L'Ukraine a démantelé un réseau de fausses plateformes d'investissement crypto qui auraient vidé les portefeuilles de personnes dans plus de 20 pays, les enquêteurs ayant identifié 62 victimes jusqu'à présent.
La Police nationale d'Ukraine a déclaré que les enquêteurs de son Département d'enquête principal ont collaboré avec le Service de sécurité d'Ukraine et le Bureau du Procureur général pour découvrir l'opération, qui maintenait plusieurs bureaux à Kyiv et dans la région environnante.
Plus de 46 Ukrainiens ont été recrutés dans le réseau, tandis que les autorités sont toujours en train d'identifier d'autres participants, victimes et le montant total volé.
Les enquêteurs ont déclaré que le groupe avait créé des sites web conçus pour ressembler à des plateformes d'investissement légitimes et les avait utilisés pour offrir des projets de cryptomonnaie soi-disant rentables.
Le Service de sécurité a indiqué que le stratagème avait commencé par de la publicité diffusée via Telegram, où des clients potentiels se voyaient offrir des opportunités d'investir dans des projets crypto. Les utilisateurs qui s'inscrivaient étaient invités à connecter un portefeuille de cryptomonnaie et à transférer des fonds vers la plateforme.
Derrière les sites web, les développeurs maintenaient l'infrastructure et s'efforçaient de maintenir les plateformes accessibles lorsque des tentatives de blocage étaient faites. D'autres membres du groupe occupaient les bureaux, communiquaient avec les clients et assuraient la sécurité de l'opération.
Une fois les fonds déposés, les employés simulaient manuellement l'activité d'investissement. Les clients pouvaient voir les soldes de leurs comptes augmenter sur leurs tableaux de bord, bien que les enquêteurs aient déclaré que l'activité de trading affichée était fabriquée.
Un spécialiste en informatique de 25 ans a organisé le réseau, selon le Service de sécurité. À son apogée, l'opération avait un chiffre d'affaires mensuel pouvant atteindre 1 million de dollars.
Les autorités ont jusqu'à présent identifié 62 victimes de plus de 20 pays. Parmi elles figuraient des citoyens d'Allemagne, de Pologne, de Lituanie, de Lettonie, d'Espagne, de France, du Royaume-Uni, du Canada et d'Israël.
Ce nombre pourrait augmenter à mesure que les enquêteurs continuent d'examiner les informations récupérées de l'infrastructure du réseau et de déterminer combien de personnes ont transféré des cryptomonnaies via ses sites web.
Le vol présumé est entré dans une autre phase lorsque les clients ont tenté de retirer leurs fonds.
Les opérateurs bloquaient les demandes de retrait et informaient les victimes qu'une autre procédure de vérification était nécessaire avant que leurs fonds ne puissent être libérés. Les utilisateurs étaient invités à connecter leur portefeuille de cryptomonnaie principal et à approuver une petite transaction test pour démontrer que la plateforme fonctionnait.
Les enquêteurs ont déclaré que les sites web contenaient un "wallet drainer" qui utilisait l'autorisation pour transférer les actifs d'un portefeuille connecté vers des adresses contrôlées par le groupe. Une fois la cryptomonnaie transférée, la victime perdait l'accès à la plateforme d'investissement.
La méthode reposait sur le même type d'autorisation malveillante utilisée lors des attaques de "wallet drainer", où les utilisateurs peuvent, sans le savoir, donner à un contrat contrôlé par un attaquant la permission de déplacer leurs jetons. Comme crypto.news l'avait rapporté précédemment en juillet, l'"approval phishing" peut impliquer des "token approvals", des "permit signatures" et d'autres autorisations qui permettent aux actifs d'être transférés sans que l'attaquant n'obtienne la clé privée du propriétaire du portefeuille.
Une technique similaire a fait surface en août lorsqu'un utilisateur de Hyperliquid a perdu environ 550 000 USDC après avoir interagi avec un site web frauduleux promu via une publicité Google. La société de sécurité Salus a par la suite lié le faux site web Hyperliquid à une infrastructure associée à l'écosystème du "drainer" Inferno.
Salus a déclaré que cette opération comprenait des scripts malveillants, la génération de commandes d'approbation, le drainage automatisé, les "cross-chain withdrawals" et des outils pour consolider les fonds volés. Le cas ukrainien utilisait une approche d'investissement différente, mais les enquêteurs ont de la même manière déclaré que les victimes avaient été incitées à autoriser une transaction avant que les actifs ne soient retirés de leurs portefeuilles.
Les fausses plateformes collectaient plus que de la cryptomonnaie. Les procédures d'enregistrement et de vérification recueillaient les informations de passeport des victimes, leurs numéros de téléphone, adresses e-mail, identifiants de compte, mots de passe et photographies, selon les autorités ukrainiennes.
