Stake hack: cryptocasino bestolen van € 38 miljoen door cybercrimenelen uit Noord-Korea

Cryptogoksite Stake zag maandagavond voor omgerekend € 38 miljoen aan opnames hun wallets uitstromen. Omdat de ontvangende accounts nooit eerder actief waren geweest, werden de geldstromen direct als verdacht aangemerkt door (AI) analisten. Blockchain beveiligingsbedrijf PeckShield gebruikte de data van Etherscan.io om Stake op de hoogte te brengen en plakte direct het label “Stake Hacker” op de ontvangende partij.

De eerste transactie vond volgens Cointelegraph plaats om 12:48 lokale tijd. Daarbij is er voor omgerekend € 3,6 miljoen aan Tether overgeboekt van Stake naar de rekening van de hacker. Daarna is er 6.001 Ether overgeboekt, een transactie ter waarde van ongeveer € 9,1 miljoen. Binnen minuten volgden overboekingen voor € 900.000 aan USDC, € 836.000 aan DAI, en wat aan Stake Classic.

In totaal was de eerste opbrengst van de hack op Stake € 14,8 miljoen voor de aanvaller, aldus onderzoeksbureau CyVers. De cryptovaluta is vervolgens direct verdeeld over meerdere accounts.

Het team achter Stake sprak over hot wallets waar de hack op had plaatsgevonden, zogenaamde digitale potjes die gebruikt worden voor actieve transfers. Volgens Stake zijn de tegoeden van gebruikers veilig en altijd beschikbaar. Ed Craven, medeoprichter van Stake, verduidelijkte op X dat “Stake op elk moment een klein deel van zijn cryptoreserves in hot wallets bewaart om deze redenen.” Die opmerking in een reactie op een post van Stake zelf, impliceert dat de verliezen een klein percentage van het totaal zijn en geen gevolgen zullen hebben voor gebruikers.

FBI: Lazarus Group dader van hack

Woensdag heeft de FBI bekendgemaakt dat de cybercrime-organisatie Lazarus Group verantwoordelijk is geweest voor de hack. De groep is ook wel bekend als APT38, en bestaat uit cyberacteurs uit Noord-Korea.

Volgens de FBI is deze groep verantwoordelijk geweest voor meerdere overvallen op virtuele valuta. In het afgelopen jaar zou de APT38 al voor meer dan $ 200 miljoen hebben gestolen.

“De FBI zal doorgaan met het ontmaskeren en bestrijden van het gebruik door de DVK van illegale activiteiten om inkomsten te genereren voor het regime, waaronder cybercriminaliteit en diefstal van virtuele valuta.”

FBI

Opbrengst van hack Stake nog hoger

Beosin, een bedrijf dat automatisch diverse smart contracts in de gaten houdt, spreekt van een grotere hack op Stake. Volgens het bedrijf is er ook op andere ketens sprake geweest van het wegvloeien van tegoeden. Het zou gaan om nog eens € 7,2 miljoen verloren op het Polygon-netwerk⁽⁾ en € 16,5 miljoen via het netwerk van Binance⁽⁾. Dat zou de totale verliezen van de hack op meer dan € 38 miljoen voor Stake brengen. Beosin maakte het volgende overzicht:

Aanvankelijk bestond er onduidelijkheid over de hack op Stake. Sommige mensen op X dachten dat het om het werk van insiders ging. Volgens Watchers.guru heeft de hack op Stake kunnen plaatsvinden door een gelegde private key⁽⁾.

Stake bevestigde de hack om 19:16 via haar accounts op social media:

Het online casino schortte korte tijd alle uitbetalingen op. Er zijn vooralsnog geen meldingen bekend van verloren geld van klanten.

Stake is een online casino dat een vergunning heeft op Curaçao en met die vergunning in veel landen haar diensten aanbiedt onder haar .com-domein. In het Verenigd Koninkrijk heeft het bedrijf een vergunning van de Gambling Commission. Daar opereert het niet op haar eigen platform, maar draait het op white label Aspire Global die ook de vergunning in handen heeft.

Stake heeft geen vergunning in Nederland en is hier ook niet beschikbaar. De verschillende domeinen van Stake zijn op de zwarte lijst geplaatst in diverse landen, waaronder Frankrijk, België en Denemarken.