Hôm thứ Năm, Bộ Tư pháp Hoa Kỳ (DOJ) thông báo các hành động phối hợp nhằm ngăn chặn vụ đánh cắp tiền ảo với quy mô kỷ lục của Triều Tiên, bao gồm việc được tòa án cho phép tịch thu hơn 1,2 tỷ USD bị đánh cắp từ sàn giao dịch tiền mã hóa Binance.
DOJ cho biết trong thông cáo báo chí hôm thứ Năm rằng các hành động này nhắm vào hai hoạt động riêng biệt được cho là do tội phạm mạng được nhà nước Triều Tiên hậu thuẫn thực hiện: chiến dịch thao túng tâm lý mang tên “FaceStealer” và vụ đánh cắp 6,3 tỷ USD tài sản ảo từ Binance vào cuối tháng 10.
Trong khuôn khổ chiến dịch FaceStealer, Văn phòng Công tố Hoa Kỳ tại Khu vực Trung tâm California thông báo đã phá vỡ cơ sở hạ tầng dựa trên đám mây mà tội phạm mạng Triều Tiên sử dụng.
Các cơ quan chức năng công khai quy hoạt động này cho các nhóm Triều Tiên được theo dõi dưới nhiều tên gọi, bao gồm Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff và Stardust Chollima.
Chiến dịch thao túng tâm lý này đã dẫn đến vụ đánh cắp hơn 400 triệu USD tiền mã hóa trong 18 tháng qua, chủ yếu nhắm vào những người trong ngành tiền mã hóa và Web3, những người phát triển và duy trì phần mềm mã nguồn mở.
“Chế độ Triều Tiên dựa vào khoản thu từ các vụ đánh cắp tiền mã hóa quy mô lớn để tài trợ cho chương trình vũ khí bất hợp pháp, và đã đánh cắp hàng tỷ đô la trong những năm gần đây,” Giám đốc Hoạt động Chi nhánh Mạng của FBI Brett Leatherman cho biết, theo thông cáo báo chí.
“FBI vẫn cam kết xác định, ngăn chặn và khiến các đối tượng Triều Tiên phải trả giá vì nhắm vào cộng đồng tài sản ảo,” ông nói thêm.
FBI đã thu giữ hơn 900 video webcam được bí mật ghi lại từ các nạn nhân theo lệnh khám xét liên bang, đồng thời hôm thứ Năm công bố một bản cảnh báo công khai giải thích cách thức hoạt động của âm mưu này.
Các đối tượng Triều Tiên thường bắt đầu tấn công bằng cách mời mục tiêu tham gia các cuộc họp video có vẻ hợp pháp trên những nền tảng như Zoom và Microsoft Teams. Đây là phương thức mà tội phạm mạng Triều Tiên thường sử dụng... để phát tán phần mềm độc hại.
Theo bản cảnh báo, để tạo dựng lòng tin, những kẻ tấn công phát các đoạn video webcam ghi sẵn về những người mà nạn nhân có thể nhận ra.
Nhóm tội phạm mạng cũng sử dụng trí tuệ nhân tạo để tạo video giả sâu về những nhân vật nổi bật trong ngành tiền mã hóa nhằm đánh lừa mục tiêu.
Khi mục tiêu tham gia cuộc họp, những kẻ tấn công dựng lên một vấn đề kỹ thuật giả và chỉ dẫn nạn nhân cài đặt bản cập nhật hoặc chạy mã, bí mật lây nhiễm phần mềm độc hại vào thiết bị của họ, qua đó truy cập ví tiền mã hóa, tài khoản liên lạc và mạng bên ngoài.
Trong hai năm qua, tội phạm mạng Triều Tiên ngày càng sử dụng thủ đoạn này, được gọi là “ClickFix”, để lừa những nạn nhân không hề hay biết bằng các lời nhắc giả mạo yêu cầu vá lỗi hoặc cập nhật phần mềm.
FBI cho biết đôi khi thủ phạm chờ nhiều tháng, thậm chí hơn một năm, mới đánh cắp tiền mã hóa, đồng thời theo dõi số dư ví cho đến khi tăng lên. Sau khi chiếm đoạt tài khoản liên lạc của các nạn nhân trước đó, những kẻ tấn công còn sử dụng danh sách liên hệ và lịch sử trò chuyện của họ để xác định và tiếp cận thêm mục tiêu.
Ngoài việc trực tiếp đánh cắp tiền mã hóa, cơ quan này cảnh báo phần mềm độc hại FaceStealer ngày càng được sử dụng để nhắm vào các nhà phát triển và người duy trì phần mềm mã nguồn mở, có khả năng tạo điều kiện cho các cuộc tấn công vào chuỗi cung ứng phần mềm.
Ví dụ, FBI cho biết hồi đầu năm nay, nhóm này đã xâm nhập tài khoản của người duy trì một thư viện JavaScript có hàng chục triệu lượt tải mỗi tuần, nhưng cuộc tấn công đã bị phát hiện trước khi gây ra thiệt hại trên diện rộng.
