La classe media della frode
Quando le indagini sulle truffe nel mondo delle criptovalute finiscono in prima pagina, le cifre sono sbalorditive: imperi di mentoring da 10 milioni di dollari, “rug pull” da miliardi di dollari, reti di riciclaggio finanziate dallo Stato. Ma dietro a queste operazioni che fanno scalpore si nasconde un vasto ecosistema di gruppi di truffatori di medio livello che, nel loro insieme, causano danni enormi pur passando inosservati.
Non si tratta di singoli individui. Sono organizzati, reclutano nuovi membri tramite forum, utilizzano i bot di Telegram per automatizzare i processi e tengono traccia delle loro vittime su fogli di calcolo di Google, proprio come qualsiasi team di vendita legittimo tiene traccia dei propri potenziali clienti. Rappresentano il classe media operativa del crimine informatico — abbastanza sofisticato da poter essere scalabile, abbastanza piccolo da passare inosservato.
Questa indagine esamina tre di queste squadre documentate in PhishDestroy's ScamIntelLogs repository:
MercuryTeam
Stato: Attivo. Operazione a doppio vettore che gestisce contemporaneamente frodi su piattaforme di scambio e truffe legate ai casinò tramite due bot di Telegram. Struttura di lingua russa, basata su un sistema di mentori.
WasabiSquad
Stato: Attivo. Operazione a triplice fronte che prende di mira le vittime tramite exchange fasulli, piattaforme di gioco d’azzardo e bot di investimento. Condivide l’infrastruttura con MercuryTeam.
717Team
Stato: ARCHIVIATO. Un'operazione che coinvolgeva 125 membri è stata smantellata grazie alla raccolta di informazioni e a segnalazioni coordinate. La prova che le azioni di contrasto funzionano.
Risultato principale
MercuryTeam e WasabiSquad condividono lo STESSO URL del foglio di calcolo di Google — indice della presenza di operatori identici o di un’alleanza strettamente coordinata.
Perché le squadre di medio livello sono importanti
Per ogni notizia da un miliardo di dollari, ci sono centinaia di squadre come queste Operano quotidianamente. Reclutano in modo aggressivo, si rinnovano rapidamente e, collettivamente, sottraggono milioni alle vittime in tutto il mondo. Comprendere la loro struttura è fondamentale per smantellarle su larga scala.
MercuryTeam: Operazioni a doppio vettore
MercuryTeam gestisce un modello di frode a doppio vettore — mettere in atto contemporaneamente truffe legate alle piattaforme di scambio e ai casinò tramite due bot dedicati su Telegram. Questo approccio massimizza il numero di vittime: gli utenti che non cadrebbero nella trappola di una piattaforma di scambio fasulla potrebbero essere attirati dall’offerta di un casinò, e viceversa.
Infrastruttura dei bot di Telegram
| Bot | Nome utente su Telegram | ID bot | Vettore |
|---|
| Bot principale | @MercuryTeam_bot | 6631580796 | Frode in materia di cambio |
| Bot da casinò | @MercuryCasi_bot | 6431207710 | Frodi nei casinò |
L'architettura a doppio bot non è casuale. Separando le operazioni di scambio e quelle relative al casinò in bot distinti, MercuryTeam ottiene compartimentazione operativa — se un bot viene segnalato o bloccato, l’altro continua a funzionare. Le vittime interagiscono con il bot che corrisponde al loro profilo di vulnerabilità.
Struttura organizzativa
MercuryTeam utilizza un modello a rami con mentori. Gli operatori più esperti formano le nuove reclute, che poi aprono filiali semi-indipendenti. Questa struttura, simile a un sistema di franchising, consente al team di espandersi rapidamente, garantendo al contempo la sicurezza operativa. Le nuove reclute apprendono dai mentori loro assegnati le tecniche di interazione con le vittime, la gestione dei copioni e le procedure di ritiro prima di operare in autonomia.
Presenza sul forum
MercuryTeam recluta e pubblica annunci tramite lolz.live, uno dei più grandi forum dedicati alle frodi in lingua russa. Il loro thread di reclutamento: lolz.live/threads/6129774/
Monitoraggio delle vittime
I dati relativi alle entrate e alle vittime vengono monitorati tramite un foglio di calcolo Google condiviso — un dettaglio che assume un’importanza fondamentale quando si analizzano le operazioni di WasabiSquad.
Valutazione dei servizi di intelligence
MercuryTeam rappresenta un l'evoluzione delle frodi nel segmento di fascia media: l'approccio a doppio vettore raddoppia la loro superficie di attacco, mentre il modello di riferimento garantisce una qualità costante in tutte le filiali. Operazione condotta in lingua russa, con tutto il coordinamento gestito tramite Telegram. Tutte le prove sono state conservate in ScamIntelLogs.
