Le FBI a utilisé des cookies Google, 500 commandes alimentaires et une phrase de graine Monero pour identifier le financeur de logiciels malveillants sur Steam

Une plainte criminelle fédérale de 15 pages détaille comment les enquêteurs ont combiné une piste Bitcoin avec des cookies Google, des relevés téléphoniques et plus de 500 livraisons Uber Eats pour identifier Zyaire Dontaevious Zamarion Wilkins comme le prétendu financier et marketeur d'une campagne de logiciels malveillants sur Steam. Une recherche ultérieure a révélé une phrase de graine Monero liée à environ 382 000 $ d'activité transactionnelle cumulative.

Les agents fédéraux ont arrêté Wilkins, 21 ans, en Floride le 14 juillet. La plainte, déposée le lendemain, l'accuse d'un chef d'accusation de conspiration pour obtenir des informations par ordinateur à des fins financières privées.

Les allégations concernent la même campagne de huit jeux dont CryptoSlate a fait état le 19 juillet. Le FBI et la plainte allèguent que la campagne a infecté environ 8 000 appareils, accédé à environ 80 portefeuilles de cryptomonnaie et volé au moins 220 000 $.

La plainte expose également comment les enquêteurs ont relié le financement de la campagne à Wilkins et ce qu'ils ont trouvé après avoir obtenu un mandat de perquisition résidentiel.

Messages décrivant le rôle de financement présumé de Wilkins

Les procureurs allèguent qu'un autre participant a créé les comptes développeurs et lancé les jeux, tandis que Wilkins fournissait des fonds et aidait à les commercialiser.

Les jeux étaient promus via Discord, Telegram, X et LinkedIn, tandis que des bots auraient identifié des personnes avec de grandes avoirs en cryptomonnaie pour des messages ciblés.

Les messages cités dans la plainte incluent des discussions sur le fait de dépenser 10 000 $ pour un cheval de Troie d'accès à distance, d'incorporer des logiciels malveillants dans les jeux et de persuader davantage de personnes de les télécharger.

Le Sujet #1 aurait dit aux enquêteurs que Wilkins fournissait des fonds de lancement et de marketing en échange d'une part de cryptomonnaie volée et d'accès aux informations privées des victimes.

Les paiements Bitcoin ont ouvert une piste d'identité plus large

Les enquêteurs ont trouvé l'adresse Bitcoin dans des messages saisis d'un co-conspirateur présumé non nommé identifié comme "Sujet #1", selon la plainte.

Wilkins aurait fourni l'adresse pour recevoir des fonds pour une campagne de drainage de cryptomonnaie, et les enquêteurs ont vérifié que l'adresse avait reçu un paiement d'environ 10 000 $ le jour où elle a été fournie.

La plainte indique que les enquêteurs ont ensuite identifié des paiements de la même adresse à Bitrefill, qui permet aux clients d'acheter des cartes-cadeaux et d'autres produits numériques avec des cryptomonnaies.

Les enregistrements de Bitrefill ont relié les paiements à un compte qui avait acheté plus de 150 cartes-cadeaux, y compris des cartes Uber Eats. Le compte était enregistré avec une adresse e-mail que les enquêteurs ont ensuite examinée à travers des dossiers obtenus de Google.

Les dossiers de Google auraient lié cette adresse via des cookies de navigateur à d'autres comptes. L'un semblait utiliser les initiales de Wilkins et était associé à un étudiant de l'Université de Floride occidentale, tandis qu'un autre listait un numéro de téléphone comme numéro de récupération.

Les enquêteurs ont également lié ce numéro à une adresse e-mail contenant le nom de Wilkins, un compte Snapchat qui affichait auparavant son nom, et un compte T-Mobile enregistré à une adresse associée à sa famille.

Plus de 500 commandes alimentaires ont réduit la piste à trois adresses

Uber a identifié un compte associé aux cartes-cadeaux Uber Eats, selon la plainte. Ce compte était enregistré avec le même numéro de téléphone trouvé dans les autres dossiers.

D'autres dossiers Uber ont montré que le compte avait passé plus de 500 commandes de livraison de nourriture entre mars 2024 et mai 2026, dépensant plus de 9 000 $. Chaque commande a été envoyée à l'une des trois emplacements : deux adresses associées à l'Université de Floride occidentale et l'adresse de Wilkins à North Lauderdale.

Le timing a également suivi un schéma allégué. Les livraisons aux adresses universitaires ont largement eu lieu pendant que les cours étaient en session, tandis que les commandes en dehors de ces périodes allaient à l'adresse familiale de Wilkins. La plainte indique qu'environ 15 livraisons ont été envoyées à l'adresse de North Lauderdale entre le 6 mai et le 17 mai 2026.

Les dossiers Uber ont constitué une partie d'une chaîne d'identité plus large qui incluait des données de compte Bitrefill, des cookies Google, des adresses e-mail, des relevés téléphoniques, des données Snapchat et des informations de localisation mobile.

La plainte ne prouve pas que chaque paiement ou commande alimentaire impliquait des fonds volés.

La recherche a révélé une phrase de graine Monero liée à 382 000 $ d'activité

Les agents du FBI ont perquisitionné la résidence de Wilkins à North Lauderdale le 8 juillet et ont saisi des ordinateurs portables, des téléphones, d'autres appareils numériques et trois phrases de graine de portefeuille de cryptomonnaie, selon la plainte.

Une phrase de graine était associée à un portefeuille Monero contenant huit adresses. Les enquêteurs ont déclaré que l'historique des transactions du portefeuille montrait que Wilkins avait envoyé ou reçu environ 1 233 XMR, d'une valeur d'environ 382 000 $.

Le chiffre de 382 000 $ reflète l'activité transactionnelle cumulative décrite dans la plainte. Il est distinct de l'estimation de perte présumée des victimes d'au moins 220 000 $, et le dépôt ne caractérise pas tous les 1 233 XMR comme des fonds volés ou comme le solde du portefeuille de Wilkins.

Le récit d'identification de la plainte repose sur l'adresse Bitcoin et les dossiers de Bitrefill, Google, Uber, Snap, T-Mobile et d'autres fournisseurs. Les enquêteurs ont obtenu les preuves Monero après avoir exécuté le mandat de perquisition résidentiel, en utilisant une phrase de graine saisie plutôt qu'en traçant Wilkins à travers l'historique des transactions publiques de Monero.

Wilkins est présumé innocent jusqu'à preuve du contraire. TechCrunch a rapporté que son avocat n'a pas répondu à une demande de commentaire. Local 10 a rapporté que Valve n'avait pas répondu à ses questions sur l'affaire et les mesures de sécurité de Steam au moment de la publication.