FBI sử dụng cookie Google, 500 đơn hàng thực phẩm và một cụm từ hạt Monero để xác định người tài trợ phần mềm độc hại Steam

Một bản cáo trạng hình sự liên bang dài 15 trang chi tiết cách các nhà điều tra kết hợp dấu vết Bitcoin với cookie Google, hồ sơ điện thoại và hơn 500 đơn hàng Uber Eats để xác định Zyaire Dontaevious Zamarion Wilkins là người tài trợ và tiếp thị cho một chiến dịch phần mềm độc hại trên Steam. Một cuộc tìm kiếm sau đó đã phát hiện một cụm từ hạt Monero liên quan đến khoảng 382.000 USD trong hoạt động giao dịch tích lũy.

Các đặc vụ liên bang đã bắt giữ Wilkins, 21 tuổi, ở Florida vào ngày 14 tháng 7. Bản cáo trạng, được nộp vào ngày hôm sau, buộc tội anh ta một tội danh âm mưu thu thập thông tin bằng máy tính vì lợi ích tài chính cá nhân.

Các cáo buộc liên quan đến cùng một chiến dịch tám trò chơi mà CryptoSlate đã báo cáo vào ngày 19 tháng 7. FBI và bản cáo trạng cáo buộc rằng chiến dịch này đã lây nhiễm khoảng 8.000 thiết bị, truy cập khoảng 80 ví tiền điện tử và đánh cắp ít nhất 220.000 USD.

Bản cáo trạng cũng nêu rõ cách các nhà điều tra kết nối nguồn tài trợ chiến dịch với Wilkins và những gì họ tìm thấy sau khi có được lệnh tìm kiếm tại nhà.

Tin nhắn mô tả vai trò tài trợ của Wilkins

Các công tố viên cáo buộc rằng một người tham gia khác đã tạo ra các tài khoản nhà phát triển và khởi động các trò chơi, trong khi Wilkins cung cấp tài chính và giúp tiếp thị chúng.

Các trò chơi đã được quảng bá qua Discord, Telegram, X và LinkedIn, trong khi các bot được cho là đã xác định những người có tài sản tiền điện tử lớn để gửi tin nhắn mục tiêu.

Các tin nhắn được trích dẫn trong bản cáo trạng bao gồm các cuộc thảo luận về việc chi 10.000 USD cho một trojan truy cập từ xa, nhúng phần mềm độc hại vào các trò chơi và thuyết phục nhiều người hơn tải xuống chúng.

Chủ thể #1 được cho là đã nói với các nhà điều tra rằng Wilkins đã cung cấp quỹ khởi động và tiếp thị để đổi lấy một phần tiền điện tử bị đánh cắp và quyền truy cập vào thông tin cá nhân của các nạn nhân.

Các khoản thanh toán Bitcoin mở ra một dấu vết danh tính rộng hơn

Các nhà điều tra đã tìm thấy địa chỉ Bitcoin trong các tin nhắn bị thu giữ từ một đồng phạm chưa được nêu tên được xác định là "Chủ thể #1," theo bản cáo trạng.

Wilkins được cho là đã cung cấp địa chỉ để nhận tài trợ cho một chiến dịch rút tiền điện tử, và các nhà điều tra đã xác minh rằng địa chỉ này đã nhận được khoản thanh toán khoảng 10.000 USD vào ngày nó được cung cấp.

Bản cáo trạng cho biết các nhà điều tra sau đó đã xác định các khoản thanh toán từ cùng một địa chỉ đến Bitrefill, cho phép khách hàng mua thẻ quà tặng và các sản phẩm kỹ thuật số khác bằng tiền điện tử.

Các hồ sơ Bitrefill đã kết nối các khoản thanh toán với một tài khoản đã mua hơn 150 thẻ quà tặng, bao gồm thẻ Uber Eats. Tài khoản này được đăng ký bằng một địa chỉ email mà các nhà điều tra sau đó đã kiểm tra qua các hồ sơ thu được từ Google.

