Атакующие нацеливаются на BTC-кошельки Mt. Gox с попытками мошенничества через op_return

Старые BTC, хранящиеся в кошельках, связанных с Mt. Gox, стали целью мошеннических сообщений. Хакеры злоупотребляют функцией op_return для внедрения сообщений в транзакции, создавая новую форму фишинга. 

По мере того как BTC торгуется на рекордных уровнях, старые кошельки выглядят все более привлекательно. Атакующие пытаются новый тип фишинга, злоупотребляя функцией op_return в Bitcoin. Использование op_return позволяет встраивать информацию в каждую BTC-транзакцию. Эта функция также использовалась для создания NFT на базе Bitcoin. 

Мошенники генерируют сообщения, имитирующие официальные сайты, утверждая право собственности на кошелек. Сообщение не может ничего сделать для перемещения монет, но может подтолкнуть некоторых пользователей к действию. Некоторые сообщения, встроенные в транзакции, указывают на сайты или формы. Другие пытаются заявить о праве собственности на кошелек, как в предыдущих случаях, пытавшихся эксплуатировать старых китов. Попытки обмана владельцев в основном нацелены на кошельки китов эпохи 2011 года. 

Кошелек хакера Mt. Gox получает поддельные транзакции

Один из самых целевых кошельков принадлежит Хакеру Mt. Gox, содержащему 79,95 тыс. BTC стоимостью более 8 млрд долларов. Этот кошелёк в последний раз был «запылен» 5 июля 2025 года, хотя в прошлом он получал дополнительные транзакции отслеживания или сообщения. Ни одна из монет в кошельке не была перемещена. 

Один из транзакции от 3 июля 2025 года содержала сообщение op_return, указывающее на «уведомление владельца». При декодировании это уведомление призывало владельца кошелька посетить сайт, утверждающий, что он связан с Salomon Brothers, известной фирмой на Уолл-стрит, которая была приобретена Citigroup в 2003 году и больше не существует как юридическое лицо. 

С 3 июля поддельный сайт был удален. Но до этого сообщение предполагало, что третья сторона попыталась заявить о владении кошельком в юридических терминах. Заявление через op_return, отправленное на кошелек, напоминало попытки Кэлвина Айра доказать право собственности на старые кошельки. 

Мошенники собирают данные или пытаются выдвинуть псевдо-юридические претензии

Некоторые из ссылок, отправленных в сообщении op_return, пытаются собрать личные данные или связать кошелек с реальной личностью. 

До сих пор юридические претензии к неактивным кошелькам были безуспешными, так как владение BTC зависит от хранения закрытых ключей. Ни майнеры, ни разработчики не могут изъять BTC из неактивных кошельков, несмотря на заявления о праве собственности. 

Однако знание личности старых китов, если оно будет извлечено через фишинг, может привести к другим типам атак, таким как похищение людей или попытка кражи закрытых ключей. 

Интерес к старым кошелькам возрос после того, как кит с монетами 2011 года переместил 80,000 BTC на новые адреса в течение одного дня. 

Некоторые из начальных кошельков китов немедленно получили транзакции пыли, содержащие поддельные сообщения op_return с псевдо-юридическим языком.

Одно из сообщений гласило: «ЮРИДИЧЕСКОЕ УВЕДОМЛЕНИЕ: Мы завладели этим кошельком и его содержимым». Однако фактический кошелек был опустошен, и монеты контролировались новым владельцем, в котором не было дальнейшей необходимости в юридическом заявлении. 

Кластер спящих кошельков китов также показал, что атаки через op_return происходили скоординированными волнами, потенциально связанными с группой плохих акторов, пытающихся собрать данные или развернуть другие инструменты фишинга. 

Атаки через сообщения op_return могут прекратиться после обновления Bitcoin, так как есть предложения ограничить порог данных всего 80 байтами, что не позволит разместить даже короткие сообщения.