WasabiSquad: Tripla minaccia
Mentre MercuryTeam esegue due vettori, WasabiSquad lo porta a tre — che riunisce in un’unica operazione exchange fasulli, piattaforme di gioco d’azzardo e bot di investimento. Questo approccio multivettoriale punta a psicologie delle vittime completamente diverse: il trader di criptovalute, il giocatore d’azzardo e l’investitore passivo.
Infrastruttura bot e web
| Attivo | Identificatore | Tipo |
|---|
| Bot principale | @WasabiSquad_Bot | Bot di Telegram (ID: 7380099926) |
| Sito web | wasabihub.one | Piattaforma web |
| Discussione sul forum | lolz.live/threads/7933252/ | Reclutamento e pubblicità |
Tre vettori di attacco
Frode in materia di cambio
Piattaforme di scambio di criptovalute fasulle, create appositamente per sottrarre i depositi. Le vittime credono di operare su una piattaforma legittima e versano fondi che non possono più essere prelevati.
Frodi nel gioco d'azzardo
Piattaforme di gioco d'azzardo truccate che promettono vincite ma richiedono "depositi di verifica" prima dei prelievi — depositi che vengono immediatamente prosciugati.
Frode tramite bot di investimento
Bot di investimento automatizzati che promettono rendimenti garantiti. Le vittime depositano criptovalute nella speranza di ottenere profitti dal trading algoritmico, ma non ricevono nulla.
Il collegamento al foglio di calcolo
WasabiSquad utilizza lo STESSO foglio di calcolo di Google utilizzato da MercuryTeam per il monitoraggio delle vittime e dei proventi. Questa è la conclusione più importante emersa da questa indagine.
"Stesso foglio di calcolo. Stesse colonne di monitoraggio. Stesse formule per il calcolo dei ricavi. O si tratta delle stesse persone che indossano maschere diverse, oppure si fidano l’una dell’altra al punto da condividere l’intero database delle vittime."
— Valutazione dei servizi segreti di PhishDestroy
Sovrapposizione delle infrastrutture critiche
Il foglio di calcolo Google condiviso tra MercuryTeam e WasabiSquad non è un semplice dettaglio tecnico — è prova di unità operativa. Due team con marchi distinti, bot di Telegram diversi e discussioni separate sui forum stanno utilizzando lo stesso documento di backend per tenere traccia delle vittime e dei ricavi. Ciò fa supporre che o gli stessi gestori che gestiscono entrambi i marchi oppure un alleanza formale con un'infrastruttura finanziaria condivisa.
717Team: La prova che la distruzione funziona
Tra le tre squadre esaminate in questa indagine, la 717Team si distingue per una caratteristica unica: è stato archiviato. Nella terminologia di ScamIntelLogs, il termine "archiviato" indica che le operazioni sono state interrotte e che il gruppo non è più attivamente coinvolto in attività fraudolente. Non si tratta di un successo teorico, bensì di una prova documentata del fatto che la raccolta di informazioni, la conservazione delle prove e la segnalazione coordinata possono porre fine alle frodi organizzate.
717Team in cifre
$2,946
Confermato: svuotato
ARCHIVIATO
Stato delle operazioni
Collegamenti amministrativi e di rete
| Ruolo | Identificatore | Dettagli |
|---|
| Amministratore | @imdebank | ID Telegram: 7149807602 |
| Collegamento di rete | RublevkaTeam | L'amministratore @imdebank è collegato a questa operazione separata |
| Bot | @team717_bot | Bot principale di Telegram (ora inattivo) |
| Forum | lolz.live | Centro di reclutamento e coordinamento |
Infrastruttura di domini (12 o più domini)
| Dominio | Scopo |
|---|
| checkscore.cc | Piattaforma principale dedicata alle truffe |
| cryptomus-payment.com | Gateway di pagamento fasullo |
| check-score.ru | Variante destinata al mercato russo |
| + 9 domini aggiuntivi documentati in ScamIntelLogs |
Perché gli archivi sono importanti
Lo stato "archiviato" di 717Team è il dato più importante nell'ambito dell'intera indagine. Ciò dimostra che i gruppi di truffatori di medio livello può è stato sventato grazie a un'attività sistematica di raccolta di informazioni. Il processo che ha funzionato: (1) identificare l'infrastruttura, (2) tracciare i portafogli e i membri, (3) conservare le prove, (4) coordinare la segnalazione tra le diverse piattaforme. I 2.946,25 dollari di prelievi confermati rappresentano le perdite documentate: la cifra reale era probabilmente più alta, ma l’operazione è stata bloccata prima che potesse espandersi ulteriormente.
