FBI nutzte Google-Cookies, 500 Essensbestellungen und einen Monero-Seed-Satz zur Identifizierung des Finanziers von Steam-Malware

Eine 15-seitige bundesstaatliche Strafanzeige beschreibt, wie die Ermittler eine Bitcoin-Spur mit Google-Cookies, Telefonaufzeichnungen und mehr als 500 Uber Eats-Lieferungen kombinierten, um Zyaire Dontaevious Zamarion Wilkins als den mutmaßlichen Finanzier und Vermarkter einer Steam-Malware-Kampagne zu identifizieren. Eine spätere Durchsuchung förderte einen Monero-Seed-Satz zutage, der mit etwa 382.000 USD an kumulativer Transaktionsaktivität verbunden war.

Bundesagenten verhafteten Wilkins, 21, am 14. Juli in Florida. Die am folgenden Tag eingereichte Beschwerde erhebt Anklage wegen einer Verschwörung zur Erlangung von Informationen durch Computer zum privaten finanziellen Gewinn.

Die Vorwürfe betreffen dieselbe acht Spiele umfassende Kampagne, über die CryptoSlate am 19. Juli berichtete. Das FBI und die Beschwerde behaupten, dass die Kampagne etwa 8.000 Geräte infizierte, auf etwa 80 Kryptowährungs-Wallets zugriff und mindestens 220.000 USD stahl.

Die Beschwerde legt auch dar, wie die Ermittler die Finanzierung der Kampagne mit Wilkins verbanden und was sie nach Erlangung eines Durchsuchungsbefehls für Wohnräume fanden.

Nachrichten beschreiben Wilkins' angebliche Finanzierungsrolle

Die Staatsanwälte behaupten, dass ein weiterer Teilnehmer die Entwicklerkonten erstellte und die Spiele startete, während Wilkins die Finanzierung bereitstellte und half, sie zu vermarkten.

Die Spiele wurden über Discord, Telegram, X und LinkedIn beworben, während Bots angeblich Personen mit großen Krypto-Beständen für gezielte Nachrichten identifizierten.

In der Beschwerde zitierte Nachrichten umfassen Diskussionen über die Ausgaben von 10.000 USD für einen Remote-Access-Trojaner, das Einbetten von Malware in Spiele und die Überzeugung weiterer Personen, diese herunterzuladen.

Subjekt #1 soll angeblich den Ermittlern gesagt haben, dass Wilkins Start- und Marketingmittel im Austausch für einen Anteil an gestohlenen Kryptowährungen und Zugang zu den privaten Informationen der Opfer bereitstellte.

Bitcoin-Zahlungen eröffneten eine breitere Identitätsspur

Die Ermittler fanden die Bitcoin-Adresse in Nachrichten, die von einem nicht namentlich genannten mutmaßlichen Mitverschwörer, der als "Subjekt #1" identifiziert wurde, beschlagnahmt wurden, so die Beschwerde.

Wilkins soll angeblich die Adresse bereitgestellt haben, um Mittel für eine Kryptowährungs-Drainagekampagne zu erhalten, und die Ermittler bestätigten, dass die Adresse am Tag ihrer Bereitstellung eine Zahlung von etwa 10.000 USD erhielt.

Die Beschwerde besagt, dass die Ermittler anschließend Zahlungen von derselben Adresse an Bitrefill identifizierten, das es Kunden ermöglicht, Geschenkkarten und andere digitale Produkte mit Kryptowährung zu kaufen.

Die Bitrefill-Aufzeichnungen verbanden die Zahlungen mit einem Konto, das mehr als 150 Geschenkkarten, einschließlich Uber Eats-Karten, gekauft hatte. Das Konto war mit einer E-Mail-Adresse registriert, die die Ermittler dann durch Aufzeichnungen von Google überprüften.

Die Google-Aufzeichnungen sollen diese Adresse über Browser-Cookies mit anderen Konten verknüpft haben. Eines schien Wilkins' Initialen zu verwenden und war mit einem Studenten der University of West Florida verbunden, während ein anderes eine Telefonnummer als Wiederherstellungsnummer angab.

