Come gli hacker Greavys, Wiz e Box hanno portato a termine un furto di criptovalute da $240 milioni

Gli hacker Greavys (Malone Iam), Wiz (Veer Chetal) e Box (Jeandiel Serrano) hanno portato a termine un furto di criptovalute da 243 milioni di dollari lo scorso mese. L'unica vittima, un creditore di Genesis, è stata derubata di tutto in un dettagliato attacco di ingegneria sociale.

Questo incidente è stato attentamente pianificato e l'esecuzione è stata impeccabile (senza offesa per la vittima).

ZachXBT, un investigatore on-chain, è sul caso, collegando i punti e lavorando con le forze dell'ordine per congelare milioni e effettuare diversi arresti.

1/ Un'indagine su come Greavys (Malone Iam), Wiz (Veer Chetal) e Box (Jeandiel Serrano) abbiano rubato $243M da una singola persona il mese scorso in un attacco di ingegneria sociale altamente sofisticato e i miei sforzi che hanno contribuito a portare a diversi arresti e milioni congelati. pic.twitter.com/dcY1e9xsPd

— ZachXBT (@zachxbt) September 19, 2024

L'attacco è iniziato il 19 agosto. Greavys, Wiz e Box hanno utilizzato numeri falsificati e chiamate di supporto false per spacciarsi per rappresentanti di Google e Gemini.

Hanno manipolato la vittima facendole resettare l'autenticazione a due fattori (2FA) e trasferire fondi dal suo account Gemini a un portafoglio compromesso. 

Gli hacker hanno anche ottenuto l'accesso alle chiavi private Bitcoin della vittima utilizzando AnyDesk, un software di desktop remoto, durante una sessione di condivisione dello schermo. 

Una volta esposte le chiavi, sono diventati inarrestabili.

La prima grande transazione Bitcoin è avvenuta alle 1:48 GMT, con 59,34 BTC. Non molto dopo, un altro 14.88 BTC è stato spostato alle 2:30. 

Ma oh, quello era solo l'inizio.

$238 milioni in una singola transazione

Alle 4:05 UTC, la parte più grande del furto è avvenuta.

4064 BTC, del valore di 238 milioni di dollari al momento, sono stati trasferiti in una singola transazione.

Zach ha condiviso un video privato in cui gli hacker hanno festeggiato dopo aver ricevuto i fondi. Le loro reazioni? Esattamente ciò che ci si aspetterebbe dopo aver portato a termine un furto da 240 milioni di dollari: shock, eccitazione e forse un po' di arroganza.

Dai un'occhiata:

Dopo quello, i fondi rubati sono stati divisi tra gli hacker e inviati attraverso più di 15 diversi exchange crittografici.

I criminali hanno spostato il denaro tra Bitcoin, Litecoin, Ethereum e Monero per renderlo più difficile da tracciare. Nonostante ciò, Zach ha tracciato la scia e identificato le quote di ciascun hacker.

Wiz, che ha ricevuto la maggior parte dei fondi rubati, ha sbagliato durante una condivisione dello schermo dicendo accidentalmente il suo vero nome. 

Se non bastasse, i suoi soci sono stati sentiti chiamarlo "Veer" nelle registrazioni audio e nelle chat.

Almeno $34,5 milioni della quota di Wiz sono stati trovati in un portafoglio Ethereum (0x3c7a5f2795e73d2b94a9120a643f608cfc45c935). 

Anche se Wiz ha cercato di coprire le sue tracce, le fughe di notizie erano troppo evidenti.

L'amico di Wiz, noto come Light o Dark, lo ha aiutato a riciclare i fondi rubati utilizzando piattaforme come eXch e Thorswap. 

Ma proprio come Wiz, Light/Dark ha commesso lo stesso errore: ha rivelato il suo nome durante una condivisione dello schermo.

Zach ha confermato l'ultimo trasferimento crittografico di Wiz a un indirizzo portafoglio specifico: 0xa212d7441fed6db9ab666ba34e8c440c565f4af8.

Lo stile di vita sfarzoso e gli errori disattenti

Greavys, o Malone Iam, vive alla grande: ha acquistato oltre 10 auto di lusso e ha speso centinaia di migliaia di dollari in club a Los Angeles e Miami. 

Alcune notti, ha speso tra $250.000 e $500.000, distribuendo borse Birkin come se nulla fosse. 

Secondo clip video e registri di chat, le persone lo chiamavano "Malone" mentre era impegnato a mostrare i fondi rubati su Discord. 

Al momento, $3,5 milioni del bottino di Greavys sono in un altro portafoglio Ethereum (0x21d7d256be564191a43553e574c06a4d0e629767).

Greavys non era esattamente un maestro nel nascondere la sua posizione. 

L'OSINT (Open Source Intelligence) lo ha rintracciato a Los Angeles e Miami perché i suoi amici e le ragazze pubblicavano i suoi luoghi di passaggio sui social media quasi ogni notte. 

Box, aka Jeandiel Serrano o John, era il tipo che interpretava il rappresentante del supporto Gemini al telefono. Ha lavorato sulla vittima, guidandola nel trasferimento dei fondi nel portafoglio compromesso. 

Su Discord e Telegram, Box usa la stessa immagine del profilo ripetutamente. Questo è stato sufficiente per gli investigatori per tracciare i suoi movimenti. 

Almeno $18 milioni legati a Box sono attualmente in un portafoglio Ethereum (0x98b0811e2cc7530380caf1a17440b18f71f51f4e).

Un altro giocatore in gioco era Danny Trauma, noto come Meech nelle chat di Telegram. 

Il suo ruolo non è del tutto chiaro, ma è noto che aveva accesso a più database fallimentari. La sua ex ragazza ha diffuso tutte le sue foto, quindi la sua identità non è più un segreto.

Gli investigatori hanno anche scoperto un cluster di indirizzi Ethereum legati sia a Box che a Wiz.

Oltre $41 milioni da due exchange sono fluiti attraverso questi indirizzi, gran parte dei quali è finita nelle mani di broker di beni di lusso per acquistare auto, orologi, gioielli e vestiti firmati. 

I registri di chat lo confermano. Gli hacker discutevano apertamente di come stavano spendendo i fondi rubati.

Sebbene la maggior parte dei fondi rubati sia stata convertita in Monero (XMR) per renderli più difficili da tracciare, Zach ha detto che sia Box che Wiz hanno di nuovo sbagliato.

Hanno collegato accidentalmente i fondi riciclati con quelli sporchi. Durante una condivisione dello schermo, Wiz ha mostrato un indirizzo che ha utilizzato per inviare denaro per vestiti firmati, che aveva milioni legati a fondi sporchi.

Box ha commesso un errore simile quando ha riutilizzato un indirizzo di deposito, collegando fondi puliti con quelli rubati.

Zach non ha lavorato da solo. Ha menzionato nel thread su X di aver ricevuto aiuto dal Binance Security Team, CFInvestigators e ZeroShadow per tracciare i fondi.

Insieme, sono riusciti a congelare oltre $9 milioni. Circa $500.000 sono già stati restituiti alla vittima.

Grazie all'indagine, Box e Greavys sono stati arrestati a Miami e Los Angeles. 

È probabile che le forze dell'ordine abbiano sequestrato fondi aggiuntivi durante gli arresti, dati i grandi trasferimenti effettuati nello stesso periodo.

Quindi, sì. Questi tizi erano o davvero stupidi o davvero coraggiosi, anche se le probabilità del primo caso sembrano più alte, non credi?

Questa è una storia in evoluzione