Il Dipartimento di Giustizia degli Stati Uniti ha comunicato il 12 novembre di aver ottenuto l'autorizzazione del tribunale a sequestrare o vincolare criptovalute per oltre 1,2 miliardi di dollari, sottratte a Binance. Si tratta di una parte di oltre 2,7 miliardi di dollari congelati grazie agli sforzi di enti governativi e del settore privato. In un'azione separata, le autorità hanno sequestrato l'infrastruttura cloud usata da FaceStealer, uno schema di impersonificazione nordcoreano che, secondo l'FBI, negli ultimi 18 mesi ha sottratto oltre 400 milioni di dollari e prende sempre più di mira gli sviluppatori di software open source.
Gli annunci riguardano due operazioni distinte, con conseguenze diverse per i team di sicurezza. Ai fornitori di servizi per le criptovalute viene chiesto di bloccare le transazioni legate al furto ai danni di Binance, mentre i professionisti delle criptovalute e i manutentori di software ricevono inviti a videoconferenze che possono portare all'installazione di malware e al dirottamento di account.
Proseguono gli sforzi di recupero di Binance
Nel suo comunicato, il Dipartimento di Giustizia ha dichiarato che membri dell'esercito nordcoreano, monitorati dall'FBI con il nome TraderTraitor, hanno sottratto oltre 6 miliardi di dollari in asset virtuali a Binance intorno al 29 ottobre. SecurityWeek ha riportato che il furto ammonta a circa 6,3 miliardi di dollari e lo ha descritto come la più grande rapina di criptovalute della storia.
Da allora le autorità statunitensi collaborano con i fornitori di servizi per asset virtuali, cioè aziende che gestiscono trasferimenti di criptovalute e servizi correlati, per intercettare gli asset rubati. Gli oltre 1,2 miliardi di dollari coperti dall'autorizzazione del tribunale fanno parte dei già oltre 2,7 miliardi di dollari congelati e non rappresentano un recupero aggiuntivo.
Le attività di tracciamento e recupero proseguono mentre TraderTraitor sposta gli asset attraverso bridge per criptovalute, che trasferiscono asset tra reti blockchain, mixer, che oscurano le tracce delle transazioni, ed exchange. L'ufficio FBI di Los Angeles, la Cyber Division e la Virtual Asset Unit coordinano gli sforzi di recupero con il Servizio Segreto degli Stati Uniti e con gli investigatori penali dell'Internal Revenue Service (IRS).
L'autorizzazione del tribunale a sequestrare o vincolare gli asset è una tappa di questo processo. SecurityWeek ha spiegato che il governo di solito presenta una richiesta di confisca, dopo la quale un giudice stabilisce chi ha un diritto legittimo sui fondi recuperati.
FaceStealer trasforma i contatti di fiducia in esche per malware
L'operazione separata contro FaceStealer ha colpito l'infrastruttura cloud usata per impersonare contatti di fiducia durante le videoconferenze. Il Dipartimento di Giustizia ha attribuito lo schema a hacker nordcoreani, noti pubblicamente con nomi tra cui Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff e Stardust Chollima.
L'attacco inizia con un invito a una riunione inviato da un account rubato a una vittima precedente. Quando il nuovo bersaglio si unisce, gli attaccanti registrano il flusso della webcam di quella persona e riproducono registrazioni di vittime precedenti che il bersaglio conosce. L'obiettivo è far sembrare che persone conosciute partecipino alla chiamata.
Il dipartimento ha anche affermato che gli attaccanti usano quella che definisce «super intelligence» per creare deepfake, cioè video sintetici che impersonano persone reali, di figure influenti, spesso del settore delle criptovalute e del Web3. Questi video offrono un ulteriore modo per rendere credibile la riunione.
Quando il bersaglio si fida della chiamata, gli attaccanti introducono un presunto problema tecnico. Per esempio, possono sostenere che il microfono del bersaglio non funzioni e poi proporre un link o un messaggio per ripararlo. Questa presunta correzione installa di nascosto malware sul computer del bersaglio.
L'accesso al dispositivo può poi consentire il furto di criptovalute o lo sfruttamento dell'accesso della vittima ad altri sistemi. Le conseguenze possono manifestarsi con ritardo: in diversi casi segnalati, gli attaccanti hanno rubato criptovalute e dirottato account di comunicazione da alcuni mesi a oltre un anno dalla compromissione iniziale.
Gli attaccanti accedono inoltre alle rubriche, ai social media e alle app di comunicazione delle vittime, usando questi collegamenti per avvicinare altri contatti personali e professionali. In base a un mandato federale, l'FBI ha sequestrato oltre 900 video dalle webcam delle vittime di FaceStealer; questo dato conta i video, non le persone coinvolte.
Anche i manutentori di software sono nel mirino
Oltre ai professionisti delle criptovalute e del Web3, FaceStealer prende sempre più di mira chi sviluppa e mantiene software open source. Il Dipartimento di Giustizia ha dichiarato che gli attaccanti hanno tentato di compromettere i loro dispositivi e gli account dei repository software che controllano. Ha valutato che questo tipo di attacchi sembra mirare a rendere possibili attacchi alla catena di fornitura del software, in cui un software attendibile o il suo processo di sviluppo diventa una via d'accesso ad altri sistemi.
I funzionari statunitensi attribuiscono entrambe le operazioni agli sforzi della Corea del Nord per finanziare il proprio governo e il programma illecito di armi. Il sequestro dell'infrastruttura è stato guidato dall'Ufficio del procuratore federale per il Distretto Centrale della California e dall'ufficio FBI di Los Angeles.
Per i fornitori di servizi per le criptovalute, l'azione immediata deriva da un Cyber Alert emesso la settimana precedente dall'FBI insieme al Servizio Segreto e agli investigatori penali dell'IRS: bloccare le transazioni con gli indirizzi di criptovaluta identificati come usati per riciclare gli asset Binance rubati, o provenienti da essi.
Per chi è esposto a FaceStealer, l'FBI ha pubblicato un rapporto che illustra il funzionamento dell'attacco, le pratiche di protezione e le misure per le vittime dopo una compromissione. Ha inoltre istituito un hub centrale di risorse con informazioni sullo schema.
