Мошенник, выдающий себя за поддержку Coinbase, украл более 2 млн долларов в криптовалюте

Мошенник, выдававший себя за сотрудника службы поддержки Coinbase, обманул более 2 миллионов долларов в криптовалюте в 2025 году, организуя атаки социальной инженерии.

Блокчейн-расследователь ZachXBT раскрыл канадского злоумышленника, известного как Haby или Havard, используя анализ блокчейна и доказательства из социальных сетей. Мошенник совершал звонки пользователям Coinbase с номеров, выдавая себя за службу поддержки, а затем направлял жертв на перевод средств на кошельки, контролируемые злоумышленниками.

ZachXBT отследил кражу с помощью анализа блокчейна.

Расследование началось, когда 30 декабря 2024 года Haby опубликовал скриншот, на котором была показана кража 21 000 XRP стоимостью 44 000 долларов у пользователя Coinbase. ZachXBT сопоставил адрес кошелька с двумя другими случаями краж у пользователей Coinbase на общую сумму около 500 000 долларов. Анализ показал, что Haby обменял украденные XRP на биткоины через мгновенные обменники.

9/ Дополнительные скриншоты из его Instagram демонстрируют больше случаев краж с использованием социальной инженерии.

Опубликован пост с утечкой: «От „Harvi’s MacBook Air"»

Один из участников их чата даже посоветовал ему реже хвастаться своими достижениями. pic.twitter.com/YJQlbxTfyK

— ZachXBT (@zachxbt) декабря 29, 2025

С помощью анализа временных меток ZachXBT отследил биткоин-адрес Haby. В феврале 2025 года Haby поделился скриншотами в групповом чате, на которых был показан кошелек с балансом 237 000 долларов.

Баланс биткоинов на выявленном адресе совпадал со скриншотами от 1 февраля 2025 года. Отслеживание назад от этого адреса выявило еще три случая краж с использованием подделки службы поддержки Coinbase на общую сумму более 560 000 долларов.

Расследователь связал кошельки с Haby через утечку информации в постах в социальных сетях и видеозаписях экрана. Утеченное видео показало, как Haby проводит звонок с использованием социальной инженерии с целью.

Запись экрана раскрыла адрес электронной почты и его аккаунт в Telegram. Дополнительные скриншоты из Instagram отображали посты, хвастающиеся кражами с использованием социальной инженерии. В одной из историй в Instagram в информации об устройстве было указано «С MacBook Air Харви».

Мошенник действовал с плохой операционной безопасностью

Haby регулярно публиковал истории и селфи на платформах социальных сетей, демонстрируя свой образ жизни, оплаченный за счет украденной криптовалюты. На постах были показаны покупки дорогих имен в Telegram, предметов роскоши, обслуживания у бутылок и азартных игр. Участник его чата посоветовал ему реже публиковать информацию о своей деятельности.

Мошенник, похоже, мало заботился об операционной безопасности. Анализ социальных сетей выявил его местоположение в Абботсфорде, недалеко от Ванкувера, Британская Колумбия. OSINT-анализ его историй в Instagram подтвердил местоположение.

Haby часто покупал дорогие имена в Telegram и удалил свой последний аккаунт за два дня до публикации расследования. Предыдущие аккаунты показывали его псевдоним в различных чатах, что подтверждало подлинность утеченных скриншотов.

Схемы подделки службы поддержки Coinbase усилились в 2025

Период 2025 года стал довольно сложным временем для пользователей Coinbase. Атакующие перешли от традиционного фишинга к точечным атакам, используя данные, украденные из систем поддержки Coinbase. Утечка данных инсайдера в мае 2025 года привела к высокоэффективным схемам подделки на протяжении всего года.

Она включала подкуп со стороны киберпреступников, которые наняли агентов службы поддержки из-за рубежа, в основном в Хайдарабаде, Индия, для кражи внутренних данных. Скомпрометированная информация включала имена, адреса электронной почты, номера телефонов, домашние адреса, изображения государственных удостоверений личности и балансы счетов в реальном времени.

Атакующие не получили прямого доступа к закрытым ключам и паролям. В целом, около 1% пользователей Coinbase стали мишенью, что составляет примерно 70 000 клиентов с высоким уровнем дохода.

Атакующие потребовали выкуп в размере 20 миллионов долларов в обмен на удаление украденных данных. Coinbase отклонила требование о выкупе, учредила премию в размере 20 миллионов долларов за поимку злоумышленников и вернула средства пострадавшим жертвам.

Несколько арестов произошло в декабре 2025

Активность правоохранительных органов достигла пика в декабре 2025 года с несколькими арестами, связанными со схемами подделки службы поддержки Coinbase. Рональд Спектор из Бруклина, Нью-Йорк, был обвинен в краже 16 миллионов долларов у примерно 100 пользователей.

Его методология заключалась в использовании украденных данных клиентов для выдавания себя за «Элитную поддержку» Coinbase и предупреждения пользователей о предстоящих несанкционированных транзакциях. Он направлял жертв на перевод средств в «безопасный хранилище», которое на самом деле было кошельком, контролируемым им.

Полиция Индии арестовала бывшего агента службы поддержки Coinbase 29 декабря 2025 года, связанного с майской утечкой данных. Арест подтвердил теорию о подкупленном инсайдере и стал первым крупным действием правоохранительных органов против источника утечки данных.