La Guardia Civil resuelve un caso de hackeo y robo de 6 millones € a una empresa de custodia de criptomonedas

El mundo de la criptomoneda, pese a sus múltiples aspectos positivos, entraña diferentes peligros tanto para usuarios como para empresas de servicios del sector. La Guardia Civil, en la denominada Operación 3COIN, ha desarticulado un grupo de ciberdelincuentes que en el verano de 2020 atacó una empresa española dedicada a la custodia de criptodivisas, materializando el robo de 6.000.000 € en criptomoneda pertenecientes a miles de inversores

Sociedad 23 de febrero de 2022

Estos hechos fueron puestos en conocimiento del Departamento contra el Cibercrimen de la Unidad Central Operativa (UCO) de la Guardia Civil, el cual, a la vista del elevado número de personas afectadas y del valor de lo sustraído, inició con absoluta prioridad esta investigación.

La Guardia Civil se centró tanto en el origen y características del ataque, altamente sofisticado, como en el seguimiento de los movimientos realizados por la criptomoneda sustraída enmascarada en un complejo sistema de blanqueo de capitales, lo que dificultó en gran medida esta investigación, por la razón de ser de la propia criptomoneda; el anonimato de las transacciones.

Por los datos recabados inicialmente, como el uso de un sofisticado malware tipo RAT (Remote Access Trojan) más conocido como Troyano, el movimiento lateral en los ordenadores de la empresa, y el tiempo que estuvieron dentro de la misma los autores, hizo pensar que detrás de este ataque pudieran estar autores del tipo APT (Amenazas Persistentes Avanzadas), vinculadas con grupos de cibercriminales.

Ataque propiciado por la descarga de un archivo malicioso

A medida que los investigadores fueron profundizando en el origen del ataque a la empresa de custodia de criptoactivos, se pudo concluir que estaba en la descarga ilegal de una película de un portal de contenido multimedia “pirata”, por parte de un trabajador de la citada empresa.

Los archivos que conformaban esa película contenían un virus informático, altamente sofisticado, que permitió a los atacantes hacerse con el control absoluto del ordenador del empleado y usarlo como cobertura para acceder a la empresa.

Dicha descarga se produjo más de medio año antes de que se produjeran los hechos, permitiendo a los atacantes conocer con detalle todos los procesos internos de la mercantil y preparar el ataque informático.

Dicho ataque se produjo en pleno verano, una vez que conocían todos los procedimientos, características y estructura de la empresa, accediendo por medio de una red de ordenadores interpuesta para dar la orden de transacción de criptomonedas por valor de 6 millones de euros.

Las criptomonedas sustraídas fueron transferidas a billeteras bajo el control de los atacantes, donde estuvieron inmovilizadas por más de seis meses tratando de no llamar la atención policial.

Fue tras ese tiempo, una vez que se sintieron seguros, cuando empezaron a mover las criptomonedas, usando un complejo entramado de billeteras electrónicas de blanqueo de capitales.

Relación entre el titular de la web de descargas y los atacantes

Fruto de las distintas vías de investigación abiertas por los agentes, los mismos pudieron identificar al supuesto operador de la página web de descargas ilegales desde donde se distribuyó el virus informático que propició el ataque.

Otras vías de investigación tecnológica abiertas, permitieron identificar a 4 personas más, que supuestamente recibieron parte de las criptomonedas sustraídas, todos ellos sin relación aparente.

Por todo ello, en noviembre de 2021, agentes Contra el Cibercrimen de UCO, llevaron a cabo 4 registros domiciliarios en las provincias de Tenerife, Bilbao y Barcelona, procediendo a la detención e investigación de 4 personas, a las que se les intervino material informático de gran interés para la investigación, así como criptomonedas por valor de 900.000 €, relacionadas con el robo.

Analizado todo el material intervenido en estos registros, los agentes pudieron constatar rastros de la supuesta autoría del ataque por parte de uno de los detenidos, localizando el malware tipo troyano utilizado y la trazabilidad del ciberataque, así como los movimientos iniciales de las criptodivisas sustraídas y el pago en las mismas al titular de la página web de descargas desde donde se lanzó el virus.

Una vez constatada la supuesta autoría del ciberataque, la investigación se centró en la identificación de los posibles receptores de las criptodivisas sustraídas y su vinculación con el primero, llegando los investigadores hasta otro individuo, el cual recibió al menos 500.000 € en criptodivisa robada.

Esta misma semana, en la última fase de la operación hasta el momento, se ha procedido a la investigación de otra persona, la cual ejercía un control sobre el supuesto autor a través del consumo de drogas vinculadas a rituales como el del Sapo Bufo.

Colaboración entre Guardia Civil y Sector Privado

La plena disposición por parte de la víctima, junto con el trabajo realizado por la empresa experta en ciberseguridad, que asistió a la misma, facilitó un intercambio de información con gran fluidez, lo que resultó de capital importancia en la resolución de esta investigación.

La operación ha sido llevada a cabo por agentes del Departamento Contra el Cibercrimen de la Unidad Central Operativa de la Guardia Civil y dirigida por el Juzgado de Instrucción número 12 de Madrid.