L'Ukraine a démantelé un réseau de fausses plateformes d'investissement en cryptomonnaies qui auraient vidé les portefeuilles de personnes dans plus de 20 pays, les enquêteurs ayant identifié 62 victimes jusqu'à présent.
Résumé
- L'Ukraine a démantelé de fausses plateformes d'investissement en cryptomonnaies qui ciblaient des victimes dans plus de 20 pays.
- Les enquêteurs ont identifié 62 victimes, tandis que le réseau aurait traité jusqu'à 1 million de dollars par mois à son apogée.
- Les victimes voyaient de faux gains d'investissement avant qu'un vidangeur de portefeuille ne vole leurs cryptomonnaies lorsqu'elles tentaient de retirer des fonds.
- La police a effectué 34 perquisitions et saisi plus de 100 ordinateurs, plus de 100 téléphones et 15 véhicules.
La Police nationale d'Ukraine a déclaré que les enquêteurs de sa Direction principale des enquêtes ont travaillé avec le Service de sécurité d'Ukraine et le Bureau du procureur général pour découvrir l'opération, qui maintenait plusieurs bureaux à Kiev et dans la région environnante.
Plus de 46 Ukrainiens ont été recrutés dans le réseau, tandis que les autorités identifient toujours d'autres participants, victimes et le montant total volé.
De fausses plateformes d'investissement en cryptomonnaies ciblaient plus de 20 pays
Les enquêteurs ont déclaré que le groupe avait créé des sites web conçus pour ressembler à des plateformes d'investissement légitimes et les utilisait pour proposer des projets de cryptomonnaies soi-disant rentables.
Le Service de sécurité a déclaré que le stratagème commençait par de la publicité diffusée via Telegram, où des clients potentiels se voyaient offrir des opportunités d'investir dans des projets de cryptomonnaies. Les utilisateurs qui s'inscrivaient devaient connecter un portefeuille de cryptomonnaies et transférer des fonds vers la plateforme.
Derrière les sites web, les développeurs maintenaient l'infrastructure et travaillaient à garder les plateformes accessibles lorsque des tentatives de blocage étaient faites. D'autres membres du groupe occupaient les bureaux, communiquaient avec les clients et assuraient la sécurité de l'opération.
Une fois les fonds déposés, les employés simulaient manuellement l'activité d'investissement. Les clients pouvaient voir les soldes de leurs comptes augmenter dans leurs tableaux de bord, bien que les enquêteurs aient déclaré que l'activité de trading affichée était fabriquée.
Un spécialiste informatique de 25 ans a organisé le réseau, selon le Service de sécurité. À son apogée, l'opération avait un chiffre d'affaires mensuel allant jusqu'à 1 million de dollars.
Les autorités ont jusqu'à présent identifié 62 victimes dans plus de 20 pays. Elles comprenaient des citoyens d'Allemagne, de Pologne, de Lituanie, de Lettonie, d'Espagne, de France, du Royaume-Uni, du Canada et d'Israël.
Le nombre pourrait augmenter à mesure que les enquêteurs continuent d'examiner les informations récupérées de l'infrastructure du réseau et de déterminer combien de personnes ont transféré des cryptomonnaies via ses sites web.
Vidangeur de portefeuille activé lors des tentatives de retrait
Le vol présumé est entré dans une autre étape lorsque les clients ont tenté de retirer leurs fonds.
Les opérateurs ont bloqué les demandes de retrait et ont dit aux victimes qu'une autre procédure de vérification était nécessaire avant que leur argent puisse être libéré. Les utilisateurs devaient connecter leur portefeuille de cryptomonnaies principal et approuver une petite transaction de test pour démontrer que la plateforme fonctionnait.
Les enquêteurs ont déclaré que les sites web contenaient un vidangeur de portefeuille qui utilisait l'autorisation pour transférer des actifs d'un portefeuille connecté vers des adresses contrôlées par le groupe. Après que la cryptomonnaie avait été déplacée, la victime perdait l'accès à la plateforme d'investissement.
La méthode reposait sur le même type d'autorisation malveillante utilisée dans les attaques de drainers de portefeuilles, où les utilisateurs peuvent, sans le savoir, donner à un contrat contrôlé par un attaquant la permission de déplacer leurs jetons. Comme crypto.news l'a précédemment rapporté en juillet, le phishing par approbation peut impliquer des approbations de jetons, des signatures de permis et d'autres autorisations qui permettent de transférer des actifs sans que l'attaquant n'obtienne la clé privée du propriétaire du portefeuille.
Une technique similaire est apparue en août lorsqu'un utilisateur de Hyperliquid a perdu environ 550 000 USDC après avoir interagi avec un site Web frauduleux promu via une publicité Google. La société de sécurité Salus a ensuite lié le faux site Web Hyperliquid à une infrastructure associée à l'écosystème du drainer Inferno.
Salus a déclaré que l'opération comprenait des scripts malveillants, la génération de commandes d'approbation, le drainage automatisé, les retraits inter-chaînes et des outils pour consolider les fonds volés. L'affaire ukrainienne utilisait un argumentaire d'investissement différent, mais les enquêteurs ont également déclaré que les victimes avaient été incitées à autoriser une transaction avant que les actifs ne soient retirés de leurs portefeuilles.
