FBI pakt gestolen bitcoin (BTC) terug van Colonial Pipeline hackers, maar hoe dan?

Ransomware & losgeld

Vorige maand werd de zogeheten Colonial Pipeline, de grootste oliepijplijn in de Verenigde Staten, stilgelegd. Hackers hadden met behulp van ransomware, of gijzelsoftware, data op de computers van het bedrijf vergrendeld en eisten losgeld.

Dat zorgde even voor veel paniek. Het gastransport kwam stil te liggen en uit vrees voor tekorten gingen Amerikanen massaal inslaan. Uiteindelijk betaalde het bedrijf 75 Bitcoin (BTC), toen ter waarde van $4,4 miljoen of €3,6 miljoen aan de hackers, die inmiddels zijn geïdentificeerd als de Russische hackergroep Darkside.

Nu blijkt dat de Federal Bureau of Investigation (FBI) het losgeld weer heeft afgepakt van de hackers. De FBI heeft 63,7 BTC in beslag genomen, zo’n 85% van het totale bedrag. Dat meldde als eerst CNN op 7 juni:

US investigators have recovered millions of dollars in cryptocurrency paid in ransom to hackers whose attack prompted the shutdown of the key East Coast pipeline last month, sources say https://t.co/ZgJvsgUuue

— CNN (@CNN) June 7, 2021

Implicatie FBI inbeslagname

Dat de FBI dit heeft kunnen doen heeft wellicht grote implicaties voor cryptocurrencies en privacy. Het toont aan dat bitcoin wellicht niet zo geschikt is voor dit soort criminele doeleinden als sommigen beweren. Naar verluidt heeft een FBI agent de gestolen bitcoin gevonden door simpelweg het spoor van transacties te volgen via een zogenaamde block explorer.

 “Het geraffineerde gebruik van technologie om bedrijven en zelfs hele steden te gijzelen voor winst is beslist een uitdaging van de 21e eeuw. Maar het oude gezegde ‘follow the money’ geldt nog steeds. En dat is precies wat we doen.”

Aldus onderminister van Justitie Lisa Monaco. De FBI heeft verder geen details vrijgegeven, maar het lijkt erop dat de hackers wellicht niet zo zorgvuldig waren met het losgeld. In eerste instantie ging het gerucht rond dat het bedrag bij Coinbase werd geparkeerd.  Inmiddels lijkt een meer voor de hand liggende verklaring te zijn dat de private keys op een server in Californië stonden, in het bereik van de FBI.

.@KenDilanianNBC notes, via the below court document, that the hackers kept their bitcoin on a server located in Northern California, within the reach of U.S. law:pic.twitter.com/p0bKesWgSm

— Geoff Bennett (@GeoffRBennett) June 7, 2021

Hoe dan ook: de FBI had toegang en wil niet vertellen hoe. Volgens Reuters journalist Chris Bing zullen we waarschijnlijk ook nooit te weten krijgen hoe.

We likely aren’t going to know how the FBI got the private key for DarkSide’s bitcoin wallet for a while. If ever.

Likewise- it would be great to understand more details about the cryptocurrency address seized by law enforcement “located in the northern district of california”

— Chris Bing (@Bing_Chris) June 7, 2021

Inmiddels gaan er geruchten rond dat het hele gebeuren in scene gezet zou zijn door de FBI om aan te tonen dat ze makkelijk bij je crypto kunnen komen. Sommige mensen roepen zelfs dat Bitcoin gehackt zou zijn door de FBI. Dat klinkt echter zeer onwaarschijnlijk en de FBI zelf zegt dan ook dat crypto hier niet het probleem is:

An FBI agent just now made an important point, re ransomware: “Digital currency in and of itself is not the problem.”

— Ken Dilanian (@KenDilanianNBC) June 7, 2021

Colonial Pipeline CEO Joseph Blount moet zich binnenkort verantwoorden tegenover het Amerikaanse Congress. Hij moet uitleggen waarom hij bijna $5 miljoen aan losgeld betaalde. Een maand geleden verklaarde hij al dat het bedrijf geen idee had hoeverre de aanval hun systemen had aangetast en hoe lang het herstel zou kunnen duren.