Các hồ sơ Google được cho là đã liên kết địa chỉ đó qua cookie trình duyệt với các tài khoản khác. Một tài khoản có vẻ như sử dụng chữ cái đầu của Wilkins và được liên kết với một sinh viên Đại học West Florida, trong khi một tài khoản khác liệt kê một số điện thoại làm số khôi phục.

Các nhà điều tra cũng đã liên kết số điện thoại đó với một địa chỉ email chứa tên của Wilkins, một tài khoản Snapchat trước đó hiển thị tên của anh ta, và một tài khoản T-Mobile được đăng ký tại một địa chỉ liên quan đến gia đình của anh ta.

Hơn 500 đơn hàng thực phẩm đã thu hẹp dấu vết đến ba địa chỉ

Uber đã xác định một tài khoản liên quan đến các thẻ quà tặng Uber Eats, theo bản cáo trạng. Tài khoản đó được đăng ký với cùng một số điện thoại được tìm thấy trong các hồ sơ khác.

Các hồ sơ Uber cho thấy tài khoản này đã đặt hơn 500 đơn hàng giao thực phẩm từ tháng 3 năm 2024 đến tháng 5 năm 2026, chi tiêu hơn 9.000 USD. Mỗi đơn hàng đều đến một trong ba địa điểm: hai địa chỉ liên quan đến Đại học West Florida và địa chỉ North Lauderdale của Wilkins.

Thời gian cũng theo một mẫu được cho là. Các đơn hàng giao đến các địa chỉ đại học chủ yếu diễn ra trong thời gian học, trong khi các đơn hàng ngoài các khoảng thời gian đó lại đến địa chỉ gia đình của Wilkins. Bản cáo trạng cho biết khoảng 15 đơn hàng đã đến địa chỉ North Lauderdale từ ngày 6 đến ngày 17 tháng 5 năm 2026.

Các hồ sơ Uber đã tạo thành một phần của một chuỗi danh tính rộng hơn bao gồm dữ liệu tài khoản Bitrefill, cookie Google, địa chỉ email, hồ sơ điện thoại, dữ liệu Snapchat và thông tin vị trí di động.

Bản cáo trạng không xác lập rằng mọi khoản thanh toán hoặc đơn hàng thực phẩm đều liên quan đến tiền bị đánh cắp.

Cuộc tìm kiếm phát hiện một cụm từ hạt Monero liên quan đến 382.000 USD trong hoạt động

Các đặc vụ FBI đã tìm kiếm nơi ở của Wilkins tại North Lauderdale vào ngày 8 tháng 7 và thu giữ máy tính xách tay, điện thoại, các thiết bị kỹ thuật số khác và ba cụm từ hạt ví tiền điện tử, theo bản cáo trạng.

Một cụm từ hạt được liên kết với một ví Monero chứa tám địa chỉ. Các nhà điều tra cho biết lịch sử giao dịch của ví cho thấy Wilkins đã gửi hoặc nhận khoảng 1.233 XMR, trị giá khoảng 382.000 USD.

Con số 382.000 USD phản ánh hoạt động giao dịch tích lũy được mô tả trong bản cáo trạng. Nó tách biệt với ước tính thiệt hại của nạn nhân ít nhất 220.000 USD, và hồ sơ không phân loại tất cả 1.233 XMR là tiền bị đánh cắp hoặc là số dư ví của Wilkins.

Câu chuyện xác định trong bản cáo trạng dựa vào địa chỉ Bitcoin và các hồ sơ từ Bitrefill, Google, Uber, Snap, T-Mobile và các nhà cung cấp khác. Các nhà điều tra đã thu được bằng chứng Monero sau khi thực hiện lệnh tìm kiếm tại nhà, sử dụng một cụm từ hạt bị thu giữ thay vì truy tìm Wilkins qua lịch sử giao dịch công khai của Monero.

Wilkins được coi là vô tội cho đến khi được chứng minh có tội. TechCrunch báo cáo rằng luật sư của anh ta đã không phản hồi yêu cầu bình luận. Local 10 báo cáo rằng Valve chưa phản hồi các câu hỏi của họ về vụ việc và các biện pháp bảo mật của Steam khi xuất bản.