FBI: Północnokoreańscy hakerzy ukradli 400 mln USD w kryptowalutach za pomocą fałszywych wideorozmów

Jak działa oszustwo

FBI nazywa tę operację FaceStealer. Hakerzy wysyłają zaproszenia na spotkania z kont w mediach społecznościowych i komunikatorach przejętych od wcześniejszych ofiar, a następnie zwabiają cele do rozmów prowadzonych w podrobionych wersjach aplikacji Zoom, Microsoft Teams i Google Meet. Gdy cel dołącza do rozmowy, hakerzy odtwarzają nagrane wcześniej materiały wideo z udziałem osób znanych ofierze, dzięki czemu połączenie wygląda na autentyczne, podczas gdy kamera internetowa celu jest potajemnie nagrywana. Następnie dochodzi do upozorowanej awarii technicznej, a ofiara jest proszona o kliknięcie linku w celu jej „naprawy”, co instaluje złośliwe oprogramowanie – poinformował Departament Sprawiedliwości. W niektórych przypadkach hakerzy czekali miesiące, a nawet ponad rok, zanim ukradli środki. Dostęp uzyskany przez zainfekowane urządzenia pozwala na przejęcie list kontaktów i aplikacji, co dostarcza kolejną grupę celów.

Większość ofiar pracuje w branży kryptowalut i innych sektorach związanych z internetem. FBI podaje, że hakerzy coraz częściej atakują twórców oprogramowania open-source i jego opiekunów, których konta na urządzeniach i w repozytoriach oprogramowania mogą zostać wykorzystane do naruszenia łańcuchów dostaw oprogramowania. Biuro twierdzi również, że grupa zaczęła wykorzystywać sztuczną inteligencję do tworzenia deepfake'ów znanych postaci ze świata kryptowalut i blockchaina, co czyni podszywanie się bardziej przekonującym. Brett Leatherman, zastępca dyrektora wydziału cybernetycznego FBI, opisał to podejście jako połączenie różnych narzędzi.

„Północnokoreańscy hakerzy coraz częściej łączą włamania cybernetyczne, inżynierię społeczną i nowe technologie, takie jak deepfake, aby uczynić swoje próby podszywania się bardziej przekonującymi i skalowalnymi.”

Zabezpieczenia i powiązania z Binance

Władze poinformowały, że zakłóciły infrastrukturę chmurową wykorzystywaną przez hakerów i na podstawie nakazu federalnego zabezpieczyły ponad 900 nagrań z kamer internetowych ofiar. Patrick Grandy, szef biura terenowego FBI w Los Angeles, ostrzegł, że każdy może paść ofiarą tego procederu.

„Jeśli nie potrafisz sobie wyobrazić scenariusza, w którym mógłbyś paść ofiarą tego oszustwa, nie myślisz wystarczająco kreatywnie.”

Niezależnie od tego, Departament Sprawiedliwości dołączył do dwóch największych emitentów stablecoinów w działaniach mających na celu zabezpieczenie prawie połowy środków skradzionych w ataku na Binance – podaje Bloomberg. Departament uzyskał zgodę sądu na zajęcie lub zablokowanie 1,2 mld USD, podczas gdy amerykańskie agencje i firmy prywatne zamroziły łącznie ponad 2,7 mld USD. 12 listopada Bloomberg poinformował, że Binance pokryło wszystkie 6,3 mld USD w aktywach kryptograficznych skradzionych klientom w incydencie z 29 października.

Skradzione (dane AP)6,3

Zamrożone przez agencje USA i firmy prywatne2,7

Zajęcie lub blokada sądowa1,2

Skradzione (dane AP)

6.3 mld USD

Zamrożone przez agencje USA i firmy prywatne

2.7 mld USD

Zajęcie lub blokada sądowa

1.2 mld USD

Dane z tekstu artykułu

Atrybucja i odpowiedź Pjongjangu

FBI wiąże FaceStealer z grupą Sapphire Sleet, którą określa jako odłam grupy Lazarus, znany również pod nazwami UNC1069, Stardust Chollima, APT38 oraz BlueNoroff. Kradzież z Binance to odrębna sprawa: FBI przypisuje ją grupie o nazwie TraderTraitor, która według biura ukradła ponad 6 mld USD w okolicach 29 października. Deutsche Welle donosi, że za kradzież z Binance odpowiadają północnokoreańscy hakerzy wojskowi, odrębni od klastra Sapphire Sleet. AP określiło to mianem największego włamania kryptograficznego w historii.

Pjongjang zaprzeczył oskarżeniom USA. Kim Jo Dzong, siostra Kim Dzong Una, miała odrzucić te twierdzenia jako absurdalną retorykę mającą na celu przedstawienie Korei Północnej jako państwa cyberprzestępczego i nazwała je poważną prowokacją polityczną wobec swojego kraju.

Co dalej

FBI zapowiada, że będzie nadal ujawniać i zakłócać działalność hakerską Korei Północnej oraz podnosić koszty tych operacji. Biuro argumentuje, że reżim polega na kradzieżach kryptowalut, aby finansować swoje programy zbrojeniowe. W przypadku zamrożonych środków władze zazwyczaj składają w sądzie wniosek o przepadek, a sędzia orzeka, komu przysługuje uzasadnione roszczenie do odzyskanych pieniędzy.