Litouwse hacker uitgeleverd aan Zuid-Korea na $1,8 mln cryptodiefstal via KMSAuto-malware

Zuid-Korea heeft een 29-jarige Litouwse staatsburger uitgeleverd die ervan wordt verdacht ongeveer 1,7 miljard won (~$1,8M) aan cryptocurrency te hebben gestolen met KMSAuto, een kwaadaardige Windows-activatietool. Het National Office of Investigation (NOI) sloot een vijf jaar durend onderzoek over meerdere landen af en concludeerde dat de malware — meer dan 2 miljoen keer gedownload tussen 2020 en 2023 — in realtime geheugen/klembordmanipulatie uitvoerde om bestemmingswalletadressen tijdens transacties te vervangen. Onderzoekers zeggen dat de campagne meer dan 3.100 adressen wereldwijd compromis maakte en ongeveer 840 transacties met succes onderschepte, waarmee de aanvaller ongeveer 1,7 miljard won verdiende; acht Zuid-Koreaanse slachtoffers meldden gezamenlijke verliezen van ongeveer 16 miljoen won. Het onderzoek begon na een klacht in augustus 2020 over de diefstal van een bitcoin. Wetshandhavers volgden gelden via exchanges in zes landen, hielden 22 apparaten in beslag uit de woning van de verdachte, werkten samen met Litouwse autoriteiten, gaven een Interpol-roodbericht uit en arresteerden hem in Georgië vóór uitlevering aan Korea. Autoriteiten waarschuwden gebruikers om geen niet-licentie-software te gebruiken, walletadressen te verifiëren voordat ze fondsen verzenden en alert te zijn op wallet‑swapping malware. Voor crypto‑handelaars: de zaak benadrukt het aanhoudende risico van adres‑kapingsmalware gericht op gebruikers van gehackte of third‑party tools, het belang van adresverificatiepraktijken (hardware wallets, adres‑whitelisting, copy‑paste‑controles) en dat gecoördineerde grensoverschrijdende handhaving sporen kan terugvinden en persistente malwarecampagnes kan verstoren.