FBI spoorde Steam-malwareverdachte op via Google-cookies, 500 Uber Eats-bestellingen en Monero-seedphrase
Hoe de FBI Google-cookies, meer dan 500 Uber Eats-bestellingen en een Monero-seedphrase gebruikte om een 21-jarige man uit Florida aan te klagen voor een Steam-malwarecampagne van $200.000.
Federale aanklagers hebben een 21-jarige man uit Florida aangeklaagd wegens het financieren en promoten van een malwarecampagne waarbij nepindiegames op Steam werden gebruikt om ongeveer $200.000 aan cryptocurrency van gamers te stelen — en de FBI bouwde de zaak op een spoor van digitale kruimels dat zelfs een privacy coin niet kon wegvagen.
De verdachte is Zyaire Dontaevious Zamarion Wilkins. Een federale strafklacht van 15 pagina’s beschrijft hoe onderzoekers de zaak ontrafelden door een BTC$80.965,00▼1,62%-transactiespoor te combineren met Google-authenticatiecookies, telefoongegevens en — dit is het deel dat elke aspirant-cryptocrimineel zou moeten achtervolgen — meer dan 500 bestellingen bij bezorgdienst Uber Eats. De klacht, waarover TechCrunch op 17 juli 2026 berichtte, beschrijft hoe de Seattle-afdeling van de FBI een onderzoek startte naar een reeks indiegames op Steam waarin informatiestelende malware was verwerkt.
Dit was geen amateurwerk. Uit analyse van Bitdefender bleek dat de software in staat was om inloggegevens, authenticatiecookies en crypto-walletgegevens van geïnfecteerde machines te verzamelen — precies de combinatie waarmee een aanvaller tweefactorauthenticatie kan omzeilen en wallets kan leegtrekken voordat een slachtoffer doorheeft dat er iets mis is. Download een van de getroffen titels, en de stealer onttrok in stilte alles. Geruisloos. Volledig.
Tot de aangemerkte Steam-titels behoren, op basis van zoekopdrachten gekoppeld aan het onderzoek, Dashverse, Lunara, DashFPS, Tokenova en Lampy. De FBI vraagt gamers die een van deze titels hebben gedownload om zich te melden en verzamelt informatie van slachtoffers via een speciaal formulier.
Wat Wilkins verraadde, was geen doorbraak in surveillance. Het was Uber Eats. Hij zou de opbrengsten hebben besteed aan cadeaubonnen van het bezorgplatform — een beslissing die een flagrante kwetsbaarheid buiten de keten introduceerde waar niemand in de operatie blijkbaar bij stilstond. PCGamer meldde dat meer dan 500 bestellingen tot hem werden herleid; elk voorzien van een tijdstempel, elk gekoppeld aan een fysiek bezorgadres. De cadeaubonnen waren traceerbaar. De adressen waren echt. De aanname van anonimiteit bleek fictie.
Dan was er het Bitcoin-spoor. Het publieke grootboek is per ontwerp transparant, maar het koppelen van on-chain transacties aan een levend, ademend persoon vereist nog steeds bewijs buiten de keten — en dat hadden onderzoekers in overvloed. De klacht beschrijft hoe Google-authenticatiecookies, teruggevonden op machines die door de malware zelf waren geïnfecteerd, walletactiviteit koppelden aan accounts die met Wilkins in verband werden gebracht. Telefoongegevens vulden de overgebleven gaten.
De meest cruciale vondst kwam echter tijdens een fysieke doorzoeking van Wilkins’ eigendom. Onderzoekers troffen een Monero-seedphrase aan — de cryptografische sleutel die een Monero-wallet beheert — gekoppeld aan ongeveer $382.000 aan cumulatieve transacties, aldus CryptoSlate. Dat bedrag ligt aanzienlijk hoger dan de $200.000 aan vermeende gestolen opbrengsten, wat lastige vragen oproept over de vraag of de wallet alleen van Wilkins was of verbonden was aan een bredere operatie die de klacht niet volledig beschrijft.
Monero (XMR) is specifiek ontworpen om transactiesporen te verhullen. In tegenstelling tot Bitcoin, waarbij elke overdracht op een publieke blockchain staat, gebruikt Monero ringhandtekeningen en stealth-adressen om verzender, ontvanger en bedrag te verbergen — waardoor on-chain analyse vrijwel nutteloos wordt om geldstromen te traceren. Een seedphrase is echter een fysiek object. Er eentje vinden in het eigendom van een verdachte komt neer op het vinden van een grootboek dat nooit had mogen bestaan; het omzeilt de volledige privacyarchitectuur van de munt met één enkel huiszoekingsbevel.
De zaak onderstreept een punt dat onderzoekers herhaaldelijk hebben benadrukt bij crypto-gerelateerde vervolgingen: privacy coins garanderen geen anonimiteit wanneer wetshandhavers fysiek bewijs kunnen verkrijgen of bestedingspatronen buiten de keten kunnen koppelen. Zet de meest geavanceerde cryptografische hulpmiddelen in, bestel 500 maaltijden naar een traceerbaar adres, en laat een seedphrase in een lade liggen — de privacygaranties storten precies in waar het digitale het fysieke raakt.
De kloof tussen de $382.000 aan Monero-transacties en de $200.000 aan gemelde gestolen gelden blijft in de klacht onopgehelderd. Het zou kunnen wijzen op extra slachtoffers die zich nog niet hebben gemeld, een aparte inkomstenstroom, of gelden die door andere actoren via de wallet zijn geleid. Het slachtofferformulier van de FBI suggereert dat het bureau nog bezig is de volledige omvang van de campagne in kaart te brengen.
Voor de gamingcommunity is de waarschuwing acuut. De FBI heeft spelers die een van de aangemerkte Steam-titels hebben gedownload expliciet gevraagd zich te melden via het speciale formulier van het bureau. Iedereen die Dashverse, Lunara, DashFPS, Tokenova of Lampy heeft geïnstalleerd, moet zijn machine als gecompromitteerd beschouwen — inloggegevens, cookies en walletgegevens kunnen al in handen van iemand anders zijn.
Wilkins staat terecht op federale aanklachten die bij een veroordeling tot aanzienlijke gevangenisstraf kunnen leiden. De klacht geldt als een van de meer gedetailleerde openbare verslagen van hoe federale onderzoekers ouderwetse fysieke doorzoekingen combineren met digitale forensische expertise om crypto-gerelateerde cybercriminaliteit te vervolgen — en als een harde les dat de zwakste LINK$12,23▼2,50% in een op privacy gerichte operatie vaak degene is die haar runt.
De Seattle-afdeling van de FBI zoekt nog steeds naar informatie van slachtoffers, en het onderzoek blijft actief nu aanklagers naar de volgende fase van de zaak toewerken.
Nadia Rahman
Nadia Rahman is marktenredacteur bij CoinScoop. Ze volgt bitcoin, macroliquiditeit en de spot-ETF-markt, en schreef eerder over rente en valuta voor een internationaal persbureau.