El FBI utilizó cookies de Google, 500 pedidos de comida y una frase semilla de Monero para identificar al financiador de malware de Steam

Una denuncia penal federal de 15 páginas detalla cómo los investigadores combinaron un rastro de Bitcoin con cookies de Google, registros telefónicos y más de 500 entregas de Uber Eats para identificar a Zyaire Dontaevious Zamarion Wilkins como el presunto financiador y comercializador de una campaña de malware en Steam. Una búsqueda posterior descubrió una frase semilla de Monero vinculada a aproximadamente 382,000 dólares en actividad de transacciones acumulativas.

Los agentes federales arrestaron a Wilkins, de 21 años, en Florida el 14 de julio. La denuncia, presentada al día siguiente, lo acusa de un cargo de conspiración para obtener información por computadora para beneficio financiero privado.

Las acusaciones se refieren a la misma campaña de ocho juegos de la que CryptoSlate informó el 19 de julio. El FBI y la denuncia alegan que la campaña infectó aproximadamente 8,000 dispositivos, accedió a alrededor de 80 billeteras de criptomonedas y robó al menos 220,000 dólares.

La denuncia también expone cómo los investigadores conectaron la financiación de la campaña a Wilkins y lo que encontraron después de obtener una orden de búsqueda residencial.

Mensajes describen el presunto papel de financiación de Wilkins
Los fiscales alegan que otro participante creó las cuentas de desarrollador y lanzó los juegos, mientras que Wilkins proporcionó financiación y ayudó a comercializarlos.

Los juegos fueron promovidos a través de Discord, Telegram, X y LinkedIn, mientras que bots supuestamente identificaron a personas con grandes tenencias de criptomonedas para mensajes dirigidos.

Los mensajes citados en la denuncia incluyen discusiones sobre gastar 10,000 dólares en un troyano de acceso remoto, incrustar malware en juegos y persuadir a más personas para que los descargaran.

El sujeto #1 supuestamente dijo a los investigadores que Wilkins proporcionó fondos de lanzamiento y marketing a cambio de una parte de la criptomoneda robada y acceso a la información privada de las víctimas.

Los pagos en Bitcoin abrieron un rastro de identidad más amplio
Los investigadores encontraron la dirección de Bitcoin en mensajes incautados de un presunto co-conspirador no identificado como "Sujeto #1", según la denuncia.

Wilkins supuestamente proporcionó la dirección para recibir financiación para una campaña de drenaje de criptomonedas, y los investigadores verificaron que la dirección recibió un pago de aproximadamente 10,000 dólares el día en que fue proporcionada.

La denuncia dice que los investigadores posteriormente identificaron pagos desde la misma dirección a Bitrefill, que permite a los clientes comprar tarjetas de regalo y otros productos digitales con criptomonedas.

Los registros de Bitrefill conectaron los pagos a una cuenta que había comprado más de 150 tarjetas de regalo, incluidas tarjetas de Uber Eats. La cuenta estaba registrada utilizando una dirección de correo electrónico que los investigadores luego examinaron a través de registros obtenidos de Google.

Los registros de Google supuestamente vincularon esa dirección a través de cookies del navegador a otras cuentas. Una parecía usar las iniciales de Wilkins y estaba asociada con un estudiante de la Universidad del Oeste de Florida, mientras que otra listaba un número de teléfono como su número de recuperación.

Los investigadores también vincularon ese número a una dirección de correo electrónico que contenía el nombre de Wilkins, a una cuenta de Snapchat que anteriormente mostraba su nombre y a una cuenta de T-Mobile registrada en una dirección asociada con su familia.

Más de 500 pedidos de comida redujeron el rastro a tres direcciones
Uber identificó una cuenta asociada con las tarjetas de regalo de Uber Eats, según la denuncia. Esa cuenta estaba registrada con el mismo número de teléfono encontrado en los otros registros.

Registros adicionales de Uber mostraron que la cuenta realizó más de 500 pedidos de entrega de comida entre marzo de 2024 y mayo de 2026, gastando más de 9,000 dólares. Cada pedido fue a una de tres ubicaciones: dos direcciones asociadas con la Universidad del Oeste de Florida y la dirección de Wilkins en North Lauderdale.

El momento también siguió un patrón alegado. Las entregas a las direcciones universitarias ocurrieron en gran medida mientras las clases estaban en sesión, mientras que los pedidos fuera de esos períodos fueron a la dirección familiar de Wilkins. La denuncia dice que aproximadamente 15 entregas fueron a la dirección de North Lauderdale entre el 6 y el 17 de mayo de 2026.

Los registros de Uber formaron una parte de una cadena de identidad más amplia que incluía datos de cuentas de Bitrefill, cookies de Google, direcciones de correo electrónico, registros telefónicos, datos de Snapchat e información de ubicación móvil.

La denuncia no establece que cada pago o pedido de comida involucrara fondos robados.

La búsqueda descubrió una frase semilla de Monero vinculada a 382,000 dólares en actividad
Los agentes del FBI registraron la residencia de Wilkins en North Lauderdale el 8 de julio y confiscaron laptops, teléfonos, otros dispositivos digitales y tres frases semilla de billeteras de criptomonedas, según la denuncia.

Una frase semilla estaba asociada con una billetera de Monero que contenía ocho direcciones. Los investigadores dijeron que el historial de transacciones de la billetera mostró que Wilkins había enviado o recibido aproximadamente 1,233 XMR, valorados en aproximadamente 382,000 dólares.

La cifra de 382,000 dólares refleja la actividad de transacciones acumulativas descrita en la denuncia. Es separada de la estimación de pérdida de víctimas alegadas de al menos 220,000 dólares, y la presentación no caracteriza los 1,233 XMR como fondos robados o como saldo de la billetera de Wilkins.

La narrativa de identificación de la denuncia se basa en la dirección de Bitcoin y los registros de Bitrefill, Google, Uber, Snap, T-Mobile y otros proveedores. Los investigadores obtuvieron la evidencia de Monero después de ejecutar la orden de búsqueda residencial, utilizando una frase semilla incautada en lugar de rastrear a Wilkins a través del historial de transacciones públicas de Monero.

Wilkins se presume inocente a menos que se demuestre su culpabilidad. TechCrunch informó que su abogado no respondió a una solicitud de comentarios. Local 10 informó que Valve no había respondido a sus preguntas sobre el caso y las medidas de seguridad de Steam al momento de la publicación.

Aviso legal: Este contenido se brinda únicamente con fines informativos y de marca, y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Ningún evento, recompensa, evento en línea o información relacionada que se mencione aquí debe considerarse una recomendación, solicitud o invitación para comprar, vender, intercambiar u operar de cualquier otra forma con criptoactivos ni para utilizar ningún servicio. Los criptoactivos son altamente volátiles y pueden generar pérdidas. Los servicios y eventos en línea de WEEX pueden no estar disponibles en todas las regiones y están sujetos a las leyes, regulaciones y requisitos de elegibilidad aplicables. Usted es responsable de asegurarse de que su uso de los servicios de WEEX cumpla con las leyes locales y de evaluar cuidadosamente los riesgos antes de participar en cualquier actividad relacionada con criptomonedas.