Как хакеры Greavys, Wiz и Box совершили криптокражу на $240 млн

Хакеры Greavys (Малоун Иам), Wiz (Вир Чатал) и Box (Жандель Серрано) совершили кражу криптовалюты на $243 млн в прошлом месяце. Единственной жертвой стал кредитор Genesis, который лишился всего в результате детально спланированной социальной инженерии.

Этот инцидент был тщательно спланирован, а его исполнение безупречно (без обиды на жертву).

ЗаксXBT, расследователь блокчейна, ведет дело, связывая точки и сотрудничая с правоохранительными органами для замораживания миллионов и совершения нескольких арестов.

1/ Расследование того, как Грейвс (Мэлон Иам), Виз (Вир Четал) и Бок (Жандиэль Серрано) украли 243 миллиона долларов у одного человека в прошлом месяце в ходе высокоинтеллектуальной атаки социальной инженерии, и мои усилия, которые привели к нескольким арестам и заморозке миллионов долларов. pic.twitter.com/dcY1e9xsPd

— ZachXBT (@zachxbt) сентября 19, 2024

Атака началась 19 августа. Greavys, Wiz и Box использовали поддельные номера и фальшивые звонки в службу поддержки, чтобы выдать себя за представителей Google и Gemini.

Они манипулировали жертвой, заставив ее сбросить двухфакторную аутентификацию (2FA) и перевести средства со своего аккаунта Gemini на скомпрометированный кошелек. 

Хакеры также получили доступ к приватным биткоин-ключам жертвы с помощью AnyDesk, программного обеспечения для удаленного рабочего стола, во время сеанса демонстрации экрана. 

Как только ключи были раскрыты, их стало невозможно остановить.

Первая крупная транзакция с биткоинами произошла в 1:48 по Гринвичу, сумма составила 59,34 BTC. Немного позже еще 14.88 BTC было переведено в 2:30 утра. 

Но о, это было только начало.

$238 млн в одной транзакции

В 4:05 утра по UTC произошла основная часть ограбления.

4064 BTC, стоимостью $238 млн на тот момент, были переведены в одной транзакции.

Закс поделился частным видео, на котором хакеры праздновали после получения средств. Их реакция? Именно то, что можно ожидать после ограбления на $240 млн — шок, возбуждение и, возможно, немного высокомерия.

Посмотрите:

После этого украденные средства были разделены между хакерами и отправлены через более 15 различных криптобирж.

Преступники переводили деньги между Bitcoin, Litecoin, Ethereum и Monero, чтобы затруднить отслеживание. Тем не менее, Закс проследил цепочку и определил доли каждого из хакеров.

Виз, получивший большинство украденных средств, ошибся во время демонстрации экрана, случайно назвав свое настоящее имя. 

Если этого было недостаточно, его сообщники были услышаны называющими его «Вир» в аудиозаписях и чатах.

По меньшей мере $34,5 млн от доли Виза были найдены на кошельке Ethereum (0x3c7a5f2795e73d2b94a9120a643f608cfc45c935). 

Несмотря на попытки Виза замести следы, утечки были слишком очевидными.

Друг Виза, известный как Light или Dark, помог ему отмыть украденные средства с использованием таких платформ, как eXch и Thorswap. 

Но, как и Виз, Light/Dark совершил ту же ошибку — он утекнул свое имя во время демонстрации экрана.

Закс подтвердил последнюю крипто-транзакцию Виза на конкретный адрес кошелька: 0xa212d7441fed6db9ab666ba34e8c440c565f4af8.

Блестящий образ жизни и небрежные ошибки

Греавс, или Малоун Иам, живет широко — покупает более 10 роскошных автомобилей и тратит сотни тысяч долларов в клубах Лос-Анджелеса и Майами. 

В некоторые ночи он тратил от $250 000 до $500 000, даже раздавая сумки Birkin, как будто это ничего не стоило. 

Согласно видеозаписям и журналам чатов, люди называли его «Малоун», пока он хвастался украденными средствами в Discord. 

В настоящее время $3,5 млн от добычи Греавса находятся на другом кошельке Ethereum (0x21d7d256be564191a43553e574c06a4d0e629767).

Греавс не был мастером в сокрытии своего местоположения. 

OSINT (разведка на основе открытых источников) вычислил его в Лос-Анджелесе и Майами, потому что его друзья и девушки почти каждую ночь публиковали его местонахождение в социальных сетях. 

Бокс, также известный как Жандель Серрано или Джон, был тем, кто играл роль представителя поддержки Gemini по телефону. Он манипулировал жертвой, направляя ее на перевод средств в скомпрометированный кошелек. 

В Discord и Telegram Бокс использует одну и ту же фотографию профиля снова и снова. Этого хватило следователям, чтобы отследить его перемещения. 

По меньшей мере $18 млн, связанные с Боксом, в настоящее время находятся на кошельке Ethereum (0x98b0811e2cc7530380caf1a17440b18f71f51f4e).

Еще одним игроком в этой игре был Дэнни Траума, известный как Мич в чатах Telegram. 

Его роль не совсем ясна, но известно, что у него был доступ к нескольким базам данных о банкротстве. Его бывшая девушка утекла все его фотографии, поэтому его личность не является секретом.

Следователи также обнаружили кластер адресов Ethereum, связанных как с Боксом, так и с Визом.

Более $41 млн с двух бирж прошли через эти адреса, большая часть из которых оказалась в руках брокеров роскошных товаров для покупки автомобилей, часов, украшений и дизайнерской одежды. 

Журналы чатов подтверждают это. Хакеры открыто обсуждали, как они тратят украденные средства.

Хотя большая часть украденных средств была конвертирована в Monero (XMR), чтобы затруднить их отслеживание, Закс сказал, что как Бокс, так и Виз снова ошиблись.

Они случайно связали отмытые средства с грязными. Во время одной демонстрации экрана Виз показал адрес, который он использовал для отправки денег на дизайнерскую одежду, к которому были привязаны миллионы грязных средств.

Бокс совершил аналогичную ошибку, повторно используя адрес депозита, связав чистые средства с украденными.

Закс не работал в одиночку. Он упомянул в посту в X что получил помощь от команды безопасности Binance, CFInvestigators и ZeroShadow для отслеживания средств.

Вместе им удалось заморозить более $9 млн. Около $500 000 уже возвращено жертве.

Благодаря расследованию Бокс и Греавс были арестованы в Майами и Лос-Анджелесе. 

Вероятно, правоохранительные органы конфисковали дополнительные средства во время арестов, учитывая крупные переводы, сделанные в то же время.

Так что да. Эти ребята были либо действительно глупыми, либо действительно смелыми, хотя шансы на первое кажутся выше, не так ли?

Это развивающаяся история