Самая изощренная схема кражи криптовалют: в чем суть и как она работает

Издание WIRED опубликовало историю о мошеннической схеме похищения биткоинов, которая ввела многих экспертов по безопасности в ступор. Поскольку пока остается непонятным: как именно злоумышленники завладели криптовалютой. GetBlock AML Research приводит детали инцидента.

Почти голливудская история

Когда Кент Халлибертон стоял в ванной отеля Rosewood в центре Амстердама, за тысячи километров от дома, и перебирал купюры на сумму €10 000 в конверте, он начал задумываться, во что вообще ввязался.

Халлибертон — сооснователь и глава компании Sazmining. Эта компания управляет специальным оборудованием, которое добывает биткоины для клиентов. Такой формат называют «майнинг как услуга». Сам Кент живет в Перу, но оборудование Sazmining работает на площадках в Норвегии, Парагвае, Эфиопии и США.

По словам Халлибертона, он прилетел в Амстердам 5 августа, чтобы встретиться с Эвеном и Максимом — представителями богатой семьи из Монако. Семья предложила купить у Sazmining большую партию оборудования для добычи биткоина — примерно на $4 млн. Его должны были установить на строящейся площадке в Эфиопии. Перед подписанием контракта семья хотела встретиться лично.

Когда Халлибертон пришел в отель, он увидел Эвена и Максима в барной зоне. Они показались ему людьми, которые любят роскошь и щедрые траты — особенно Максим: в светло-бежевом костюме-тройке, с идеально уложенными длинными волосами и часами Rolex.

За трехразовым обедом — севиче с икрой, чилийский морской окунь и вишневый торт — они обсуждали детали сделки и рассказывали истории о себе. Эвен оказался веселым и разговорчивым, вспоминал вечеринки в Марракеше. Максим был холодным и почти все время молча смотрел на Кента, как будто оценивая его.

Для укрепления доверия Эвен предложил, чтобы Халлибертон продал им немного биткоина — примерно на $3 000. Кент сперва сомневался, но решил, что это просто странный жест в их стиле. Один из мужчин передал ему конверт с наличными и сказал пересчитать его в ванной. «Это было как сцена из фильма про Джеймса Бонда», — вспоминает Халлибертон. «Все казалось очень экзотичным».

После встречи он уехал на такси. Впечатления были странными, но Кент надеялся, что крупный контракт все же состоится. Для небольшой компании с 15 сотрудниками это могло бы стать огромным прорывом. Меньше чем через две недели Халлибертон потерял биткоины на сумму более $200 000 — все из-за Эвена и Максима. Он не знал, переживет ли компания такой удар и как мошенникам удалось его обвести вокруг пальца.

Кульминация обмана

После встречи в Амстердаме Халлибертон улетел в Латвию на конференцию по биткоину, а затем поехал в Эфиопию проверить строительство площадки. Пока он был там, Эвен написал ему в WhatsApp и сказал, что они готовы двигаться дальше, но есть условие: семья хочет купить у Sazmining еще больше биткоинов в рамках сделки — примерно на $400 000. Это была десятая часть всего контракта.

Эвен попросил Кента снова прилететь в Амстердам для подписания документов. Кент пытался отказаться, устал от поездок, но Эвен был непреклонен: «Удаленно работать не буду. Я так бизнес не делаю», — писал он в сообщении. Халлибертон прилетел обратно 16 августа. Вечером он должен был встретиться с Максимом в японском ресторане в пятизвездочном отеле Okura. Интерьер ресторана был оформлен в традиционном японском стиле — дерево, бумажные стены, сад дзен, фигурки журавлей.

Максим ждал его на диване в блестящем серебряном костюме. Пока они ожидали столик, Максим попросил показать, что у Sazmining действительно есть нужная сумма в биткоине. Он попросил перевести половину — $220 000 — в специальное приложение-кошелек, который «семья доверяет». Деньги оставались под контролем Кента, но семья могла убедиться, что они существуют, открыв данные о транзакции.

Халлибертон достал iPhone. Приложение Atomic Wallet имело тысячи положительных отзывов и много лет находилось в App Store. Прямо рядом с Максимом он скачал приложение и создал новый кошелек. Кент отметил:

«Я пытался завоевать доверие этого человека. Передо мной маячил контракт на $4 миллиона — я держался за эту возможность».

