Aanvallers hebben stiekem gemaakte webcambeelden van meer dan negenhonderd it'ers gebruikt voor een grote cryptodiefstal, waarbij vierhonderd miljoen dollar aan crypto werd buitgemaakt. Dat beweert de FBI (pdf). De aanvallers maakten gebruik van malafide versies van Zoom, Microsoft Teams en Google Meets voor fake videomeetings. Slachtoffers werden via gehackte accounts van bekenden, waaronder op Telegram, LinkedIn, Slack en Discord, door de aanvallers benaderd en uitgenodigd voor een videomeeting.

Tijdens de videomeeting kregen slachtoffers een opname van de bekende te zien, die eerder stiekem door de aanvallers was gemaakt. Vervolgens namen de aanvallers de videomeeting met het nieuwe slachtoffer op en lieten die vervolgens een technische foutmelding zien. De melding stelde dat het slachtoffer aangeboden scripts of instructies in zijn terminal moest uitvoeren om het probleem te verhelpen. Hierdoor werd er malware op het systeem geplaatst. Deze malware steelt cookies uit de browser, slaat toetsaanslagen op, maakt schermopnames en fungeert als backdoor.

Via deze malware kregen de aanvallers controle over het systeem van gebruikers en konden zo toegankelijke cryptovaluta stelen. Ook kregen ze toegang tot externe infrastructuur, zoals het bedrijfsnetwerk van de organisatie waar het slachtoffer werkte, of accounts van open source maintainers. Tevens kregen de aanvallers toegang tot contactlijsten, socialmedia-accounts en chatapps van het slachtoffer, alsmede de webcam. Zo konden de aanvallers privé en zakelijke contacten van het slachtoffer benaderen en de aanvalscyclus herhalen.

Doordat de aanvallers de beschikking hadden over de chatgeschiedenis van eerdere slachtoffers, konden ze op basis van eerdere gesprekken voor nieuwe slachtoffers op maat gemaakte berichten maken. Volgens de FBI hebben de aanvallers in het geheim van meer dan negenhonderd 'tech workers' webcam-opnames gemaakt. De Amerikaanse opsporingsdienst stelt dat het belangrijk is dat mensen die werkzaam zijn in de crypto- en web3-industrie of zich bezighouden met de ontwikkeling van opensourcesoftware zich verdiepen in de aanvalsmethode.

In de waarschuwing doet de FBI verschillende aanbevelingen, zoals alert te zijn op video-uitnodigingen, niet zomaar commando's of scripts uit te voeren en grote cryptobedragen niet in browser-extensie wallets te bewaren, maar in een fysieke ledger. Verder wordt het gebruik van multifactorauthenticatie voor accounts aangeraden. Volgens de FBI zijn de aanvallen, die over een periode van achttien maanden plaatsvonden, het werk van aan Noord-Korea gelieerde hackers.