De Finse politie claimt dat het een Finse man die wordt verdacht van het afpersen van een psychotherapiepraktijk en het gevoeligste datalek in de Finse geschiedenis via het traceren van monero-transacties te hebben gevonden. De exacte methode is echter niet bekendgemaakt. De Finse man wordt verdacht van de inbraak op systemen van psychotherapiepraktijk Vastaamo. Eind 2020 werden gevoelige gegevens van zo'n 40.000 cliënten van de praktijk online gezet. Het ging onder andere om namen, adresgegevens, persoonlijke identificatienummers en patiëntendossiers met zeer gevoelige informatie.

Met de gestolen data werden in eerste instantie zowel de psychotherapiepraktijk als cliënten afgeperst. De aanvaller dreigde elke dag honderd records openbaar te maken als de praktijk geen 450.000 euro betaalde. Daarnaast werden cliënten benaderd door de aanvaller met het dreigement dat als zij niet betaalden al hun persoonlijke informatie online zou verschijnen. De aanvaller plaatste in eerste instantie van honderden patiënten de gegevens online. Uiteindelijk verscheen de volledige database op internet.

De situatie zorgde voor zeer grote ophef in Finland en leidde zelfs tot spoedoverleg van het Finse kabinet. Ook ging de Finse regering met een voorstel aan de slag dat het eenvoudiger voor slachtoffers moest maken om hun burgerservicenummer aan te passen. Volgens de praktijk zijn de patiëntgegevens waarschijnlijk bij twee aanvallen in november 2018 en ergens tussen november 2018 en maart 2019 buitgemaakt. Hoe de aanvaller toegang wist te krijgen is niet bekendgemaakt.

Begin 2021 meldde Vastaamo dat het vanwege het afhandelen van de datadiefstal en afpersing, alsmede de hoge eenmalige uitgaven en onzekerheid over de toekomst, niet meer in staat was om aan de financiële verplichtingen te voldoen en de deuren zou sluiten. De dienstverlening werd overgenomen door zorgverlener Verve. Vastaamo had behandellocaties in heel Finland. Begin vorig jaar werd de Finse verdachte in Frankrijk aangehouden.

Tijdens de rechtszaak vorige week zijn meer details naar buitengekomen over het onderzoek van de Finse politie. Volgens de openbaar aanklager stuurde de Finse politie een klein bedrag naar de bitcoin-wallet van de verdachte. Dat spoor leidde naar een cryptobeurs, waar informatie over de wallet werd opgevraagd. De niet nader genoemde cryptobeurs vereist geen registratie en slaat ook geen persoonlijke data op. Wel liet de cryptobeurs weten dat de eigenaar van de bitcoin-wallet het geld naar een monero-wallet had overgemaakt.

De bedenkers van monero claimen dat monero-transacties vertrouwelijk en ontraceerbaar zijn. Toch claimt de Finse politie dat het de verdachte door het traceren van monero-transacties toch kon opsporen, zo laten Finse media weten. Het geld in de monero-wallet werd naar cryptobeurs Binance overgemaakt en daar omgezet naar bitcoin. Een verzoek van de Finse politie aan Binance leverde alleen een e-mailadres op. Via Binance kwam de Finse politie bij een online dienst die voor klanten cryptovaluta via katvangers in euro's naar opgegeven bankrekeningen overmaakt.

Zoals gezegd bevatte het gevonden Binance-account alleen een e-mailadres. De Finse politie ontdekte dat er was geprobeerd om een identiteitsbewijs aan dit account te koppelen. Het identiteitsbewijs werd echter niet geaccepteerd. Dit identiteitsbewijs werd echter wel succesvol gebruikt bij een andere cryptobeurs. Het e-mailadres dat voor dit account werd gebruikt leidde naar een e-mailserver die door de verdachte werd beheerd.

Volgens Csilla Brimer van het MAGIC Monero Fund, dat het monero-ecosysteem ondersteunt, heeft de Finse politie vermoedelijk verschillende transacties kunnen traceren door een gebrekkige operationele security aan de kant van de gebruiker en is monero zelf niet gecompromitteerd. "Als je niet zorgvuldig met je operationele security bent en je blijft wisselen tussen bitcoin en monero, kun je wat informatie lekken", zo laat ze tegenover Decrypt weten. "Toezichthouders kunnen dergelijke foutjes gebruiken om te claimen dat ze monero kunnen traceren." Op X meldt Brimer dat als monero traceerbaar wordt het niet de toezichthouders zijn die dit zullen melden, maar de monero-gemeenschap zelf. Het Finse openbaar ministerie heeft tegen de verdachte een gevangenisstraf van zeven jaar geëist.