A Ucrânia desmantelou uma rede de plataformas falsas de investimento em criptomoedas que supostamente drenou carteiras pertencentes a pessoas em mais de 20 países, com investigadores identificando 62 vítimas até agora.
Resumo
- A Ucrânia desmantelou plataformas falsas de investimento em criptomoedas que visavam vítimas em mais de 20 países.
- Os investigadores identificaram 62 vítimas, enquanto a rede supostamente movimentava até US$ 1 milhão por mês no seu pico.
- As vítimas viam ganhos de investimento falsos antes de um drenador de carteiras roubar suas criptomoedas quando tentavam sacar fundos.
- A polícia realizou 34 buscas e apreendeu mais de 100 computadores, mais de 100 telefones e 15 veículos.
A Polícia Nacional da Ucrânia disse que investigadores do seu Departamento Principal de Investigação trabalharam com o Serviço de Segurança da Ucrânia e o Gabinete do Procurador-Geral para descobrir a operação, que mantinha vários escritórios em Kiev e na região circundante.
Mais de 46 ucranianos foram recrutados para a rede, enquanto as autoridades ainda estão identificando outros participantes, vítimas e o valor total roubado.
Plataformas falsas de investimento em criptomoedas visaram mais de 20 países
Os investigadores disseram que o grupo criou sites projetados para parecer plataformas de investimento legítimas e os usou para oferecer projetos de criptomoedas supostamente lucrativos.
O Serviço de Segurança disse que o esquema começou com anúncios distribuídos pelo Telegram, onde clientes em potencial recebiam ofertas de oportunidades de investir em projetos de criptomoedas. Os usuários que se registravam eram instruídos a conectar uma carteira de criptomoedas e transferir fundos para a plataforma.
Por trás dos sites, os desenvolvedores mantinham a infraestrutura e trabalhavam para manter as plataformas acessíveis quando tentativas de bloqueio eram feitas. Outros membros do grupo trabalhavam nos escritórios, comunicavam-se com os clientes e forneciam segurança para a operação.
Uma vez que os fundos eram depositados, os funcionários simulavam manualmente a atividade de investimento. Os clientes podiam ver os saldos das contas aumentando em seus painéis, embora os investigadores tenham dito que a atividade de negociação exibida era fabricada.
Um especialista em TI de 25 anos organizou a rede, de acordo com o Serviço de Segurança. No seu pico, a operação tinha um faturamento mensal de até US$ 1 milhão.
As autoridades identificaram até agora 62 vítimas de mais de 20 países. Elas incluíam cidadãos da Alemanha, Polônia, Lituânia, Letônia, Espanha, França, Reino Unido, Canadá e Israel.
O número pode aumentar à medida que os investigadores continuam examinando informações recuperadas da infraestrutura da rede e determinando quantas pessoas transferiram criptomoedas através de seus sites.
Drenador de carteira ativado durante tentativas de saque
O suposto roubo entrou em outro estágio quando os clientes tentaram sacar seus fundos.
Os operadores bloquearam os pedidos de saque e disseram às vítimas que outro procedimento de verificação era necessário antes que seu dinheiro pudesse ser liberado. Os usuários foram instruídos a conectar sua carteira de criptomoedas principal e aprovar uma pequena transação de teste para demonstrar que a plataforma estava funcionando.
Os investigadores disseram que os sites continham um drenador de carteira que usava a autorização para transferir ativos de uma carteira conectada para endereços controlados pelo grupo. Depois que a criptomoeda era movida, a vítima perdia o acesso à plataforma de investimento.
O método dependia do mesmo tipo de autorização maliciosa usada em ataques de drenagem de carteiras, onde os usuários podem, sem saber, dar permissão a um contrato controlado por atacantes para mover seus tokens. Como o crypto.news relatou anteriormente em julho, o phishing de aprovação pode envolver aprovações de tokens, assinaturas de permissão e outras autorizações que permitem que ativos sejam transferidos sem que um atacante obtenha a chave privada do proprietário da carteira.
Uma técnica semelhante surgiu em agosto, quando um usuário da Hyperliquid perdeu cerca de 550.000 USDC após interagir com um site fraudulento promovido por meio de um anúncio do Google. A empresa de segurança Salus posteriormente conectou o site falso da Hyperliquid à infraestrutura associada ao ecossistema do drenador Inferno.
A Salus disse que a operação incluía scripts maliciosos, geração de comandos de aprovação, drenagem automatizada, saques entre cadeias e ferramentas para consolidar fundos roubados. O caso ucraniano usou um discurso de investimento diferente, mas os investigadores também disseram que as vítimas foram induzidas a autorizar uma transação antes que os ativos fossem removidos de suas carteiras.
