Україна ліквідувала мережу фальшивих криптоінвестиційних платформ, які нібито спустошували гаманці людей у понад 20 країнах, при цьому слідчі наразі ідентифікували 62 жертви.
Національна поліція України повідомила, що слідчі її Головного слідчого управління працювали зі Службою безпеки України та Офісом Генерального прокурора для викриття операції, яка підтримувала кілька офісів у Києві та прилеглому регіоні.
Понад 46 українців було залучено до мережі, тоді як влада все ще ідентифікує інших учасників, жертв та загальну суму викраденого.
Слідчі заявили, що група створила вебсайти, розроблені так, щоб виглядати як легітимні інвестиційні платформи, і використовувала їх для пропонування нібито прибуткових криптовалютних проєктів.
Служба безпеки повідомила, що схема починалася з реклами, що розповсюджувалася через Telegram, де потенційним клієнтам пропонувалися можливості інвестувати у криптопроєкти. Користувачам, які зареєструвалися, було наказано підключити криптовалютний гаманець та переказати кошти на платформу.
За вебсайтами розробники підтримували інфраструктуру та працювали над тим, щоб платформи залишалися доступними, коли робилися спроби їх блокувати. Інші члени групи працювали в офісах, спілкувалися з клієнтами та забезпечували безпеку операції.
Після внесення коштів співробітники вручну імітували інвестиційну діяльність. Клієнти могли бачити зростання балансів рахунків на своїх панелях керування, хоча слідчі заявили, що відображена торговельна діяльність була сфабрикована.
Мережу організував 25-річний ІТ-спеціаліст, за даними Служби безпеки. На піку діяльності обіг операції сягав до 1 мільйона доларів на місяць.
Влада наразі ідентифікувала 62 жертви з понад 20 країн. Серед них були громадяни Німеччини, Польщі, Литви, Латвії, Іспанії, Франції, Великої Британії, Канади та Ізраїлю.
Кількість може зрости, оскільки слідчі продовжують вивчати інформацію, отриману з інфраструктури мережі, та визначати, скільки людей переказали криптовалюту через її вебсайти.
Ймовірна крадіжка переходила в іншу стадію, коли клієнти намагалися вивести свої кошти.
Оператори блокували запити на виведення коштів та повідомляли жертвам, що для розблокування їхніх грошей потрібна додаткова процедура верифікації. Користувачам було наказано підключити свій основний криптовалютний гаманець та схвалити невелику тестову транзакцію, щоб продемонструвати функціонування платформи.
Слідчі заявили, що вебсайти містили зливник гаманців (wallet drainer), який використовував авторизацію для переказу активів з підключеного гаманця на адреси, контрольовані групою. Після переміщення криптовалюти жертва втрачала доступ до інвестиційної платформи.
Метод покладався на той самий тип зловмисної авторизації, що використовується в атаках зливників гаманців, коли користувачі можуть несвідомо надавати контракту, керованому зловмисником, дозвіл на переміщення своїх токенів. Як crypto.news раніше повідомляв у липні, фішинг-схвалення (approval phishing) може включати схвалення токенів, підписи дозволів та інші авторизації, які дозволяють переміщувати активи без отримання зловмисником приватного ключа власника гаманця.
Подібна техніка виникла в серпні, коли користувач Hyperliquid втратив приблизно 550 000 USDC після взаємодії з шахрайським вебсайтом, що просувався через рекламу Google. Фірма з безпеки Salus пізніше пов'язала фальшивий вебсайт Hyperliquid з інфраструктурою, асоційованою з екосистемою зливника Inferno.
Salus заявила, що ця операція включала зловмисні скрипти, генерацію команд схвалення, автоматичний злив (виведення), крос-чейн виведення коштів та інструменти для консолідації викрадених коштів. Українська справа використовувала іншу інвестиційну пропозицію, але слідчі так само заявили, що жертв спонукали авторизувати транзакцію, перш ніж активи були вилучені з їхніх гаманців.
Фальшиві платформи збирали більше, ніж криптовалюту. Процедури реєстрації та верифікації збирали паспортні дані жертв, номери телефонів, електронні адреси, логіни облікових записів, паролі та фотографії, за даними української влади.
