La Guardia Civil ha desarticulado un grupo de ciberdelincuentes que en el verano de 2020 atacó una empresa española dedicada a la custodia de criptodivisas, materializando el robo de seis millones de euros en criptomonedas pertenecientes a miles de inversores, una operación que se ha saldado con cico detenidos y que se trata del primer caso de estas características resuelto en España.

Los hechos fueron puestos en conocimiento del Departamento contra el Cibercrimen de la Unidad Central Operativa (UCO) de la Guardia Civil, que a la vista del elevado número de personas afectadas y del valor de lo sustraído, inició con absoluta prioridad esta investigación.

Por los datos recabados inicialmente, así como el uso de un sofisticado malware tipo RAT (Remote Access Trojan) más conocido como Troyano, el movimiento lateral en los ordenadores de la empresa, y el tiempo que estuvieron dentro de la misma los autores, hizo pensar que detrás de este ataque pudieran estar autores del tipo APT (Amenazas Persistentes Avanzadas), vinculadas con sofisticados grupos de cibercriminales.

La descarga ilegal de un disco pirata, el origen

Así, se pudo concluir que el mismo tenía su origen en la descarga ilegal de una película de un portal de contenido multimedia "pirata", por parte de un trabajador de la citada empresa. Los archivos que conformaban esa película contenían un virus informático altamente sofisticado que permitió a los atacantes hacerse con el control absoluto del ordenador del empleado y usarlo como cobertura para acceder a la empresa.

Dicha descarga se produjo más de medio año antes de que se produjeran los hechos, permitiendo a los atacantes conocer con detalle todos los procesos internos de la mercantil y preparar el ataque informático.

Las criptomonedas sustraídas fueron transferidas a billeteras bajo el control de
los atacantes, donde estuvieron inmovilizadas por más de seis meses tratando de no llamar la atención policial. Fue tras ese tiempo, una vez que se sintieron seguros, cuando empezaron a mover las criptomonedas usando un complejo entramado de billeteras electrónicas de blanqueo de capitales.

Asimismo, los agentes pudieron identificar al supuesto operador de la página web de descargas ilegales desde donde se distribuyó el virus informático que propició el ataque. Otras vías de investigación permitieron identificar a cuatro personas más, que supuestamente recibieron parte de las criptomonedas sustraídas, todos ellos sin relación aparente.

Registros en Tenerife, Bilbao y Barcelona

Por todo ello, en noviembre de 2021, agentes Contra el Cibercrimen de UCO, llevaron a cabo cuatro registros domiciliarios en las provincias de Tenerife, Bilbao y Barcelona, procediendo a la detención e investigación de 4 personas, a las que se les intervino material informático de gran interés para la investigación, así como criptomonedas por valor de 900.000 euros, relacionadas con el robo.

Una vez analizado todo el material intervenido en estos registros, los agentes pudieron
constatar rastros de la supuesta autoría del ataque por parte de uno de los detenidos, localizando el malware tipo troyano utilizado y la trazabilidad del ciberataque, así como los movimientos iniciales de las criptodivisas sustraídas y el pago en las mismas al titular de la página web de descargas desde donde se lanzó el virus.

Constatada la supuesta autoría del ciberataque, la investigación se centró en la identificación de los posibles receptores de las criptodivisas sustraídas y su vinculación con el primero, llegando los investigadores hasta otro individuo, el cual recibió al menos 500.000 euros en criptodivisa robada.

Esta misma semana, en la última fase de la operación hasta el momento, se ha procedido a la investigación de otra persona, la cual ejercía un control sobre el supuesto autor a través del consumo de drogas vinculadas a rituales como el del 'Sapo Bufo'.