Финансовото министерство на САЩ наложи санкции на мрежа за ATM джакпотинг на Tren de Aragua, свързана със загуби за 40,7 милиона долара

Министерството на финансите на САЩ наложи санкции на мрежа на престъпната организация Tren de Aragua, обвинена в използването на зловреден код за изпразване на банкомати в цялата страна. Властите свързват предполагаемите атаки със съобщени загуби в размер на 40,73 милиона долара при над 1 500 инцидента към август 2025 г.

Техниката, известна като „джакпотинг“ (jackpotting), кара банкоматите да пускат пари, без да таксуват клиентска сметка. Атакуващите обикновено проучват устройствата, инсталират зловреден софтуер и го активират дистанционно.

Скорошните признания за виновност за ATM джакпотинг показват как престъпниците комбинират физически достъп с манипулиране на софтуера в опит да откраднат пари в брой. Анализатори от TRM Labs отбелязват, че операцията разчита и на транзакции с криптовалута за прехвърляне на откраднатите средства.

От TRM Labs заявяват в доклад, споделен с Cyber Security News (CSN), че седем новосанкционирани TRON адреса са получили приблизително 6,1 милиона долара от март 2022 г. насам.

Санкциите от 30 септември 2026 г. са насочени срещу осем физически лица и две компании, свързани с предполагаемата схема, както и отделен лидер на банда, участващ в незаконен добив на злато. Докладът не идентифицира семейството на зловредния софтуер и не установява кога се е появил за първи път.

Министерството на финансите налага санкции на мрежата за ATM джакпотинг на Tren de Aragua

Службата за контрол на чуждестранните активи (OFAC) към Министерството на финансите добави седем TRON адреса към своя списък със специално обозначени национални субекти и блокирани лица (SDN). Всеки адрес е свързан с едно от посочените лица, свързвайки санкциите с проследима активност в криптовалута, вместо само с имена.

Основната цел е Анибал Александър Канелон Агире, известен като „Prometheus“, когото Министерството на финансите описва като предполагаем инженер на зловредния код. Той присъства в списъка на ФБР с десетте най-издирвани бегълци и се предполага, че е помогнал за разработването на софтуера, използван за извършване на неоторизирани тегления на пари в брой.

Шестима предполагаеми съучастници също бяха санкционирани: Ерик Габриел Карденас Арсола, Хосе Дарио Галеано Басурто, Антъни Уилиам Ернандес Гереро, Карлос Хавиер Мартинес Армента, Оскар Леонардо Мартинес Пирона и Алехандро Мехия Кастильо. Всеки от тях е свързан с един от посочените крипто адреси.

Тези седем лица и осми санкциониран субект, Ашли Хавиер Галеано Басурто, са с повдигнати обвинения в Небраска. Обвиненията включват материална подкрепа за Tren de Aragua, заговор за банкова измама, заговор за обир на банка и заговор за пране на пари. Подсъдимите се считат за невиновни до доказване на противното.

Действието следва предишни обвинения за заговор за хакване на банкомати, свързани с предполагаемо финансиране на бандата. Министерството на финансите съобщава, че Министерството на правосъдието е повдигнало обвинения на 98 души в схеми за джакпотинг от 21 октомври 2025 г. насам, докато разследващите са установили обширни преки и непреки връзки между подсъдимите и Tren de Aragua.

Двете санкционирани компании са Enigma Community, S. de R.L. de C.V., собственост на Мартинес Пирона, и Soluciones Integrales Toluca, S.A. de C.V., собственост на Мехия Кастильо. Отделно Министерството на финансите санкционира Хуан Габриел Ривас Нунес, известен като „Juancho“, поради предполагаеми престъпни дейности.

Експозиция в криптовалута

TRM установи, че всички седем посочени адреса са депозитни адреси, хоствани в централизирана борса. Повечето от тях са били неактивни от месеци, като последната входяща транзакция е извършена през юли 2026 г. Адресът, приписван на Карденас Арсола, е получил приблизително 2,1 милиона долара – най-големия дял.

Общата сума от 6,1 милиона долара не трябва да се разглежда като потвърдени приходи от джакпотинг. От TRM изрично предупреждават, че не цялата входяща стойност задължително е свързана със схемата за банкомати – важна разлика при оценката на финансовата активност на мрежата и мащаба на предполагаемите кражби.

Санкционираните адреси също така са прехвърляли средства към други адреси, свързани с Tren de Aragua. Впоследствие тези получатели са изпратили приблизително 35 милиона долара към мрежа, която властите свързват с Хорхе Фигейра, срещу когото има обвинения за изпиране на около 1 милиард долара. Той не е осъждан.

По-широкият модел съответства на разследванията на мрежи за пране на пари чрез криптовалута, при които борсите подпомагат трансграничното движение на незаконни средства.

TRM препоръчва да се извърши скрининг на седемте адреса, преглед на историческите транзакции и проверка на непряката експозиция чрез насрещни страни, намиращи се на един или два превода разстояние от санкционираните адреси.

Борсите могат също така да идентифицират титулярите на сметките и свързаните с тях профили, тъй като адресите се хостват от борсата.

Финансовите институции трябва внимателно да оценят тези връзки: чуждестранни институции, които съзнателно улесняват значителни транзакции за санкционирани лица, могат да бъдат обект на вторични санкции съгласно правните правомощия, използвани за това действие.

Санкциите също така блокират имуществото на санкционираните лица, намиращо се под юрисдикцията на САЩ или под контрола на американски лица, като се въвеждат задължения за докладване към OFAC и ограничения върху покритите транзакции.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно решаване на имена или добавяне на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.