FTB naudojo „Google“ slapukus, 500 maisto užsakymų ir Monero pradinę frazę, kad nustatytų „Steam“ kenkėjiškų programų finansuotoją

15 puslapių federaliniame baudžiamajame skunde išsamiai aprašoma, kaip tyrėjai sujungė Bitcoin pėdsaką su Google slapukais, telefonų įrašais ir daugiau nei 500 Uber Eats pristatymų, kad nustatytų Zyaire Dontaevious Zamarion Wilkins kaip įtariamą Steam kenkėjiškų programų kampanijos finansuotoją ir rinkodaros specialistą. Vėlesnė paieška aptiko Monero pradinę frazę, susijusią su maždaug 382 000 USD bendra sandorių veikla.

Federaliniai agentai suėmė 21 metų Wilkinsą Floridoje liepos 14 d. Skunde, kuris buvo pateiktas kitą dieną, jis kaltinamas vienu sąmokslu gauti informaciją kompiuteriu, siekiant asmeninės finansinės naudos.

Kaltinimai susiję su ta pačia aštuonių žaidimų kampanija, apie kurią pranešta liepos 19 d. FTB ir skunde teigiama, kad kampanija užkrėtė maždaug 8 000 įrenginių, pasiekė apie 80 kriptovaliutų piniginių ir pavogė mažiausiai 220 000 USD.

Skunde taip pat nurodoma, kaip tyrėjai susiejo kampanijos finansavimą su Wilkinsu ir ką rado gavę gyvenamosios vietos kratos orderį.

Pranešimuose aprašomas tariamas Wilkinso finansinis vaidmuo

Prokurorai teigia, kad kitas dalyvis sukūrė kūrėjų paskyras ir paleido žaidimus, o Wilkinsas teikė finansavimą ir padėjo juos parduoti.

Žaidimai buvo reklamuojami per „Discord“, „Telegram“, „X“ ir „LinkedIn“, o robotai tariamai atpažino žmones, turinčius daug kriptovaliutų, skirtų tiksliniams pranešimams.

Skunde minimose žinutėse diskutuojama apie 10 000 USD išleidimą nuotolinės prieigos Trojos arkliams, kenkėjiškų programų įterpimą į žaidimus ir daugiau žmonių įtikinimą jas atsisiųsti.

Tyrėja Nr. 1 tariamai pasakė tyrėjams, kad Wilkinsas suteikė paleidimo ir rinkodaros lėšų mainais už pavogtos kriptovaliutos dalį ir prieigą prie aukų asmeninės informacijos.

Bitcoin mokėjimai atvėrė platesnį tapatybės kelią

Tyrėjai rado Bitcoin adresą pranešimuose, paimtuose iš neįvardyto tariamo sąmokslininko, kuris, kaip teigiama skunde, buvo nurodytas kaip „Subject #1“.

Wilkinsas tariamai nurodė adresą, kad gautų finansavimą kriptovaliutos nusausinimo kampanijai, o tyrėjai patikrino, kad adresas gavo maždaug 10 000 USD mokėjimą tą dieną, kai jis buvo pateiktas.

Skunde teigiama, kad tyrėjai vėliau nustatė mokėjimus iš to paties adreso į Bitrefill, kuris leidžia klientams įsigyti dovanų kortelių ir kitų skaitmeninių produktų su kriptovaliuta.

Bitrefill įrašai susiejo mokėjimus su viena paskyra, kurioje buvo įsigyta daugiau nei 150 dovanų kortelių, įskaitant Uber Eats korteles. Paskyra buvo užregistruota naudojant el. pašto adresą, kurį tyrėjai ištyrė pagal iš „Google“ gautus įrašus.

„Google“ įrašai tariamai susiejo šį adresą per naršyklės slapukus su kitomis paskyromis. Atrodė, kad vienas naudojo Wilkinso inicialus ir buvo susijęs su Vakarų Floridos universiteto studentu, o kitas nurodė telefono numerį kaip atkūrimo numerį.

Tyrėjai taip pat susiejo šį numerį su el. pašto adresu, kuriame yra Wilkinso vardas, „Snapchat“ paskyra, kurioje anksčiau buvo rodomas jo vardas, ir „T-Mobile“ paskyra, registruota adresu, susijusiu su jo šeima.

Daugiau nei 500 maisto užsakymų susiaurino kelią iki trijų adresų

Remiantis skunde, „Uber“ nustatė vieną paskyrą, susijusią su „Uber Eats“ dovanų kortelėmis. Ta paskyra buvo registruota tuo pačiu telefono numeriu, nurodytu kituose įrašuose.

Kiti „Uber“ įrašai parodė, kad nuo 2024 m. kovo iki 2026 m. gegužės mėn. buvo pateikta daugiau nei 500 maisto pristatymo užsakymų, išleidžiant daugiau nei 9 000 USD. Kiekvienas užsakymas buvo išsiųstas į vieną iš trijų vietų: du adresus, susijusius su Vakarų Floridos universitetu, ir Wilkinso Šiaurės Loderdeilo adresu.

Laikas taip pat buvo nustatytas pagal tariamą modelį. Pristatymai universiteto adresais dažniausiai buvo vykdomi pamokų metu, o užsakymai ne tais laikotarpiais buvo siunčiami Wilkinsų šeimos adresu. Skunde teigiama, kad maždaug 15 siuntų buvo išsiųstos Šiaurės Loderdeilo adresu nuo 2026 m. gegužės 6 d. iki gegužės 17 d.

„Uber“ įrašai sudarė dalį platesnės tapatybės grandinės, apimančios „Bitrefill“ paskyros duomenis, „Google“ slapukus, el. pašto adresus, telefonų įrašus, „Snapchat“ duomenis ir mobiliojo ryšio vietos informaciją.

Skunde nenustatyta, kad kiekvienas mokėjimas ar maisto užsakymas būtų susiję su vogtomis lėšomis.

Paieška aptiko Monero pradinę frazę, susijusią su 382 000 USD veikla

FTB agentai liepos 8 d. atliko kratą Wilkinso rezidencijoje Šiaurės Loderdeilyje ir konfiskavo nešiojamuosius kompiuterius, telefonus, kitus skaitmeninius įrenginius ir tris kriptovaliutos piniginės pradines frazes, teigiama skunde.

Viena pradinė frazė buvo susijusi su Monero pinigine, kurioje yra aštuoni adresai. Tyrėjai teigė, kad piniginės operacijų istorija parodė, kad Wilkinsas išsiuntė arba gavo maždaug 1 233 XMR, kurių vertė yra maždaug 382 000 USD.

382 000 USD suma atspindi skunde aprašytą kaupiamąją operacijų veiklą. Tai skiriasi nuo tariamų mažiausiai 220 000 USD aukos nuostolių įvertinimo, o paraiškoje visi 1 233 XMR nėra apibūdinami kaip pavogtos lėšos arba Wilkinso piniginės likutis.

Skundo identifikavimo pasakojimas remiasi Bitcoin adresu ir įrašais iš Bitrefill, Google, Uber, Snap, T-Mobile ir kitų teikėjų. Tyrėjai surinko Monero įrodymus įvykdę gyvenamosios vietos kratos orderį, naudodami konfiskuotą pradinę frazę, o ne sekdami Wilkinsą per Monero viešųjų sandorių istoriją.

Wilkinsas laikomas nekaltu, nebent jo kaltė įrodyta. „TechCrunch“ pranešė, kad jo advokatas neatsakė į prašymą pakomentuoti. „Local 10“ pranešė, kad „Valve“ neatsakė į klausimus apie atvejį ir „Steam“ saugumo priemones.