Wielki wyciek danych z Curaçao Gaming Authority. Hakerzy uzyskali wgląd do poufnych informacji
W ostatnich dniach media obiegła informacja o gigantycznym wycieku danych z Curaçao Gaming Authority (CGA). Przez okres aż dziewięciu miesięcy hakerzy posiadali nieograniczony, potajemny dostęp do wewnętrznych systemów karaibskiego regulatora, zyskując wgląd w poufne dokumenty licencyjne, struktury własnościowe, dane podatkowe oraz bilanse finansowe setek podmiotów.
Za tym spektakularnym naruszeniem bezpieczeństwa stoi 30-letnia niemiecka badaczka cyberbezpieczeństwa i hakerka, Lilith Wittmann. Wspólnie ze swoimi współpracownikami spędziła ona dziewięć miesięcy w systemach CGA, obserwując na żywo pracę urzędników. Jak sama relacjonowała w mediach społecznościowych, bez wiedzy personelu mogła bez przeszkód sprawdzać, kto faktycznie zarządza nielegalnymi kasynami online, kto je finansuje oraz jaką wiedzę na ten temat posiadał sam organ nadzorczy.
Jak do tego doszło?
Metoda, za pomocą której Wittmann uzyskała dostęp do portalu regulatora, okazała się zaskakująco prosta, co samo w sobie stawia pod dużym znakiem zapytania standardy bezpieczeństwa w CGA. Badaczka zarejestrowała się w systemie, posługując się nazwiskiem menedżera biura powierniczego znanego już urzędnikom, ale używając przy tym własnego adresu w domenie Gmail. Następnie zgłosiła wniosek w imieniu fikcyjnego podmiotu o nazwie „DreamCatcher Private Foundation”. W ciągu zaledwie kilku dni jej wniosek został zatwierdzony, a regulator przyznał jej pełny dostęp do portalu. Korzystając z tej furtki, Wittmann wgrała oprogramowanie, które umożliwiło jej przejęcie kontroli nad systemem wydawania licencji i pobranie kluczowych danych.
W wyniku tego wycieku na światło dzienne wyszły akta dotyczące około 800 rzeczywistych właścicieli stojących za blisko 650 licencjonowanymi spółkami gamblingowymi, które kontrolują tysiące stron internetowych z grami na pieniądze. Materiały te rzucają zupełnie nowe światło na działalność największych graczy w branży, w tym platform takich jak Stake czy 1xBet.
Co zaskakuje?
W przypadku popularnego krypto-kasyna Stake, oficjalnie powiązanego z australijskimi przedsiębiorcami Edem Cravenem i Bijanem Tehrani, dokumenty wykazują intrygujące rozbieżności. Spółka operująca na Curaçao, Medium Rare NV, w dokumentach regulacyjnych figuruje jako własność obywatela Serbii Mladena Vuckovica, który pełni funkcję CEO i w 2024 roku zadeklarował majątek przekraczający miliard dolarów. Jednak urzędnicy CGA sami w sobie poddawali w wątpliwość, czy Vuckovic jest faktycznie jedynym właścicielem firmy. W aktach odnaleziono ślady wielomilionowych pożyczek oraz transferów finansowych opiewających na dziesiątki, a nawet setki milionów dolarów, które trafiały do spółek i osób powiązanych bezpośrednio z Cravenem i Tehrani – mimo że ci drudzy nie pojawiali się w oficjalnych wnioskach licencyjnych.
Podobne wątpliwości dotyczyć mają giganta gamblingowego 1xBet. Choć marka ta publicznie kojarzona jest z rosyjskimi założycielami (Romanem Semiochinem, Dmitrijem Kazorinem oraz zmarłym w 2023 roku Siergiejem Karszkowem), to w dokumentach jako właściciel i szef spółki Caecus NV figuruje obywatel Ukrainy Ihor Hniedash. Z dokumentacji CGA wynika, że audytorzy podejrzewali istnienie wielu faktycznych właścicieli i domagali się wyjaśnień na temat relacji Hniedasha z rosyjskimi mocodawcami. Ostatecznie jednak regulator przymknął oko na brak odpowiedzi i w 2024 roku przyznał spółce licencję. W rozmowie z dziennikarzami platformy Follow the Money przedstawiciele CGA tłumaczyli, że nie odrzucali wniosków automatycznie w obliczu wątpliwości, ponieważ cała branża na wyspie przechodziła wówczas głęboką transformację regulacyjną wymuszoną przez Holandię.
Istotne zastrzeżenie
Eksperci finansowi i dziennikarze śledczy zwracają uwagę, że karaibska wyspa przez dziesięciolecia stosowała politykę tzw. „lekiego dotyku” (light touch), przyciągając operatorów działających na rynkach, na których nie posiadali lokalnych zezwoleń, oraz skutecznie maskując rzeczywistą własność za pośrednictwem lokalnych fundacji i biur powierniczych. Choć pod naciskiem rządu w Amsterdamie system ten oficjalnie zreformowano, wyciek dowodzi, że w procesie weryfikacji wciąż dochodziło do ignorowania wyraźnych sygnałów ostrzegawczych.
Lilith Wittmann zapowiedziała już kolejne publikacje i ujawnienie dalszych szczegółów. Wśród zapowiadanych rewelacji znajduje się m.in. kwestia Platin Casino, opisywanego jako największe nielegalne kasyno w Niemczech, z którym wiąże się rzekoma luka podatkowa w tamtejszym budżecie szacowana na 250 milionów euro. Ponadto hakerka twierdzi, że wycieknięte dokumenty obnażają bliskie powiązania dostawcy oprogramowania SoftSwiss z podmiotami prowadzącymi setki nielegalnych stron internetowych. Cała sytuacja pogłębia problemy prawne niemieckiej badaczki, która równolegle toczy batalię prawną z maltańskim regulatorem (Malta Gaming Authority) po wcześniejszych incydentach naruszenia tamtejszych systemów.
