продолжается.

На прошлой неделе, 31 октября, ФБР совместно с Секретной службой США и Уголовным следственным управлением IRS выпустило кибероповещение, в котором возложило ответственность за кражу на КНДР и призвало поставщиков услуг виртуальных активов блокировать транзакции с адресами, используемыми злоумышленниками, или с адресами, производными от них. В оповещении говорится, что следователи наблюдали преимущественное конвертирование похищенных активов в эфир. Агентства США и следователи ООН за годы связывали серию крупных краж с бирж с северокорейскими хакерскими группировками, доходы от которых, как указывается в докладах ООН, помогают финансировать оружейные программы режима.

Отдельная схема с дипфейками на 400 млн долларов и 900 изъятых видео

Отдельно от дела Минюста и Binance офис федерального прокурора Центрального округа Калифорнии и ФБР объявили об изъятии облачной инфраструктуры, использовавшейся в кампании социальной инженерии, которую бюро называет FaceStealer. По данным ФБР, за последние 18 месяцев эта схема привела к хищению криптовалюты более чем на 400 млн долларов, а также использовалась в попытках скомпрометировать разработчиков open-source-программ — шаг, который, по оценке бюро, направлен на подготовку атак на цепочки поставок.

Метод — поддельный видеозвонок. Согласно ФБР, северокорейские хакеры, известные под названиями APT38 и BlueNoroff, заманивают жертв приглашениями на встречи с аккаунтов, украденных у предыдущих жертв. Когда цель присоединяется, хакеры включают заранее записанное видео с веб-камеры человека, которого жертва знает, либо дипфейк известной личности из криптоиндустрии, затем имитируют техническую ошибку и отправляют «исправление», устанавливающее вредоносное ПО. В ряде случаев кража происходила спустя месяцы или более года после первичной компрометации, поскольку хакеры ждали роста балансов кошельков.

Согласно докладу ФБР FLASH, опубликованному в четверг, встречи проводятся на поддельных версиях Zoom, Microsoft Teams и Google Meet, причем приглашения часто рассылаются через взломанные аккаунты Telegram, LinkedIn, Slack или Discord. По федеральному ордеру ФБР изъяло более 900 видео с веб-камер жертв FaceStealer. Бюро разместило страницу кампании на сайте fbi.gov/facestealer.

Главный заместитель помощника генерального прокурора по национальной безопасности M. Scott Proctor связал оба четверговых действия с одним и тем же обвинением: «Правительство КНДР финансирует свой незаконный режим и нелегальные оружейные программы за счет краж криптовалюты».

Работы по возврату средств Binance по-прежнему ведет офис ФБР в Лос-Анджелесе, кибердепартамент и подразделение виртуальных активов совместно с Секретной службой и IRS-CI. Минюст не уточнил, какая часть замороженных активов свыше 2,7 млрд долларов или 1,2 млрд долларов, находящихся под судебным разрешением, приходится на биткоин.

Эта статья основана на материале Micah Zimmerman, первоначально опубликованном в Bitcoin Magazine.