As plataformas falsas coletaram mais do que criptomoedas. Procedimentos de registro e verificação coletaram informações de passaporte das vítimas, números de telefone, endereços de e-mail, logins de contas, senhas e fotografias, de acordo com as autoridades ucranianas.
Servidores na Holanda mantinham registros de vítimas e criptomoedas roubadas
Os investigadores rastrearam equipamentos de servidor usados pela rede até a Holanda e obtiveram acesso a um banco de dados armazenado lá.
Os registros continham informações sobre as vítimas, incluindo endereços de carteiras de criptomoedas e os valores supostamente roubados de usuários individuais. As autoridades disseram que os servidores mantinham correspondência interna entre membros do grupo e registros descrevendo como as plataformas fraudulentas operavam.
O acesso ao banco de dados ajudou os investigadores a rastrear a rede em vários países e identificar pessoas que interagiram com os sites.
O elemento internacional segue várias operações de aplicação da lei direcionadas a fraudes de investimento online e esquemas de engenharia social ligados a criptomoedas. A INTERPOL disse em agosto que a Operação Jackal IV resultou em 58 prisões e identificou 263 suspeitos depois que autoridades de 22 países direcionaram esquemas de investimento, fraudes de romance e redes relacionadas de lavagem de dinheiro.
As autoridades sul-africanas apreenderam US$ 2,67 milhões durante essa operação e bloquearam 257 contas bancárias, enquanto a polícia romena prendeu 11 suspeitos em um esquema de investimento associado a cerca de € 143 milhões, de acordo com a INTERPOL.
Uma repressão maior da INTERPOL relatada em julho produziu 5.811 prisões em 97 países e territórios. A Operação First Light interceptou US$ 293 milhões em ativos ilícitos, bloqueou mais de 31.000 contas bancárias e identificou mais de 142.000 vítimas, enquanto direcionava fraudes de investimento, golpes de romance, falsificação de identidade e outras formas de engenharia social.
Os investigadores nessa operação descobriram atividade de lavagem de criptomoedas que usava vários ativos digitais e trocas entre cadeias. A INTERPOL disse que uma carteira ligada a uma investigação tailandesa havia processado mais de US$ 122,5 milhões em um período de 10 meses.
O phishing de aprovação atraiu atenção separada da aplicação da lei. Uma operação liderada pelo Reino Unido envolvendo autoridades dos Estados Unidos e Canadá congelou mais de US$ 12 milhões em supostos lucros de golpes no início deste ano e identificou mais de 20.000 vítimas em potencial.
A operação focou em esquemas nos quais as vítimas foram persuadidas a assinar autorizações blockchain maliciosas que davam aos golpistas permissão para mover criptomoedas de suas carteiras.
Polícia apreendeu mais de 200 computadores e telefones
Oficiais ucranianos realizaram 34 buscas em casas, escritórios e veículos em Kiev e região circundante como parte da investigação.
Mais de 100 computadores e outros equipamentos de informática foram apreendidos, juntamente com mais de 100 telefones celulares, 79 cartões SIM e um gateway GSM. A polícia recuperou dinheiro e registros conectados à operação, enquanto 15 veículos foram levados durante as buscas.
Alguns carros e imóveis usados por membros da rede haviam sido registrados em nomes de esposas e outros parentes dos suspeitos, disseram os investigadores. O suposto organizador viajava com guardas armados.
O processo criminal está sendo conduzido nos termos da Parte 5 do Artigo 190 do Código Penal da Ucrânia, que trata de fraude. As autoridades não divulgaram um valor final de perdas porque continuam identificando supostos membros da rede e vítimas adicionais.
A Ucrânia também desenvolveu separadamente procedimentos para lidar com criptomoedas recuperadas em casos criminais. As autoridades transferiram mais de US$ 8,3 milhões em USDT apreendidos para uma carteira administrada pelo estado em junho, a primeira vez que criptomoedas confiscadas foram colocadas sob gestão direta do estado.
O Royal United Services Institute estimou que regras mais fortes para rastrear, apreender e gerenciar criptomoedas ilícitas poderiam ajudar a Ucrânia a recuperar pelo menos US$ 10 bilhões em fundos roubados e receita fiscal perdida.
A polícia disse que os investigadores continuam identificando todos os envolvidos na rede de investimento falsa, localizando mais vítimas e determinando o valor total de criptomoedas roubadas por meio das plataformas.
