Опасный криптообмен: раскрываем новую схему кражи криптовалюты

Простая на первый взгляд операция — обмен криптовалюты на фиат может обернуться потерей активов. Мошенники придумали новую изощренную схему, с помощью которой крадут цифровые активы с кошельков доверчивых пользователей. В GetBlock AML Research лично пообщались с мошенниками, чтобы раскрыть детали их схемы.

Личная встреча

На одном из агрегаторов мы обнаружили несколько объявлений от пользователей, которые осуществляют очный обмен стейблкоинов USDT на российские рубли. Автор объявления указывает, что готов выехать на любой в регионе адрес, чтобы лично произвести сделку и передать наличные средства.

Переписка с мошенником

Мы связались с автором объявления и начали обсуждать детали сделки. Он подтвердил, что готов выехать по указанному адресу. Затем мы зафиксировали курс обмена. После этого произошел первый подозрительный момент. Покупатель криптовалюты почему-то не захотел принимать активы с биржевого кошелька Bybit и попросил, чтобы мы перевели монеты на Trust Wallet. Мы перевели USDT на Trust Wallet.

Кульминация обмана

За несколько часов до встречи мошенник начал активную фазу обмана. Он сообщил, что перед выездом на сделку должен проверить чистоту (легальность) криптовалюты. Мошенник поделился видеоинструкцией, как проверить монеты на чистоту. В этой инструкции он подключает к своему Trust Wallet кошельку неизвестное децентрализованное приложение (dapp), которое якобы проверяет монеты на легальность.

Процесс подключения опасного приложения из видеоинструкции мошенника

Сам Trust Wallet при попытке подключиться к опасному приложению предупреждает, что дальше вы действуете на свой страх и риск. Это означает, что вероятность потерять активы очень высока. Суть схемы заключается в том, что после подключения кошелька к опасному приложению — оно выводит всю хранящуюся на нем криптовалюту на адрес мошенника.

Предупреждение Trust Wallet при попытке подключить опасное приложение

Одна из уловок мошенника состоит в том, что он “дарит” нам 30 TRX (около $9) для оплаты комиссии за проверку чистоты монет. При попытке “пропустить” проверку и произвести сделку без нее мошенник начинает “дожимать” нас тем, что без этой процедуры не может произвести обмен.

Ончейн-анализ

Адрес мошенника в сети Tron (TFq8GqCTiJA1PAnCJjtqDMHTRAsZgKNaYk) показывает, что его наибольшая активность пришлась на 2023 год. Злоумышленник использовал большое количество промежуточных адресов, чтобы распределять криптовалюту и скрыть источник их происхождения. Также адрес имеет связь с биржами Gate и Bitmart.

Граф связей адреса мошенника. Визуализация: MistTrack