Jackpotting: VS sanctioneert 10 personen rond Tren de Aragua

Het Amerikaanse ministerie van Financiën heeft sancties opgelegd aan 10 personen die in verband worden gebracht met een jackpotting-operatie, waarbij malware geldautomaten dwong zichzelf leeg te spuwen. Amerikaanse functionarissen koppelen de praktijken aan Tren de Aragua, een Venezolaanse criminele organisatie.

De maatregel komt van het Office of Foreign Assets Control (OFAC) van het ministerie, de instantie die de Amerikaanse economische sancties uitvoert. Ze is gericht tegen een aantal Venezolanen en een reeks bedrijven die zij in handen hebben. Volgens het ministerie hielpen die bedrijven bij het witwassen van geld dat uit tientallen geldautomaten was gehaald.

Amerikaanse functionarissen hebben ten minste 1.500 jackpotting-aanvallen in kaart gebracht, goed voor een schade van 40,7 miljoen dollar. Het ministerie omschrijft de operatie als een "belangrijke bron van inkomsten voor de organisatie."

Hoe het geld werd verplaatst

Volgens functionarissen ging de buit uit de geldautomaten naar leden van Tren de Aragua, die vervolgens de herkomst van het geld verhulden. Dat deden ze op twee manieren: via cryptovaluta, of door het geld door hun eigen bedrijven in Mexico en andere landen te sluizen. Meerdere personen die in de woensdag bekendgemaakte sancties worden genoemd, worden ervan beschuldigd het jackpotting-geld met cryptovaluta te hebben helpen witwassen.

Blockchain-analysebedrijf Chainalysis stelde dat het jackpotting-geld "via dezelfde kanalen loopt als drugsgeld."

"Uit analyse van Chainalysis bleek dat tegenpartijen van de wallets van [Tren de Aragua] banden hadden met witwasoperaties van Colombiaanse en Mexicaanse drugskartels, en met een Venezolaan die is aangeklaagd voor het witwassen van een miljard dollar," aldus de experts van het bedrijf.

Ze voegden eraan toe dat "het netwerk leunde op gedeelde witwasinfrastructuur, waaronder stablecoins, die meerdere criminele organisaties in heel Latijns-Amerika bedient."

Ploutus en de vermeende ontwikkelaar

De operatie draait op Ploutus, een malwarefamilie voor geldautomaten. Het Amerikaanse ministerie van Justitie heeft herhaaldelijk beweerd dat er "uitgebreide directe en indirecte banden" bestaan tussen Ploutus en Tren de Aragua.

Aanklagers en het ministerie van Financiën hebben video's en foto's vrijgegeven die laten zien hoe de aanvallen verliepen. Mannen wrikten de bovenkant van een geldautomaat open, sloten een laptop aan en installeerden de malware. Zodra Ploutus draait, geeft de automaat al het contante geld af dat erin zit.

De FBI heeft eerder Anibal Alexander Canelon Aguirre aangewezen als de ontwikkelaar van Ploutus. Aguirre staat op de lijst van meest gezochte personen van de FBI. Hij wordt ervan beschuldigd meerdere teams door de VS te hebben gestuurd om de malware in te zetten tegen geldautomaten, meestal op afgelegen plekken. Volgens het ministerie van Financiën zijn er foto's van Aguirre met opbrengsten uit jackpotting-misdrijven.

Experts en overheidsinstanties waarschuwen al bijna tien jaar voor varianten van Ploutus. Onderzoekers van Google noemden het eerder "een van de meest geavanceerde malwarefamilies voor geldautomaten" die ze waren tegengekomen.

Toch hebben experts geen enkele link gevonden tussen Ploutus en Aguirre of Tren de Aragua.

Onderdeel van een breder offensief

De sancties zijn een van meerdere acties van de Amerikaanse overheid tegen de operatie. Ten minste 98 personen zijn aangeklaagd voor hun rol in de malwarepraktijken. Vorige maand bekenden vijf mannen schuld aan aanverwante aanklachten.

Het grotere plaatje

Sancties werken anders dan aanklachten. Ze sluiten de betrokkenen af van het Amerikaanse financiele systeem en maken het riskant voor anderen om met hen zaken te doen. Dat wijst erop dat de Amerikaanse autoriteiten de witwaskant van de operatie, inclusief frontbedrijven en cryptowallets, zien als een zwakke plek die het waard is om aan te pakken. Recente zaken zoals de pig butchering-oplichting van 16 miljoen dollar en de vervolging rond marktplaats Rydox laten vergelijkbare druk zien op financieel gemotiveerde cybercriminaliteit.

De bevindingen van Chainalysis over gedeelde stablecoin-infrastructuur leveren een praktische les op. Wie het geld volgt, kan verbanden blootleggen tussen groepen die los van elkaar lijken te staan. Voor banken en exploitanten van geldautomaten laat de zaak nog maar eens zien dat fysieke toegang tot automaten op afgelegen locaties een reeel risico blijft.

Een punt om in de gaten te houden: onderzoekers hebben de toeschrijving aan Aguirre en Tren de Aragua niet onafhankelijk bevestigd. Het is afwachten of de rechtszaken technisch bewijs opleveren dat die vraag beslecht.