Что произошло
12 ноября Министерство юстиции США объявило сразу о двух ударах по хакерам КНДР. Первый — по деньгам, украденным у Binance 29 октября: суд разрешил изъять или арестовать больше $1,2 млрд. Это часть суммы свыше $2,7 млрд, которую власти США и частные компании уже заморозили. Всего, по данным Минюста, у биржи увели больше $6 млрд. Второй удар — по схеме FaceStealer: ФБР отключило её облачные серверы и изъяло больше 900 записей с веб-камер жертв. По оценке ведомства, за 18 месяцев схема принесла хакерам больше $400 млн.
Детали
Взлом Binance ФБР приписывает группе TraderTraitor — военным хакерам КНДР. Минюст пишет, что работа по поиску, заморозке и конфискации остальных средств продолжается: украденное до сих пор гоняют через мосты, миксеры и биржи. Как и кому вернут изъятое, в релизе не сказано. Binance, по данным Cointelegraph, ещё раньше покрыла потери клиентов из собственных средств.
FaceStealer, по описанию ФБР, работает по кругу:
- Хакеры заражают компьютер жертвы, забирают её Telegram или WhatsApp и тайно записывают её лицо с веб-камеры.
- С этого аккаунта они пишут знакомым жертвы и зовут «созвониться» по Zoom или Teams.
- Незадолго до встречи присылают ссылку на поддельный домен, например uu01webzoom.us или teams.livemeet.us.
- В фальшивой комнате крутят записанное видео знакомого. Потом говорят, что «вас не слышно», и просят поставить «обновление» или вставить команду в терминал.
- Это вредонос: он крадёт кошельки, пароли и снова записывает камеру — новая жертва становится приманкой для следующих.
Что это значит
Кого касается. Всех, кто держит крипту на компьютере и общается в Telegram, Slack или LinkedIn. Отдельно ФБР предупреждает разработчиков открытого кода: через одного взломанного мейнтейнера хакеры пытались заразить JavaScript-библиотеку с десятками миллионов загрузок в неделю.
Как не попасться — советы ФБР. Заходите во встречу через установленное приложение Zoom или Teams по коду, а не по ссылке. Камеру включайте, только когда увидели и услышали собеседника. Никогда не запускайте скрипты и команды в терминале по просьбе участника звонка. Подтверждайте встречу другим каналом — звонком или SMS. Включите двухфакторную защиту в мессенджерах, а крупные суммы держите не в браузерном кошельке. Как устроен сам взлом биржи и куда ушли деньги, мы подробно разбирали в материале про взлом Binance на $6,3 млрд.
Горизонт. Изъятые $1,2 млрд — это промежуточный шаг: до конфискации и возврата пройдут месяцы судебных процедур. Подозреваете заражение — создайте новый кошелёк на чистом устройстве, переведите туда средства и подайте заявление на IC3.gov с пометкой «FaceStealer».
Контекст
Ещё 1 ноября хакеры прогоняли украденное через Tron: $140 млн ушли через четыре моста, а ФБР требовало от THORChain блокировать такие переводы. Теперь часть денег впервые получила судебный арест.