Die Ermittler verknüpften diese Nummer auch mit einer E-Mail-Adresse, die Wilkins' Namen enthielt, einem Snapchat-Konto, das zuvor seinen Namen angezeigt hatte, und einem T-Mobile-Konto, das an einer Adresse registriert war, die mit seiner Familie verbunden war.

Mehr als 500 Essensbestellungen verengten die Spur auf drei Adressen

Uber identifizierte ein Konto, das mit den Uber Eats-Geschenkkarten verbunden war, so die Beschwerde. Dieses Konto war mit derselben Telefonnummer registriert, die in den anderen Aufzeichnungen gefunden wurde.

Weitere Uber-Aufzeichnungen zeigten, dass das Konto zwischen März 2024 und Mai 2026 mehr als 500 Essenslieferbestellungen aufgegeben hatte und über 9.000 USD ausgab. Jede Bestellung ging an einen von drei Standorten: zwei Adressen, die mit der University of West Florida verbunden sind, und Wilkins' Adresse in North Lauderdale.

Der Zeitpunkt folgte auch einem mutmaßlichen Muster. Lieferungen an die Universitätsadressen fanden größtenteils während der Unterrichtszeiten statt, während Bestellungen außerhalb dieser Zeiten an Wilkins' Familienadresse gingen. Die Beschwerde besagt, dass etwa 15 Lieferungen zwischen dem 6. Mai und dem 17. Mai 2026 an die Adresse in North Lauderdale gingen.

Die Uber-Aufzeichnungen bildeten einen Teil einer breiteren Identitätskette, die Daten von Bitrefill-Konten, Google-Cookies, E-Mail-Adressen, Telefonaufzeichnungen, Snapchat-Daten und Mobilstandortinformationen umfasste.

Die Beschwerde stellt nicht fest, dass jede Zahlung oder Essensbestellung mit gestohlenen Mitteln verbunden war.

Durchsuchung förderte einen Monero-Seed-Satz zutage, der mit 382.000 USD an Aktivitäten verbunden war

FBI-Agenten durchsuchten am 8. Juli Wilkins' Wohnsitz in North Lauderdale und beschlagnahmten Laptops, Telefone, andere digitale Geräte und drei Seed-Sätze für Kryptowährungs-Wallets, so die Beschwerde.

Ein Seed-Satz war mit einer Monero-Wallet verbunden, die acht Adressen enthielt. Die Ermittler sagten, dass die Transaktionshistorie der Wallet zeigte, dass Wilkins etwa 1.233 XMR gesendet oder empfangen hatte, was ungefähr 382.000 USD wert war.

Die Zahl von 382.000 USD spiegelt die kumulative Transaktionsaktivität wider, die in der Beschwerde beschrieben wird. Sie ist getrennt von der geschätzten Verlustsumme der mutmaßlichen Opfer von mindestens 220.000 USD, und die Einreichung charakterisiert nicht alle 1.233 XMR als gestohlene Mittel oder als Wilkins' Wallet-Bestand.

Die Identifikationsnarrative der Beschwerde stützt sich auf die Bitcoin-Adresse und Aufzeichnungen von Bitrefill, Google, Uber, Snap, T-Mobile und anderen Anbietern. Die Ermittler erhielten die Monero-Beweise, nachdem sie den Durchsuchungsbefehl für Wohnräume ausgeführt hatten, indem sie einen beschlagnahmten Seed-Satz verwendeten, anstatt Wilkins durch die öffentliche Transaktionshistorie von Monero zu verfolgen.

Wilkins gilt als unschuldig, bis seine Schuld bewiesen ist. TechCrunch berichtete, dass sein Anwalt nicht auf eine Anfrage nach einem Kommentar reagierte. Local 10 berichtete, dass Valve auf seine Fragen zu dem Fall und den Sicherheitsmaßnahmen von Steam bis zur Veröffentlichung nicht reagiert hatte.