La Guardia Civil, en la denominada Operación 3COIN, ha desarticulado un grupo de ciberdelincuentes que en el verano de 2020 atacó una empresa española dedicada a la custodia de criptodivisas, materializando el robo de 6.000.000 € en criptomoneda pertenecientes a miles de inversores.
Estos hechos fueron puestos en conocimiento del Departamento contra el Cibercrimen de la Unidad Central Operativa (UCO) de la Guardia Civil, el cual, a la vista del elevado número de personas afectadas y del valor de lo sustraído, inició con absoluta prioridad esta investigación.
Centrada la misma tanto en el origen y características del ataque, altamente sofisticado, como en el seguimiento de los movimientos realizados por la criptomoneda sustraída enmascarada en un complejo sistema de blanqueo de capitales, quedó dificultada en gran medida por la razón de ser de la propia criptomoneda; el anonimato de las transacciones.
Por los datos recabados inicialmente, como el uso de un sofisticado malware tipo RAT (Remote Access Trojan) más conocido como Troyano, el movimiento lateral en los ordenadores de la empresa, y el tiempo que estuvieron dentro de la misma los autores, hizo pensar que detrás de este ataque pudieran estar autores del tipo APT (Amenazas Persistentes Avanzadas), vinculadas con sofisticados grupos de cibercriminales.
Ataque propiciado por la descarga de un archivo malicioso
A medida que los investigadores fueron profundizando en el origen del ataque a la empresa de custodia de criptoactivos, se pudo concluir que el mismo tenía su origen en la descarga ilegal de una película de un portal de contenido multimedia “pirata”, por parte de un trabajador de la citada empresa.
Los archivos que conformaban esa película contenían un virus informático altamente sofisticado que permitió a los atacantes hacerse con el control absoluto del ordenador del empleado y usarlo como cobertura para acceder a la empresa. Dicha descarga se produjo más de medio año antes de que se produjeran los hechos, permitiendo a los atacantes conocer con detalle todos los procesos internos de la mercantil y preparar el ataque informático.
Dicho ataque se produjo en pleno verano, una vez que conocían todos los procedimientos, características y estructura de la empresa, accediendo por medio de una red de ordenadores interpuesta para dar la orden de transacción de criptomonedas por valor de 6.000.000 de euros.
Las criptomonedas sustraídas fueron transferidas a billeteras bajo el control de los atacantes, donde estuvieron inmovilizadas por más de seis meses tratando de no llamar la atención policial. Fue tras ese tiempo, una vez que se sintieron seguros, cuando empezaron a mover las criptomonedas usando un complejo entramado de billeteras electrónicas de blanqueo de capitales.
Relación entre el titular de la web de descargas y los atacantes
Fruto de las distintas vías de investigación abiertas por los agentes, los mismos pudieron identificar al supuesto operador de la página web de descargas ilegales desde donde se distribuyó el virus informático que propició el ataque.
Otras vías de investigación tecnológica abiertas, permitieron identificar a 4 personas más, que supuestamente recibieron parte de las criptomonedas sustraídas, todos ellos sin relación aparente.
Por todo ello, en noviembre de 2021, agentes Contra el Cibercrimen de UCO, llevaron a cabo 4 registros domiciliarios en las provincias de Tenerife, Bilbao y Barcelona, procediendo a la detención e investigación de 4 personas, a las que se les intervino material informático de gran interés para la investigación, así como criptomonedas por valor de 900.000 €, relacionadas con el robo.
Analizado todo el material intervenido en estos registros, los agentes pudieron constatar rastros de la supuesta autoría del ataque por parte de uno de los detenidos, localizando el malware tipo troyano utilizado y la trazabilidad del ciberataque, así como los movimientos iniciales de las criptodivisas sustraídas y el pago en las mismas al titular de la página web de descargas desde donde se lanzó el virus.
Una vez constatada la supuesta autoría del ciberataque, la investigación se centró en la identificación de los posibles receptores de las criptodivisas sustraídas y su vinculación con el primero, llegando los investigadores hasta otro individuo, el cual recibió al menos 500.000 € en criptodivisa robada.
Esta misma semana, en la última fase de la operación hasta el momento, se ha procedido a la investigación de otra persona, la cual ejercía un control sobre el supuesto autor a través del consumo de drogas vinculadas a rituales como el del Sapo Bufo.
Colaboración entre Guardia Civil y Sector Privado
La plena disposición por parte de la víctima, junto con el trabajo realizado por la empresa experta en ciberseguridad que asistió a la misma, facilitó un intercambio de información con gran fluidez, lo que resultó de capital importancia en la resolución de esta investigación.
La operación ha sido llevada a cabo por agentes del Departamento Contra el Cibercrimen de la Unidad Central Operativa de la Guardia Civil y dirigida por el Juzgado de Instrucción número 12 de Madrid.