Ужин прошел спокойно. Максим был более разговорчивым, рассказывал о часах и поиске сделок для семьи. Халлибертон устал от постоянных поездок и хотел закончить встречу. Они договорились, что Максим передаст подписанные документы в семейный офис, а Кент отправит $220 000 в биткоинах на новый адрес кошелька.

Вернувшись в гостиницу, Халлибертон сделал маленький тестовый перевод, затем удалил и заново восстановил кошелек по резервным словам (это секретный код).

«Нужно принять меры безопасности, но почти готов. Спасибо за терпение», — написал он Эвену.

«Не переживай, не спеши», — ответил тот.

В 22:45 Халлибертон дал команду коллеге отправить биткоины на $220 000 на новый адрес кошелька. Получив деньги, он отправил Эвену скриншот баланса. Через минуту пришел ответ: «Спасибо». Кент написал еще раз, спросил о документах — но ответа не было. Тогда он посмотрел в приложение. Биткоины исчезли.

У Кента перехватило дыхание. Он едва сдерживал рвоту. «Это было словно удар в живот», — говорит он. «Шок и неверие». Он лихорадочно пытался понять, как его обманули. В 23:30 он написал Эвену: «Это самая продуманная афера, которую я видел. Тебе, наверное, все равно, но моя компания может этого не пережить. Я четыре года над этим работал».

Эвен ответил, что «ни в чем не виноват», и больше не выходил на связь. Его аккаунт в Telegram перестал быть активным в тот же день. Через несколько часов украденные средства начали дробить, переводить между множеством адресов и отправлять на сервисы, где можно обменять криптовалюту на обычные деньги — так показал анализ компаний Chainalysis и CertiK.

Часть биткоинов ушла через сервисы моментального обмена. Большая сумма попала на один адрес, где смешалась с другими «грязными» средствами — похожими на деньги, украденные у стартапов через мошенничество. Скорее всего, мошенники вывели часть денег через биржу, а остальное перевели в другую криптовалюту и отправили через «мосты» в другую сеть, где их можно легко обналичить.

В какой-то момент следы транзакций обрываются. Чтобы узнать реальных преступников, правоохранителям нужно запросить данные у сервисов, через которые проходили деньги. Непонятно, как именно мошенникам удалось украсть деньги из кошелька Халлибертона. Но есть догадки.

Остались вопросы

Сначала Халлибертон подумал, что проблема связана со старым взломом Atomic Wallet в 2023 году, когда злоумышленники похитили $100 млн у его пользователей. Но эксперты считают, что он стал жертвой «персонализированной» атаки — когда злоумышленники целенаправленно охотятся на людей, которые хранят крупные суммы.

Чтобы украсть биткоины, мошенникам нужно было получить секретный код — фразу восстановления нового кошелька. Любой, у кого есть эта фраза, может полностью контролировать кошелек. Одна из версий: мошенники использовали поддельный Wi-Fi в отеле и перехватили данные. Но Халлибертон говорит, что использовал мобильный интернет.

Другая версия, более вероятная: кто-то заснял экран его телефона, когда он впервые создавал кошелек в Atomic Wallet — например, камерой с большим зумом. Скорее всего, еще до получения $220 000 мошенники настроили специального «робота», который автоматически опустошает кошелек, как только на нем появляется крупная сумма.

Люди вроде Эвена и Максима обычно не являются главными мошенниками — они исполнители. Настоящие организаторы могут находиться где угодно. Несколько дней было непонятно, выживет ли компания. Украденные $220 000 — это шесть недель работы компании. «Я просто пытался удержать бизнес на плаву», — говорит Кент. В итоге ему удалось договориться о продлении кредита и задержке платежей поставщикам.

Совет директора сообщил о случившемся правоохранителям в Нидерландах, Великобритании и США. Ответ пришел только от британского агентства Action Fraud и подразделения Секретной службы США.

Количество криптомошенничества сейчас настолько огромно, что полиция физически не успевает разбираться с каждым случаем. Вернуть деньги возможно только если полиция разоблачит целую преступную сеть. В таком случае средства могут вернуть пострадавшим.