FBI wykorzystało ciasteczka Google, 500 zamówień jedzenia i frazę seed Monero do zidentyfikowania finansującego złośliwe oprogramowanie na Steam

Skarga kryminalna o długości 15 stron szczegółowo opisuje, jak śledczy połączyli ślad Bitcoin z ciasteczkami Google, zapisami telefonicznymi oraz ponad 500 dostawami Uber Eats, aby zidentyfikować Zyaire Dontaevious Zamarion Wilkinsa jako domniemanego finansistę i marketera kampanii złośliwego oprogramowania na Steam. Późniejsze przeszukanie ujawniło frazę seed Monero powiązaną z około 382 000 dolarów w łącznej aktywności transakcyjnej.

Agenci federalni aresztowali Wilkinsa, 21 lat, na Florydzie 14 lipca. Skarga, złożona następnego dnia, oskarża go o jedno przestępstwo zmowy w celu uzyskania informacji za pomocą komputera dla prywatnych korzyści finansowych.

Zarzuty dotyczą tej samej kampanii ośmiu gier, o której CryptoSlate informowało 19 lipca. FBI i skarga twierdzą, że kampania zainfekowała około 8 000 urządzeń, uzyskała dostęp do około 80 portfeli kryptowalutowych i ukradła co najmniej 220 000 dolarów.

Skarga przedstawia również, w jaki sposób śledczy powiązali finansowanie kampanii z Wilkinsem oraz co znaleźli po uzyskaniu nakazu przeszukania mieszkania.

Wiadomości opisują rzekomą rolę finansującą Wilkinsa

Prokuratorzy twierdzą, że inny uczestnik stworzył konta dewelopera i uruchomił gry, podczas gdy Wilkins dostarczył finansowanie i pomógł je promować.

Gry były promowane przez Discord, Telegram, X i LinkedIn, podczas gdy boty rzekomo identyfikowały osoby z dużymi zasobami kryptowalutowymi do wysyłania ukierunkowanych wiadomości.

Wiadomości cytowane w skardze zawierają dyskusje na temat wydania 10 000 dolarów na trojana zdalnego dostępu, osadzania złośliwego oprogramowania w grach i przekonywania większej liczby osób do ich pobrania.

Podmiot #1 rzekomo powiedział śledczym, że Wilkins dostarczył fundusze na uruchomienie i marketing w zamian za część skradzionej kryptowaluty i dostęp do prywatnych informacji ofiar.

Płatności Bitcoin otworzyły szerszy ślad tożsamości

Śledczy znaleźli adres Bitcoin w wiadomościach przejętych od nieujawnionego rzekomego współspiskowca zidentyfikowanego jako "Podmiot #1", zgodnie z skargą.

Wilkins rzekomo dostarczył adres, aby otrzymać fundusze na kampanię drenowania kryptowalut, a śledczy potwierdzili, że adres otrzymał płatność w wysokości około 10 000 dolarów w dniu, w którym został dostarczony.

Skarga mówi, że śledczy następnie zidentyfikowali płatności z tego samego adresu do Bitrefill, który pozwala klientom na zakup kart podarunkowych i innych produktów cyfrowych za pomocą kryptowalut.

Rekordy Bitrefill powiązały płatności z jednym kontem, które zakupiło ponad 150 kart podarunkowych, w tym kart Uber Eats. Konto zostało zarejestrowane przy użyciu adresu e-mail, który śledczy następnie zbadali na podstawie zapisów uzyskanych od Google.

Rekordy Google rzekomo powiązały ten adres przez ciasteczka przeglądarki z innymi kontami. Jedno wydawało się używać inicjałów Wilkinsa i było powiązane z studentem Uniwersytetu Florydy Zachodniej, podczas gdy inne miało numer telefonu jako numer odzyskiwania.

Śledczy powiązali również ten numer z adresem e-mail zawierającym imię Wilkinsa, kontem Snapchat, które wcześniej wyświetlało jego imię, oraz kontem T-Mobile zarejestrowanym pod adresem powiązanym z jego rodziną.

Ponad 500 zamówień jedzenia zawęziło ślad do trzech adresów

Uber zidentyfikował jedno konto powiązane z kartami podarunkowymi Uber Eats, zgodnie z skargą. To konto zostało zarejestrowane z tym samym numerem telefonu, który znaleziono w innych zapisach.

Dalsze zapisy Uber pokazały, że konto złożyło ponad 500 zamówień dostaw jedzenia między marcem 2024 a majem 2026, wydając ponad 9 000 dolarów. Każde zamówienie trafiło do jednego z trzech miejsc: dwóch adresów powiązanych z Uniwersytetem Florydy Zachodniej i adresem Wilkinsa w North Lauderdale.

Czas również podążał za rzekomym wzorem. Dostawy do adresów uniwersyteckich miały miejsce głównie w czasie zajęć, podczas gdy zamówienia poza tymi okresami trafiały do adresu rodziny Wilkinsa. Skarga mówi, że około 15 dostaw trafiło do adresu w North Lauderdale między 6 a 17 maja 2026 roku.

Rekordy Uber stanowiły jedną część szerszego łańcucha tożsamości, który obejmował dane konta Bitrefill, ciasteczka Google, adresy e-mail, zapisy telefoniczne, dane Snapchat i informacje o lokalizacji mobilnej.

Skarga nie ustala, że każda płatność lub zamówienie jedzenia dotyczyło skradzionych funduszy.

Przeszukanie ujawniło frazę seed Monero powiązaną z 382 000 dolarów w aktywności

Agenci FBI przeszukali mieszkanie Wilkinsa w North Lauderdale 8 lipca i przejęli laptopy, telefony, inne urządzenia cyfrowe oraz trzy frazy seed portfeli kryptowalutowych, zgodnie z skargą.

Jedna fraza seed była powiązana z portfelem Monero zawierającym osiem adresów. Śledczy powiedzieli, że historia transakcji portfela pokazała, że Wilkins wysłał lub otrzymał około 1 233 XMR, o wartości około 382 000 dolarów.

Kwota 382 000 dolarów odzwierciedla łączną aktywność transakcyjną opisaną w skardze. Jest oddzielna od szacowanej straty ofiar wynoszącej co najmniej 220 000 dolarów, a w aktach nie określono wszystkich 1 233 XMR jako skradzionych funduszy ani jako salda portfela Wilkinsa.

Narracja identyfikacyjna skargi opiera się na adresie Bitcoin oraz zapisach z Bitrefill, Google, Uber, Snap, T-Mobile i innych dostawców. Śledczy uzyskali dowody Monero po wykonaniu nakazu przeszukania mieszkania, używając przejętej frazy seed zamiast śledzenia Wilkinsa przez publiczną historię transakcji Monero.

Wilkins jest domniemanie niewinny, chyba że udowodni się jego winę. TechCrunch doniósł, że jego adwokat nie odpowiedział na prośbę o komentarz. Local 10 doniosło, że Valve nie odpowiedziało na swoje pytania dotyczące sprawy i środków bezpieczeństwa Steam do momentu publikacji.