Tal Be’ery wytropił część z 4,5 miliona dolarów okupu w BTC, który zapłacił niedawno CWT – amerykański gigant branży turystycznej. Co ciekawe, hakerzy zdecydowali się wyprać środki w miejscu, w którym najmniej się tego spodziewasz – centralnie na widoku – na dużej giełdzie kryptowalut.
CWT, który generuje roczne przychody w wysokości 1,5 miliarda dolarów, zapłaciło 28 lipca okup w BTC, aby odzyskać dostęp do dwóch terabajtów plików i powstrzymać hakerów przed ujawnieniem skradzionych informacji. Pliki zawierały dane pracowników, dokumenty finansowe i inne.
Śledztwo w toku
Tal Be’ery, współzałożyciel izraelskiej firmy ZenGo zajmującej się bezpieczeństwem cybernetycznym dowiedział się, co stało się z pieniędzmi. W dzisiejszym artykule Be’ery odkrywa, że hakerzy, którzy wciąż są na wolności, próbowali wyprać swoje pieniądze za pośrednictwem jednych z największych giełd kryptowalut na świecie, w tym Binance, Coinbase i Huobi:
„Podczas gdy większość przypadków ransomware ma miejsce za zamkniętymi drzwiami, CWT i ich oprawcy nieumyślnie pozostawili ślad swoich rozmów otwarty dla opinii publicznej, zapewniając wyjątkowe spojrzenie na skądinąd tajny świat negocjacji związanych z ransomware”.
Be’ery i jego zespół śledzili przepływ środków na giełdach kryptowalut, wykorzystując informacje o korespondencji odkrytej przez dziennikarza Reutersa. Zaledwie 20 minut po tym, jak CWT zapłaciło hakerom okup, hakerzy zaczęli dzielić fundusze.
Ponad połowa środków z okupu trafiła na jedną z największych kryptowalut giełd na świecie, Binance. Hakerzy podzielili fundusze na mniejsze części i okresowo wysyłali je na giełdę, aby uniknąć wykrycia. Reszta środków trafiła na kilka innych giełd, w tym Huobi, Poloniex i Coinbase.
🕵️♂️ ZenGo’s @TalBeerySec did some detective work and followed @my_CWT’s #ransomware #bitcoin payment all the way to @binance.
— ZenGo (@ZenGo) August 4, 2020
Read the full story on our bloghttps://t.co/xOXrCXAvEe
Dlaczego hakerzy nie używali mikserów?
Dlaczego hakerzy przenosili środki przez duże giełdy kryptowalut, zamiast skorzystać z tak zwanych „mikserów” kryptowalut?
„Napastnicy nie szukają najlepszej drogi. Szukają najłatwiejszego sposobu, w jaki to, co robią, ujdzie im na sucho. Najwyraźniej ta metoda była wystarczająco dobra, aby dojść tam tam, gdzie chcieli ”- powiedział Be’ery redakcji Decrypt.
Be’ery dodał, że powodem, dla którego hakerzy nie użyli miksera, był czas. W mikserach wiele osób łączy się anonimowo, aby mieszać swoje środki. Następnie mikser bierze wszystkie te środki i wysyła je na adresy należące do tych osób, przypisując im wpłacone kwoty. Ponieważ pieniądze zostały przemieszane, trudno jest ustalić, skąd ostatecznie pochodzą.
Żeby mikser zadziałał, potrzeba wielu ludzi. A jeśli miesza się miliony dolarów, potrzeba wielu innych zasobnych mikserów, aby pozostać anonimowym. „Mówiąc najprościej, aby„ miksować ”, musisz mieć dużo innych pieniędzy z wielu stron, w przeciwnym razie nie będzie to miksowanie, ponieważ to głównie twoje pieniądze. Niewielu ludzi chce szybko przemiksować 1,5 miliona dolarów ”- konstatował Be’ery.
Dlaczego hakerzy wyprali środki na giełdach?
Rich Sanders, analityk kryminalistyczny blockchain, stwierdził, że czasami hakerzy przepychają fundusze przez duże giełdy, aby wdrożyć taktykę znaną jako „chain-hopping”. W dużym skrócie taktyka ta opiera się na tym, że hakerzy używają giełd do kupowania niewielkich ilości różnych kryptowalut i wysyłania ich na różne inne giełdy przy użyciu różnych kont.
Sanders dodał, że hakerzy często korzystają z giełd, które nie weryfikują tożsamości swoich klientów lub używają tożsamości osób, którym „zaoferowali pieniądze, aby zarejestrować konto na giełdzie i sprzedać informacje o koncie”.
Sanders twierdzi, że hakerzy skorzystali najprawdopodobniej z takiej właśnie taktyki. Uznał, że działanie za pośrednictwem giełd było „mądrzejszym” posunięciem. „Myślę, że samo wrzucenie BTC do miksera byłoby lekkomyślne i głupie ”- dodał Sanders -„ miksery nie zawsze są niezniszczalne”.
Okazuje się zatem, że wypranie pieniędzy na widoku mogło wcale nie być takie głupie. Tego samego rzecz jasna nie można powiedzieć o wyłudzeniu okupu od firmy wartej miliardy dolarów. Oczywiście nie powinno im to ujść na sucho.