Das US-Justizministerium teilte am 12. November mit, dass es eine gerichtliche Genehmigung erhalten hat, Kryptowährungen im Wert von mehr als 1,2 Mrd. US-Dollar, die von Binance gestohlen wurden, sicherzustellen oder zu sperren. Dieser Betrag ist Teil von mehr als 2,7 Mrd. US-Dollar, die durch Maßnahmen von Regierungen und Privatsektor eingefroren wurden. In einer separaten Maßnahme beschlagnahmten die Behörden Cloud-Infrastruktur, die für FaceStealer genutzt wurde, ein nordkoreanisches Identitätstäuschungsschema, das laut FBI in den vergangenen 18 Monaten mehr als 400 Mio. US-Dollar erbeutet hat und zunehmend Entwickler von Open-Source-Software ins Visier nimmt.
Die Meldungen betreffen zwei verschiedene Operationen mit unterschiedlichen Folgen für Sicherheitsteams. Anbieter von Kryptowährungsdienstleistungen werden aufgefordert, Transaktionen zu blockieren, die mit dem Binance-Diebstahl in Verbindung stehen. Kryptofachleute und Softwarebetreuer erhalten dagegen Einladungen zu Videokonferenzen, die zur Installation von Malware und zur Übernahme von Konten führen können.
Bemühungen zur Wiederherstellung von Binance-Geldern dauern an
In ihrer Mitteilung erklärte das Justizministerium, Angehörige des nordkoreanischen Militärs, die das FBI als TraderTraitor führt, hätten am oder um den 29. Oktober mehr als 6 Mrd. US-Dollar an virtuellen Vermögenswerten von Binance gestohlen. SecurityWeek berichtete über einen Diebstahl von rund 6,3 Mrd. US-Dollar und bezeichnete ihn als den größten Krypto-Raub der Geschichte.
US-Behörden haben seither mit Anbietern virtueller Vermögenswerte zusammengearbeitet, also mit Unternehmen, die Kryptowährungstransfers und verwandte Dienste abwickeln, um die gestohlenen Vermögenswerte abzufangen. Die mehr als 1,2 Mrd. US-Dollar, die von der gerichtlichen Genehmigung erfasst sind, gehören zu den bereits eingefrorenen mehr als 2,7 Mrd. US-Dollar. Sie stellen keine zusätzliche Rückholung dar.
Die Nachverfolgung und Rückholung läuft weiter, da TraderTraitor Vermögenswerte über Krypto-Brücken, die Werte zwischen Blockchain-Netzwerken übertragen, über Mixer, die Transaktionsspuren verschleiern, und über Börsen verschiebt. Das FBI-Büro in Los Angeles, die Cyber Division und die Virtual Asset Unit koordinieren die Rückholungsbemühungen gemeinsam mit dem US Secret Service und den Strafermittlern der Steuerbehörde Internal Revenue Service.
Die gerichtliche Genehmigung zur Beschlagnahme oder Sperrung von Vermögenswerten ist ein Schritt in diesem Prozess. SecurityWeek erklärte, dass die Regierung in der Regel einen Einziehungsantrag stellt, woraufhin ein Richter entscheidet, wer einen berechtigten Anspruch auf die zurückgeholten Gelder hat.
FaceStealer macht vertraute Kontakte zu Malware-Ködern
Die separate FaceStealer-Maßnahme unterbrach Cloud-Infrastruktur, die dazu diente, vertraute Kontakte bei Videokonferenzen zu imitieren. Das Justizministerium schrieb das Schema nordkoreanischen Hackern zu, die öffentlich unter anderem unter den Namen Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff und Stardust Chollima geführt werden.
Der Angriff beginnt mit einer Besprechungseinladung, die von einem Konto verschickt wird, das einem früheren Opfer gestohlen wurde. Sobald die neue Zielperson beitritt, zeichnen die Angreifer deren Webcam-Bild auf und spielen Aufnahmen früherer Opfer ab, die die Zielperson kennt. Damit sollen vertraute Personen so wirken, als nähmen sie an dem Gespräch teil.
Das Ministerium erklärte außerdem, die Angreifer nutzten, was es als „Superintelligenz“ bezeichnet, um Deepfake-Videos zu erstellen. Gemeint sind synthetische Videos, die echte Personen imitieren, und zwar von einflussreichen Persönlichkeiten, häufig aus der Kryptowährungs- und Web3-Branche. Solche Videos bieten eine weitere Möglichkeit, das Treffen glaubwürdig erscheinen zu lassen.
Sobald die Zielperson dem Anruf vertraut, bringen die Angreifer ein angebliches technisches Problem ins Spiel. Sie behaupten zum Beispiel, das Mikrofon der Zielperson funktioniere nicht, und bieten dann einen Link oder eine Aufforderung zur Reparatur an. Diese vermeintliche Lösung installiert heimlich Malware auf dem Computer der Zielperson.
Der Zugriff auf das Gerät kann anschließend Kryptowährungsdiebstahl oder die Ausnutzung des Zugangs des Opfers zu anderen Systemen ermöglichen. Die Folgen können zeitverzögert eintreten: In mehreren gemeldeten Fällen stahlen die Angreifer Kryptowährungen und übernahmen Kommunikationskonten erst mehrere Monate bis über ein Jahr nach der ursprünglichen Kompromittierung.
Die Angreifer greifen zudem auf Kontaktlisten, soziale Medien und Kommunikations-Apps der Opfer zu und nutzen diese Verbindungen, um weitere private und berufliche Kontakte anzusprechen. Auf Grundlage eines Bundesdurchsuchungsbefehls beschlagnahmte das FBI mehr als 900 Webcam-Videos von FaceStealer-Opfern. Die Zahl bezieht sich auf Videos und nicht auf betroffene Personen.
Auch Softwarebetreuer sind im Visier
Neben Fachleuten für Kryptowährungen und Web3 nimmt FaceStealer zunehmend Personen ins Visier, die Open-Source-Software entwickeln und pflegen. Das Justizministerium erklärte, die Angreifer hätten versucht, deren Geräte und die Konten für Software-Repositories, die sie kontrollieren, zu kompromittieren. Es schätzte ein, dass dieses Vorgehen offenbar darauf abzielt, Angriffe auf die Software-Lieferkette zu ermöglichen, bei denen vertrauenswürdige Software oder ihr Entwicklungsprozess zu einem Weg zu anderen Systemen wird.
US-Beamte führen beide Operationen auf die Bemühungen Nordkoreas zurück, seine Regierung und sein illegales Waffenprogramm zu finanzieren. Die Beschlagnahme der Infrastruktur wurde von der US-Staatsanwaltschaft für den Zentralbezirk Kalifornien und dem FBI-Büro in Los Angeles geleitet.
Für Anbieter von Kryptowährungsdienstleistungen ergibt sich der unmittelbare Handlungsbedarf aus einem Cyber Alert, den das FBI gemeinsam mit dem Secret Service und den Strafermittlern der IRS in der Vorwoche herausgegeben hat. Demnach sollen Transaktionen mit Kryptowährungsadressen, die zur Geldwäsche der gestohlenen Binance-Vermögenswerte genutzt wurden, sowie Transaktionen, die von diesen Adressen abgeleitet sind, blockiert werden.
Für Betroffene von FaceStealer hat das FBI einen Bericht veröffentlicht, der die Funktionsweise des Angriffs, Schutzmaßnahmen und Schritte für Opfer nach einer Kompromittierung behandelt. Außerdem hat es einen zentralen Informationsbereich zu dem Schema eingerichtet.