Les enquêteurs ont retracé l'équipement serveur utilisé par le réseau jusqu'aux Pays-Bas et ont obtenu l'accès à une base de données qui y était stockée.
Les registres contenaient des informations sur les victimes, y compris les adresses de portefeuille de cryptomonnaie et les montants prétendument volés à des utilisateurs individuels. Les autorités ont déclaré que les serveurs contenaient la correspondance interne entre les membres du groupe et des enregistrements décrivant le fonctionnement des plateformes frauduleuses.
L'accès à la base de données a aidé les enquêteurs à retracer le réseau à travers plusieurs pays et à identifier les personnes ayant interagi avec les sites web.
L'élément international fait suite à plusieurs opérations d'application de la loi ciblant la fraude à l'investissement en ligne et les stratagèmes d'ingénierie sociale liés aux cryptos. INTERPOL a déclaré en août que l'Opération Jackal IV avait abouti à 58 arrestations et identifié 263 suspects après que les autorités de 22 pays aient ciblé les escroqueries à l'investissement, les fraudes romantiques et les réseaux de blanchiment d'argent associés.
Les autorités sud-africaines ont saisi 2,67 millions de dollars lors de cette opération et bloqué 257 comptes bancaires, tandis que la police roumaine a arrêté 11 suspects dans un stratagème d'investissement associé à une somme estimée à 143 millions d'euros, selon INTERPOL.
Une répression plus vaste d'INTERPOL, rapportée en juillet, a abouti à 5 811 arrestations dans 97 pays et territoires. L'Opération First Light a intercepté 293 millions de dollars d'actifs illicites, bloqué plus de 31 000 comptes bancaires et identifié plus de 142 000 victimes tout en ciblant la fraude à l'investissement, les escroqueries romantiques, l'usurpation d'identité et d'autres formes d'ingénierie sociale.
Les enquêteurs de cette opération ont découvert une activité de blanchiment de cryptomonnaies qui utilisait plusieurs actifs numériques et des "cross-chain swaps" (échanges inter-chaînes). INTERPOL a déclaré qu'un portefeuille lié à une enquête thaïlandaise avait traité plus de 122,5 millions de dollars sur une période de 10 mois.
L'"approval phishing" a attiré une attention distincte de la part des forces de l'ordre. Une opération dirigée par le Royaume-Uni, impliquant les autorités des États-Unis et du Canada, a gelé plus de 12 millions de dollars de produits présumés d'escroquerie plus tôt cette année et identifié plus de 20 000 victimes potentielles.
L'opération s'est concentrée sur des stratagèmes dans lesquels les victimes étaient persuadées de signer des autorisations blockchain malveillantes qui donnaient aux escrocs la permission de déplacer des cryptomonnaies de leurs portefeuilles.
Des agents ukrainiens ont mené 34 perquisitions dans des maisons, des bureaux et des véhicules à travers Kyiv et la région environnante dans le cadre de l'enquête.
Plus de 100 ordinateurs et autres équipements informatiques ont été saisis, ainsi que plus de 100 téléphones mobiles, 79 cartes SIM et une passerelle GSM. La police a récupéré de l'argent liquide et des registres liés à l'opération, tandis que 15 véhicules ont été saisis lors des perquisitions.
Certaines voitures et biens immobiliers utilisés par les membres du réseau avaient été enregistrés au nom des épouses et d'autres proches des suspects, ont déclaré les enquêteurs. L'organisateur présumé voyageait avec des gardes armés.
Les poursuites pénales sont menées en vertu de la Partie 5 de l'Article 190 du Code pénal ukrainien, qui couvre la fraude. Les autorités n'ont pas divulgué de chiffre définitif concernant les pertes car elles continuent d'identifier les membres présumés du réseau et des victimes supplémentaires.
L'Ukraine a par ailleurs développé des procédures pour la gestion des cryptomonnaies récupérées dans le cadre d'affaires criminelles. Les autorités ont transféré plus de 8,3 millions de dollars en USDT saisis vers un portefeuille géré par l'État en juin, marquant la première fois qu'une cryptomonnaie confisquée était placée sous gestion directe de l'État.
Le Royal United Services Institute a estimé que des règles plus strictes pour le traçage, la saisie et la gestion des cryptomonnaies illicites pourraient aider l'Ukraine à récupérer au moins 10 milliards de dollars en fonds volés et en recettes fiscales perdues.
La police a déclaré que les enquêteurs continuent d'identifier toutes les personnes impliquées dans le réseau de fausses plateformes d'investissement, de localiser d'autres victimes et de déterminer la valeur totale de la cryptomonnaie volée via ces plateformes.
USDT