Власти США получили судебное разрешение на арест или ограничение оборота более чем 1,2 млрд долларов в криптовалюте, похищенной в результате октябрьского взлома криптобиржи Binance. Министерство юстиции объявило об этом шаге 12 ноября — через две недели после раскрытия биржей кражи — в официальном пресс-релизе. Целевые средства являются частью более крупной суммы свыше 2,7 млрд долларов, замороженной благодаря объединенным усилиям государственных и частных структур.

ФБР связывает атаку с группировкой TraderTraitor, которую оно ассоциирует с Северной Кореей, тогда как Binance оценил свои потери в 6,34 млрд долларов — цифру, которая по-прежнему значительно превышает замороженные на данный момент суммы. В рамках отдельной операции федеральные агенты также изъяли облачную инфраструктуру, связанную со схемой поддельных видеозвонков FaceStealer, которая, по словам чиновников, похитила более 400 млн долларов в криптовалюте за последние 18 месяцев. Министерство представило оба шага как часть усилий по противодействию тому, что оно называет масштабным хищением криптовалюты со стороны Северной Кореи.

Судебные приказы нацелены на средства от взлома Binance

ФБР связало атаку, произошедшую 29 октября и затронувшую несколько криптовалют, находившихся на бирже, с группировкой TraderTraitor. Северная Корея отрицает причастность к краже, однако американские чиновники утверждают, что хищение криптовалюты помогает финансировать государственные и оружейные программы страны.

По данным Министерства юстиции, более чем 1,2 млрд долларов, охваченных судебным разрешением, входят в более крупную замороженную сумму, а не являются дополнительной суммой сверх 2,7 млрд долларов. Заморозка активов может предотвратить их перемещение, а разрешенный судом арест или ограничение оборота представляет собой еще один этап юридического процесса. Ни одна из этих цифр не означает, что вся похищенная криптовалюта была возвращена или восстановлена.

По данным ведомства, следователи продолжают отслеживать активы, пока хакеры переводят средства через биржи, миксеры и мосты. Мосты перемещают активы между блокчейнами, а миксеры могут скрывать историю их транзакций.

После взлома ФБР сообщило, что наблюдало конвертацию похищенных активов злоумышленниками преимущественно в Ether. Ведомство призвало поставщиков криптоуслуг блокировать транзакции, связанные с идентифицированными адресами.

Binance сообщила, что злоумышленники получили доступ к внутреннему сервису подписания кошельков и инициировали переводы в обход обычного процесса вывода средств. Расследование биржи описало многоэтапную операцию с поддельными собеседованиями при приеме на работу, загрузками вредоносного ПО и скомпрометированными внутренними инструментами; биржа также сообщила, что независимые компании в области безопасности проведут дополнительные проверки после атаки.

12 ноября Binance сообщила, что завершила покрытие активов, затронутых взломом, за счет ресурсов компании. Биржа также опубликовала новый срез резервов, однако сопроводительное криптографическое доказательство — элемент, который обычно делает такие срезы независимо проверяемыми, — все еще не готово. Замена затронутых активов не означает, что биржа вернула всю похищенную криптовалюту, и как ожидающее подтверждение, так и обещанные независимые проверки остаются незавершенными пунктами.

Как FaceStealer использовал поддельные встречи для кражи криптовалюты

Власти объявили о принудительных мерах в рамках дела FaceStealer отдельно от дела о взломе Binance. Министерство юстиции сообщило, что изъяло облачную инфраструктуру, использовавшуюся северокорейскими хакерами, стоявшими за кампанией, — шаг, направленный на хостинг и инструменты схемы, а не на конкретные похищенные средства. По данным ФБР, FaceStealer атаковал людей, работающих в криптовалюте и Web3, а злоумышленники все чаще нацеливались и на разработчиков, поддерживающих программное обеспечение с открытым исходным кодом.

Схема начиналась со взлома учетных записей мессенджеров, принадлежавших предыдущим жертвам. Хакеры использовали эти учетные записи, чтобы приглашать контакты жертв на видеовстречи на сайтах, оформленных под Zoom или Microsoft Teams. Попав на такую встречу, жертвы видели записи людей, которых они знали, по данным следствия. В некоторых случаях злоумышленники также использовали созданные ИИ видеоролики известных фигур криптоиндустрии.

Затем хакеры заявляли о технической проблеме, например с аудио, и предоставляли ссылку или инструкции для предполагаемого исправления, которое на самом деле устанавливало вредоносное ПО. Эта программа помогала им похищать криптовалюту или получать доступ к другим системам. Скомпрометированные учетные записи также давали злоумышленникам доступ к контактам и прошлым перепискам — информации, которая помогала им выходить на новые цели с сообщениями, казавшимися отправленными знакомым человеком.

По федеральному ордеру ФБР изъяло более 900 записей с веб-камер жертв FaceStealer. Следователи сообщили, что злоумышленники могли повторно использовать записи одной жертвы, чтобы выдавать себя за нее при последующих поддельных звонках доверенным контактам жертвы.

ФБР также предупредило, что доступ к устройству разработчика или его учетным записям в программных сервисах может позволить атаки на широко используемые приложения, которые он поддерживает, — такое нарушение может подвергнуть риску всех, кто скачивает это программное обеспечение.

Источник: Blockonomi