Les fausses plateformes collectaient plus que des cryptomonnaies. Les procédures d'inscription et de vérification recueillaient les informations de passeport des victimes, leurs numéros de téléphone, adresses e-mail, identifiants de compte, mots de passe et photographies, selon les autorités ukrainiennes.
Les serveurs aux Pays-Bas détenaient des enregistrements de victimes et de cryptomonnaies volées
Les enquêteurs ont retracé l'équipement serveur utilisé par le réseau jusqu'aux Pays-Bas et ont obtenu l'accès à une base de données qui y était stockée.
Les enregistrements contenaient des informations sur les victimes, y compris les adresses de portefeuille de cryptomonnaies et les montants prétendument volés à des utilisateurs individuels. Les autorités ont déclaré que les serveurs détenaient des correspondances internes entre les membres du groupe et des enregistrements décrivant le fonctionnement des plateformes frauduleuses.
L'accès à la base de données a aidé les enquêteurs à retracer le réseau dans plusieurs pays et à identifier des personnes ayant interagi avec les sites Web.
L'élément international fait suite à plusieurs opérations de forces de l'ordre ciblant la fraude aux investissements en ligne et les stratagèmes d'ingénierie sociale liés aux cryptomonnaies. INTERPOL a déclaré en août que l'opération Jackal IV avait abouti à 58 arrestations et identifié 263 suspects après que les autorités de 22 pays aient ciblé des stratagèmes d'investissement, des fraudes sentimentales et des réseaux de blanchiment d'argent associés.
Les autorités sud-africaines ont saisi 2,67 millions de dollars lors de cette opération et bloqué 257 comptes bancaires, tandis que la police roumaine a arrêté 11 suspects dans un stratagème d'investissement associé à environ 143 millions d'euros, selon INTERPOL.
Une plus grande opération d'INTERPOL rapportée en juillet a abouti à 5 811 arrestations dans 97 pays et territoires. L'opération First Light a intercepté 293 millions de dollars d'actifs illicites, bloqué plus de 31 000 comptes bancaires et identifié plus de 142 000 victimes tout en ciblant la fraude aux investissements, les escroqueries sentimentales, l'usurpation d'identité et d'autres formes d'ingénierie sociale.
Les enquêteurs de cette opération ont découvert une activité de blanchiment de cryptomonnaies utilisant plusieurs actifs numériques et des échanges inter-chaînes. INTERPOL a déclaré qu'un portefeuille lié à une enquête thaïlandaise avait traité plus de 122,5 millions de dollars sur une période de 10 mois.
Le phishing par approbation a attiré une attention particulière des forces de l'ordre. Une opération dirigée par le Royaume-Uni impliquant les autorités des États-Unis et du Canada a gelé plus de 12 millions de dollars de produits de fraude présumés plus tôt cette année et identifié plus de 20 000 victimes potentielles.
L'opération s'est concentrée sur des stratagèmes dans lesquels les victimes étaient persuadées de signer des autorisations blockchain malveillantes qui donnaient aux fraudeurs la permission de déplacer des cryptomonnaies depuis leurs portefeuilles.
La police a saisi plus de 200 ordinateurs et téléphones
Les officiers ukrainiens ont effectué 34 perquisitions dans des maisons, des bureaux et des véhicules à travers Kiev et la région environnante dans le cadre de l'enquête.
Plus de 100 ordinateurs et autres équipements informatiques ont été saisis ainsi que plus de 100 téléphones mobiles, 79 cartes SIM et une passerelle GSM. La police a récupéré de l'argent liquide et des enregistrements liés à l'opération, tandis que 15 véhicules ont été pris lors des perquisitions.
Certaines voitures et biens immobiliers utilisés par les membres du réseau avaient été enregistrés au nom des épouses des suspects et d'autres parents, ont déclaré les enquêteurs. L'organisateur présumé voyageait avec des gardes armés.
La procédure pénale est menée en vertu de la partie 5 de l'article 190 du Code pénal ukrainien, qui couvre la fraude. Les autorités n'ont pas divulgué le montant final des pertes car elles continuent d'identifier les membres présumés du réseau et les victimes supplémentaires.
L'Ukraine a également développé séparément des procédures pour traiter les crypto-monnaies récupérées dans le cadre d'affaires pénales. Les autorités ont transféré plus de 8,3 millions de dollars en USDT saisis vers un portefeuille géré par l'État en juin, la première fois que des crypto-monnaies confisquées étaient placées sous gestion directe de l'État.
Le Royal United Services Institute a estimé que des règles plus strictes pour tracer, saisir et gérer les crypto-monnaies illicites pourraient aider l'Ukraine à récupérer au moins 10 milliards de dollars de fonds volés et de recettes fiscales perdues.
La police a déclaré que les enquêteurs continuent d'identifier toutes les personnes impliquées dans le réseau d'investissement frauduleux, de localiser d'autres victimes et de déterminer la valeur totale des crypto-monnaies volées via les plateformes.