Слідчі відстежили серверне обладнання, що використовувалося мережею, до Нідерландів та отримали доступ до бази даних, що там зберігалася.
Записи містили інформацію про жертв, включаючи адреси криптовалютних гаманців та суми, нібито викрадені в окремих користувачів. Влада заявила, що сервери містили внутрішнє листування між членами групи та записи, що описують, як функціонували шахрайські платформи.
Доступ до бази даних допоміг слідчим відстежити мережу в кількох країнах та ідентифікувати людей, які взаємодіяли з вебсайтами.
Міжнародний елемент слідує за кількома правоохоронними операціями, спрямованими на онлайн-шахрайство з інвестиціями та схеми соціальної інженерії, пов'язані з криптовалютою. INTERPOL у серпні заявив, що операція Jackal IV призвела до 58 арештів та ідентифікувала 263 підозрюваних після того, як органи влади в 22 країнах боролися з інвестиційними шахрайствами, шахрайствами на основі романтичних стосунків та пов'язаними мережами з відмивання грошей.
Південноафриканська влада вилучила 2,67 мільйона доларів під час цієї операції та заблокувала 257 банківських рахунків, тоді як румунська поліція заарештувала 11 підозрюваних у інвестиційній схемі, пов'язаній з оцінюваними 143 мільйонами євро, за даними INTERPOL.
Більш масштабна операція INTERPOL, про яку повідомлялося в липні, призвела до 5 811 арештів у 97 країнах і територіях. Операція First Light перехопила 293 мільйони доларів незаконних активів, заблокувала понад 31 000 банківських рахунків та ідентифікувала понад 142 000 жертв, борючись з інвестиційним шахрайством, шахрайством на основі романтичних стосунків, видаванням себе за іншу особу та іншими формами соціальної інженерії.
Слідчі в цій операції виявили діяльність з відмивання криптоактивів, яка використовувала кілька цифрових активів та крос-чейн обміни. INTERPOL заявив, що один гаманець, пов'язаний з розслідуванням у Таїланді, опрацював понад 122,5 мільйона доларів протягом 10 місяців.
Фішинг-схвалення привернув окрему увагу правоохоронних органів. Очолювана Великою Британією операція за участю органів влади Сполучених Штатів та Канади заморозила понад 12 мільйонів доларів ймовірних доходів від шахрайства на початку цього року та ідентифікувала понад 20 000 потенційних жертв.
Операція була зосереджена на схемах, в яких жертв переконували підписати зловмисні блокчейн-авторизації, що надавали шахраям дозвіл на переміщення криптовалюти з їхніх гаманців.
Українські правоохоронці провели 34 обшуки в будинках, офісах та транспортних засобах у Києві та прилеглому регіоні в рамках розслідування.
Було вилучено понад 100 комп'ютерів та іншої комп'ютерної техніки, а також понад 100 мобільних телефонів, 79 SIM-карток та GSM-шлюз. Поліція виявила готівку та записи, пов'язані з операцією, тоді як під час обшуків було вилучено 15 транспортних засобів.
Деякі автомобілі та нерухомість, що використовувалися членами мережі, були зареєстровані на імена дружин та інших родичів підозрюваних, повідомили слідчі. Ймовірний організатор подорожував з озброєною охороною.
Кримінальне провадження ведеться за частиною 5 статті 190 Кримінального кодексу України, що стосується шахрайства. Влада не розголосила остаточну суму збитків, оскільки продовжує ідентифікувати ймовірних членів мережі та додаткових жертв.
Україна окремо розробляє процедури поводження з криптовалютою, вилученою у кримінальних справах. Влада переказала понад 8,3 мільйона доларів вилучених USDT на державний гаманець у червні, вперше конфіскована криптовалюта була передана під безпосереднє державне управління.
Королівський інститут об'єднаних служб підрахував, що більш жорсткі правила відстеження, вилучення та управління незаконною криптовалютою можуть допомогти Україні відновити щонайменше 10 мільярдів доларів викрадених коштів та втрачених податкових надходжень.
Поліція повідомила, що слідчі продовжують ідентифікувати всіх причетних до фальшивої інвестиційної мережі, знаходити інших жертв та визначати загальну вартість криптовалюти, викраденої через ці платформи.
USDT
