FBI bắt giữ một người đàn ông ở Florida vì trộm cắp 220.000 USD tiền điện tử thông qua các trò chơi Steam

Cục Điều tra Liên bang Mỹ (FBI) đã bắt Zyarie Wilkins, 21 tuổi, đến từ North Lauderdale, Florida, với cáo buộc tài trợ cho một kế hoạch nhúng phần mềm độc hại đánh cắp tiền điện tử vào tám trò chơi video được phân phối qua nền tảng Steam của Valve. Công tố viên cho biết hoạt động này đã lây nhiễm khoảng 8.000 thiết bị và rút ít nhất 220.000 USD tiền điện tử từ khoảng 80 ví trong giai đoạn từ tháng 5 năm 2024 đến tháng 2 năm 2026. Vụ án nêu bật một lỗ hổng trong cách các nền tảng phân phối số thẩm định các bản cập nhật phần mềm sau khi đã được phê duyệt ban đầu, khi tải trọng độc hại được đưa vào thông qua các bản cập nhật sau khi phát hành, bỏ qua quy trình xem xét của Steam.

Malware Operated Through Post-Launch Game Updates

Các tựa game bị nhiễm gồm BlockBlasters, Dashverse, Lunara, PirateFi, Chemia, Lampy, DashFPS và Tokenova. Cả tám trò chơi đều vượt qua quy trình thẩm định ban đầu của Steam và trông có vẻ hợp pháp khi ra mắt. Tải trọng độc hại được đưa vào sau đó thông qua các bản cập nhật sau khi phát hành, một chuỗi thao tác vượt qua hoàn toàn buổi thẩm định đầu tiên của nền tảng. Steam đã gỡ cả tám trò chơi vào đầu năm 2026.

Phần mềm độc hại hoạt động như một trình đánh cắp thông tin (infostealer). Trong lúc chơi, nó lặng lẽ thu thập các mật khẩu đã lưu, token phiên đăng nhập đang hoạt động và thông tin đăng nhập ví tiền điện tử. Hoạt động này nhắm trực tiếp vào các nạn nhân giá trị cao. Theo đơn khiếu nại của phía liên bang, các bot đã xác định các ví có số dư lớn và gửi tin nhắn trực tiếp trên Discord, Telegram, X và LinkedIn, chỉ dẫn các mục tiêu tải xuống các bản bị nhiễm.

Uber Eats Gift Card Purchases Led to Suspect Identification

Các điều tra viên lần theo Bitcoin bị đánh cắp từ ví của đường dây cho hơn 150 thẻ quà tặng được mua qua Bitrefill, một dịch vụ thẻ quà tặng. Phần lớn các thẻ được dùng để đặt hàng Uber Eats. Lệnh đòi hầu tòa gửi đến Uber cho thấy những thẻ quà tặng đó được liên kết với một tài khoản có địa chỉ giao hàng tới ngôi nhà của gia đình Wilkins và các địa chỉ của anh ta tại Đại học Tây Florida (University of West Florida), theo cáo buộc được WPLG Local 10 đưa tin.

Wilkins, người sử dụng bí danh “Sibel.eth” trên mạng, không tự mình xây dựng phần mềm độc hại. Công tố viên cho biết anh ta đã trả 10.000 USD cho một Trojan truy cập từ xa và làm việc với một nhà phát triển chính (lead developer) hiện chưa bị buộc tội. Các đặc vụ liên bang đã khám xét nơi ở của Wilkins và tịch thu một chiếc MacBook, điện thoại di động và ba cụm từ hạt giống ví tiền điện tử, bao gồm một cụm cho ví Monero. Hồ sơ giao dịch của anh ta cho thấy khoảng 382.000 USD tiền điện tử chảy qua các ví của mình, theo đơn khiếu nại.

Wilkins Faces Federal Conspiracy Charges in Seattle Court

Vụ bắt giữ là cáo buộc đầu tiên liên quan đến cuộc điều tra mở rộng của FBI về các tựa Steam độc hại, mà cơ quan này đã công bố tại văn phòng FBI khu vực Seattle vào tháng 3 năm 2026 khi bắt đầu tìm kiếm nạn nhân. BlockBlasters riêng lẻ đã thu về hơn 150.000 USD từ giữa 261 và 478 nạn nhân, theo nhà nghiên cứu blockchain ZachXBT và kho lưu trữ malware vx-underground. Một nạn nhân, streamer Twitch RastalandTV, đã mất khoảng 32.000 USD vào tháng 9 năm 2025, số tiền do người xem quyên góp để điều trị ung thư.

Wilkins bị buộc tội âm mưu nhằm lấy thông tin bằng máy tính vì lợi ích tài chính cá nhân, với mức án tối đa 10 năm. Phiên tòa của anh ta diễn ra vào ngày 15 tháng 7. Các đồng phạm vẫn chưa được nêu tên trong đơn khiếu nại, và cuộc điều tra vẫn đang tiếp diễn. Vụ án đang được truy tố tại Seattle, gần trụ sở của Valve ở Bellevue, Washington, nơi Valve sở hữu Steam. Valve chưa phát hành tuyên bố công khai về vụ việc, và FBI tiếp tục tìm thêm nạn nhân thông qua văn phòng FBI khu vực Seattle.

FAQ

FBI đã xác định Zyarie Wilkins là nghi phạm trong vụ lừa đảo malware trên Steam như thế nào?

Các điều tra viên lần theo Bitcoin bị đánh cắp tới hơn 150 thẻ quà tặng được mua thông qua Bitrefill, hầu hết trong số đó được dùng để thanh toán các đơn hàng Uber Eats. Theo đơn khiếu nại của liên bang được WPLG Local 10 đưa tin, một trát đòi hầu tòa gửi đến Uber đã liên kết các thẻ quà tặng đó với một tài khoản có địa chỉ giao hàng tới ngôi nhà của gia đình Wilkins và các địa chỉ của anh ta tại Đại học Tây Florida.

Zyarie Wilkins phải đối mặt với những cáo buộc nào trong hoạt động đánh cắp tiền điện tử?

Wilkins bị buộc tội âm mưu nhằm lấy thông tin bằng máy tính vì lợi ích tài chính cá nhân, với mức án tối đa 10 năm. Phiên tòa của anh ta diễn ra vào ngày 15 tháng 7, và vụ án đang được truy tố tại Seattle gần trụ sở của Valve.