Die 1,2 Milliarden Dollar sind Teil von insgesamt 2,7 Milliarden Dollar, die mehrere Kryptoplattformen nach dem Diebstahl eingefroren hatten. Assistant Attorney General A. Tysen Duva sagte, mehrere Abteilungen des Justizministeriums hätten „die entscheidende Rolle dabei gespielt, gestohlene digitale Vermögenswerte von Binance im Wert von Milliarden Dollar sofort einzufrieren, bevor sie außer Reichweite der Strafverfolgung gelangten“. Die Criminal Division habe als Verbindungsstelle des Ministeriums zur Branche digitaler Vermögenswerte ihre Expertise genutzt, „um rund die Hälfte dieses historischen Einbruchs sofort zu stoppen“.

Binance und das FBI schreiben den Diebstahl TraderTraitor zu, der führenden nordkoreanischen Hackergruppe, die in den vergangenen zehn Jahren bei mehreren Angriffen Kryptowährung im Wert von Milliarden Dollar gestohlen hat. Das Justizministerium erklärte, die Bemühungen, die gestohlenen Werte aufzuspüren, einzufrieren, zu beschlagnahmen und einzuziehen, dauerten an, da die Täter sie weiterhin über verschiedene Krypto-Bridges, Mixer und Börsen waschen.

Mehrere Blockchain-Sicherheitsfirmen zufolge nutzen Nordkorea und andere Akteure neuartige, automatisierte Methoden zur Geldwäsche. Michael Barnhart, Forscher für staatliche Bedrohungsakteure bei DTEX, sagte, TraderTraitor gebe erbeutete Mittel üblicherweise sofort gegen eine Pauschale oder einen Prozentsatz an chinesische Geldwäscher weiter. Das Blockchain-Analyseunternehmen Elliptic beobachtete, dass nordkoreanische Geldwäscher „eigene wertlose Token erstellen und damit gestohlene Kryptowerte durch Liquiditätspools dezentraler Börsen schleusen, sodass keine Mittel direkt von den Wallets mit dem Diebesgut zu den Empfänger-Wallets fließen“. Eine ähnliche Technik habe Nordkorea bereits im vergangenen Jahr beim Waschen der 1,4 Milliarden Dollar versucht, die von der in Dubai ansässigen Plattform Bybit gestohlen worden waren. Brett Leatherman, Operations Director der FBI Cyber Branch, sagte, das nordkoreanische Regime finanziere mit Erlösen aus groß angelegtem Kryptodiebstahl sein illegales Waffenprogramm.

Bei FaceStealer locken die Angreifer Opfer mit bösartigen Zoom- oder Teams-Links, vorab aufgezeichneten Videos und Deepfakes zum Herunterladen von Schadsoftware und verwenden anschließend deren Bilder für weitere Angriffe. Das FBI erwirkte einen Beschluss zur Beschlagnahme von mehr als 900 Webcam-Videos von Opfern. Nach Angaben von FBI-Vertretern wurden viele Betroffene kontaktiert und befragt; wer das erste Opfer war, ließ sich nicht ermitteln. Ob FaceStealer beim Einbruch bei Binance eingesetzt wurde, ist laut einem FBI-Agenten unklar.

FBI-Vertreter Patrick Grandy nannte FaceStealer eine äußerst wirksame Masche, die selbst die erfahrensten und sicherheitsbewusstesten Nutzer täuschen könne. „Sie nutzt unser Vertrauen in allgegenwärtige Videokonferenzplattformen und wertvolle persönliche Beziehungen aus. Wer sich kein Szenario vorstellen kann, in dem er darauf hereinfällt, denkt nicht kreativ genug.“

Laut FBI und Justizministerium läuft der Angriff so ab:

  • Einladungen über Calendly zu Zoom- oder Teams-Meetings kommen von Konten früherer Opfer; die Links führen zu gefälschten Domains mit Schadsoftware, sodass Ziele teils schon vor Betreten des Meetings kompromittiert werden.
  • Gekaperte Konten bei Telegram, LinkedIn, Slack und Discord dienen dazu, Kontakte des Opfers – mitunter Monate später – anzuschreiben; dank der Chatverläufe können die Angreifer Nachrichten gezielt auf wertvolle Kontakte zuschneiden.
  • Im Meeting werden Videos früherer Opfer abgespielt, um viele Teilnehmer vorzutäuschen; das Webcam-Bild des Ziels wird für spätere Angriffe aufgezeichnet. Teils wurden mit KI Deepfakes bekannter Krypto-Persönlichkeiten erzeugt.
  • Ein vorgetäuschter technischer Fehler, etwa dass das Ziel nicht zu hören sei, wird mit einem Link oder einer Aufforderung zur „Behebung“ verbunden, die heimlich Schadsoftware installiert – typischerweise einen Browser-Cookie-Sammler, Keylogger, Bildschirmaufzeichner und eine Hintertür.

Mit jedem Opfer wächst der Pool kompromittierter Kontakte laut FBI exponentiell. Ziele sind die Kryptobranche sowie Open-Source-Entwickler. Das FBI weiß von weiteren Versuchen gegen Entwickler, Maintainer und viel heruntergeladene Bibliotheken, darunter mehrfach gegen Maintainer im JavaScript-Register NPM und zuletzt gegen Maintainer von Rust-Crates. Anfang des Jahres sei ein Maintainer einer bedeutenden Open-Source-JavaScript-Bibliothek „beinahe“ in einen gefälschten Teams-Videochat gelockt worden. Details dazu nannte ein FBI-Vertreter nicht, verwies aber darauf, dass FaceStealer APT38 zugeschrieben wird. Der Gruppe wird die Kompromittierung der NPM-Pakete debug und chalk sowie im März des sehr populären Pakets axios vorgeworfen.

APT38 gilt als führende militärische Hackergruppe Nordkoreas und ist für den Raub bei der Bank von Bangladesch 2016 verantwortlich. Barnhart zufolge wurde die Gruppe nach diesem Erfolg in mehrere Zweige aufgeteilt, einer davon ist TraderTraitor.