Il legame con il RublevkaTeam
L'amministratore @imdebank (ID: 7149807602) è stato collegato a RublevkaTeam, un'altra truffa documentata nel nostro La truffa russa TON indagine. Questo collegamento tra i vari team rafforza una conclusione fondamentale: queste operazioni non sono isolate. Gli operatori passano da un team all’altro, condividono le infrastrutture e mantengono reti che sopravvivono alle interruzioni subite dai singoli team.
L'infrastruttura condivisa
Un’analisi comparativa di queste tre squadre mette in luce qualcosa di ben più significativo delle singole operazioni: rivela una rete. Strumenti condivisi, piattaforme condivise, documenti condivisi e, in almeno un caso, un collegamento diretto a livello di personale tra i team.
Analisi comparativa
| Attributo | MercuryTeam | WasabiSquad | 717Team |
|---|
| Vettori di attacco | Scambio + Casinò | Borsa + Gioco d'azzardo + Investimenti | Scambi + Pagamenti falsi |
| Forum | lolz.live | lolz.live | lolz.live |
| Bot di Telegram | 2 bot | 1 bot + sito web | 1 bot |
| Monitoraggio | Foglio di calcolo di Google | Foglio di calcolo SAME | Tracciamento interno |
| Lingua | Russo | Russo | Russo |
| Stato | Attivo | Attivo | Archiviato |
Punti comuni dell'infrastruttura
- Foglio di calcolo Google condiviso — MercuryTeam e WasabiSquad utilizzano lo stesso documento per il monitoraggio delle vittime e dei ricavi
- lolz.live come piattaforma centrale — Tutte e tre le squadre reclutano nuovi membri, pubblicizzano le proprie attività e si coordinano tramite lo stesso forum in lingua russa
- Telegram come livello operativo — Ogni squadra si affida ai bot di Telegram per l’inserimento delle vittime e la comunicazione tra gli operatori
- Personale inter-team — L'amministratore del 717Team @imdebank si è collegato al RublevkaTeam, dimostrando la mobilità degli operatori tra i team
- Operazioni in lingua russa — Tutte le squadre utilizzano il russo, il che indica un’origine geografica e culturale comune
"Condividono fogli di calcolo. Condividono forum. Condividono tecniche. L'unica cosa che non condividono è il nome del marchio — e anche questa distinzione potrebbe essere artificiale."
— Sintesi dell'analisi di PhishDestroy
Attori non isolati
Le prove sono evidenti: MercuryTeam, WasabiSquad e 717Team non sono gruppi indipendenti che utilizzano per caso metodi simili. Il foglio di calcolo Google condiviso tra Mercury e Wasabi, il forum condiviso in tutti e tre, e il sovrapposizione di personale I legami tra 717Team e RublevkaTeam indicano tutti l'esistenza di un ecosistema interconnesso. Intervenire su una squadra senza comprendere la rete rischia semplicemente di spostare gli operatori verso un altro marchio.
Prove e documentazione
Tutte le informazioni di intelligence citate in questa indagine sono state archiviate nel repository ScamIntelLogs di PhishDestroy. Ogni team dispone di una cartella dedicata alle prove contenente gli ID dei bot, gli indirizzi dei wallet, gli screenshot dei forum, gli elenchi dei domini e le analisi strutturali.
Prove del MercuryTeam
ID dei bot duplicati, discussione sul forum, documentazione sulla struttura dei mentori, foglio di calcolo di riferimento
Prove della WasabiSquad
Analisi delle "tre minacce", documentazione su wasabihub.one, prova tramite foglio di calcolo condiviso
717Team Evidence (Archiviato)
125 membri, 85 portafogli, 2.946,25 $ sottratti, oltre 12 domini, l'amministratore @imdebank collegato a RublevkaTeam
Repository completo di ScamIntelLogs
Archivio completo delle informazioni sulle minacce — tutti i team, tutte le prove, con controllo delle versioni
Il 717Team è stato fermato. Anche gli altri possono esserlo.
La raccolta di informazioni funziona. La conservazione delle prove funziona. La segnalazione coordinata funziona. Lo stato di archivio del 717Team ne è la prova vivente.
Aiutateci a esercitare la stessa pressione su MercuryTeam, WasabiSquad e su tutte le altre organizzazioni fraudolente di medio livello ancora operative.
#ScamTeams#MercuryTeam#WasabiSquad#717Team#Investigation
