FBI использовало куки Google, 500 заказов еды и фразу для восстановления Monero для идентификации финансиста вредоносного ПО Steam

Федеральный уголовный иск на 15 страницах описывает, как следователи объединили следы Bitcoin с куками Google, телефонными записями и более чем 500 доставками Uber Eats, чтобы идентифицировать Зайера Донтевиуса Замариона Уилкинса как предполагаемого финансиста и маркетолога кампании вредоносного ПО Steam. Позже в ходе обыска была обнаружена фраза для восстановления Monero, связанная с примерно 382 000 долларов США в совокупной транзакционной активности.

Федеральные агенты арестовали Уилкинса, 21 год, во Флориде 14 июля. Иск, поданный на следующий день, обвиняет его в одном пункте заговора с целью получения информации с помощью компьютера для личной финансовой выгоды.

Обвинения касаются той же восьмиигровой кампании, о которой сообщал CryptoSlate 19 июля. FBI и иск утверждают, что кампания заразила примерно 8 000 устройств, получила доступ к около 80 криптовалютным кошелькам и украла как минимум 220 000 долларов.

Иск также описывает, как следователи связали финансирование кампании с Уилкинсом и что они нашли после получения ордера на обыск в жилом помещении.

Сообщения описывают предполагаемую финансовую роль Уилкинса

Прокуроры утверждают, что другой участник создал учетные записи разработчиков и запустил игры, в то время как Уилкинс обеспечивал финансирование и помогал в их продвижении.

Игры рекламировались через Discord, Telegram, X и LinkedIn, в то время как боты якобы идентифицировали людей с крупными криптоактивами для целевых сообщений.

Сообщения, упомянутые в иске, включают обсуждения о расходах в 10 000 долларов на троянский вирус удаленного доступа, внедрении вредоносного ПО в игры и убеждении большего числа людей скачать их.

Предмет #1 якобы сказал следователям, что Уилкинс предоставил средства на запуск и маркетинг в обмен на долю украденной криптовалюты и доступ к личной информации жертв.

Платежи Bitcoin открыли более широкий след идентификации

Следователи нашли адрес Bitcoin в сообщениях, изъятых у неназванного предполагаемого соучастника, идентифицированного как "Предмет #1", согласно иску.

Уилкинс якобы предоставил адрес для получения финансирования для кампании по отмыванию криптовалюты, и следователи подтвердили, что адрес получил платеж в размере примерно 10 000 долларов в день, когда он был предоставлен.

В иске говорится, что следователи впоследствии идентифицировали платежи с того же адреса на Bitrefill, который позволяет клиентам покупать подарочные карты и другие цифровые продукты с помощью криптовалюты.

Записи Bitrefill связали платежи с одной учетной записью, которая приобрела более 150 подарочных карт, включая карты Uber Eats. Учетная запись была зарегистрирована с использованием адреса электронной почты, который следователи затем проверили через записи, полученные от Google.

Записи Google якобы связали этот адрес через куки браузера с другими учетными записями. Одна из них, похоже, использовала инициалы Уилкинса и была связана со студентом Университета Западной Флориды, в то время как другая указала номер телефона в качестве номера для восстановления.

Следователи также связали этот номер с адресом электронной почты, содержащим имя Уилкинса, аккаунтом Snapchat, который ранее отображал его имя, и учетной записью T-Mobile, зарегистрированной по адресу, связанному с его семьей.

Более 500 заказов еды сузили след до трех адресов

Uber идентифицировал одну учетную запись, связанную с подарочными картами Uber Eats, согласно иску. Эта учетная запись была зарегистрирована с тем же номером телефона, найденным в других записях.

Дальнейшие записи Uber показали, что учетная запись разместила более 500 заказов на доставку еды с марта 2024 года по май 2026 года, потратив более 9 000 долларов. Каждый заказ был направлен на один из трех адресов: два адреса, связанные с Университетом Западной Флориды, и адрес Уилкинса в Норт-Лодердейле.

Время также следовало предполагаемому шаблону. Доставки по адресам университета в основном происходили во время занятий, в то время как заказы вне этих периодов отправлялись на адрес семьи Уилкинса. Иск утверждает, что примерно 15 доставок были отправлены на адрес Норт-Лодердейла с 6 по 17 мая 2026 года.

Записи Uber составили одну часть более широкой цепи идентификации, которая включала данные учетной записи Bitrefill, куки Google, адреса электронной почты, телефонные записи, данные Snapchat и информацию о мобильном местоположении.

Иск не устанавливает, что каждый платеж или заказ еды был связан с украденными средствами.

Обыск выявил фразу для восстановления Monero, связанную с активностью на 382 000 долларов

Агенты FBI обыскали резиденцию Уилкинса в Норт-Лодердейле 8 июля и изъяли ноутбуки, телефоны, другие цифровые устройства и три фразы для восстановления криптовалютных кошельков, согласно иску.

Одна фраза была связана с кошельком Monero, содержащим восемь адресов. Следователи заявили, что история транзакций кошелька показала, что Уилкинс отправил или получил примерно 1 233 XMR, стоимостью примерно 382 000 долларов.

Сумма в 382 000 долларов отражает совокупную транзакционную активность, описанную в иске. Она отделена от предполагаемой оценки потерь жертв в размере как минимум 220 000 долларов, и в подаче не указывается, что все 1 233 XMR являются украденными средствами или балансом кошелька Уилкинса.

Нарратив идентификации иска основывается на адресе Bitcoin и записях от Bitrefill, Google, Uber, Snap, T-Mobile и других поставщиков. Следователи получили доказательства Monero после выполнения ордера на обыск в жилом помещении, используя изъятую фразу для восстановления, а не отслеживая Уилкинса через публичную историю транзакций Monero.

Уилкинс считается невиновным, пока его вина не будет доказана. TechCrunch сообщила, что его адвокат не ответил на запрос о комментарии. Local 10 сообщила, что Valve не ответила на свои вопросы о деле и мерах безопасности Steam к моменту публикации.