«Изнутри»: как действуют криптовалютные мошенники
Перенаправление Bing и DuckDuckGo

Два вектора атаки

В ходе нашего расследования выяснилось, что две совершенно разные, параллельные операции работающие одновременно, чтобы вывести фишинговые сайты на первые места в результатах поиска Bing и DuckDuckGo.

Вектор A: Атака типа «SERP Injection» на Yahoo

Это, пожалуй, наиболее изящное с технической точки зрения атака «черной» SEO-оптимизации, которую мы зафиксировали в 2026 году. Она использует фундаментальный недостаток в алгоритме оценки авторитетности ссылок поисковой системой Bing — а именно, её неспособность отличить подлинные редакционные ссылки от динамически сгенерированных страниц результатов поиска с доверенных доменов.

Унаследованный от Yahoo показатель авторитетности (AS 24) передается через страницы мобильного поиска на фишинговые домены — Bing воспринимает этот сигнал как достоверный

Механизм — шаг за шагом

Шаг 1 — Формирование URL-адреса доверенного оператора. Злоумышленники создают URL-адреса на мобильных поисковых серверах Yahoo, расположенных в различных международных субдоменах: no.search.yahoo.com (Норвегия), fr.search.yahoo.com (Франция), mx.search.yahoo.com (Мексика), pl.search.yahoo.com (Польша), gr.search.yahoo.com (Греция), qc.search.yahoo.com (Квебек), chfr.search.yahoo.com (швейцарский французский), co.search.yahoo.com (Колумбия). На этих страницах указан унаследованный от Yahoo показатель авторитетности: 23–24.

Шаг 2 — Вставка фишинговой ссылки. Каждый URL содержит совершенно случайный, безобидный поисковый запрос — «pele+fifa», «Jean-Paul+Sartre», «Radio+Stars», «jucheck.exe» — но текст ссылки гласит: curvefi.co Curve Finance. Благодаря рандомизации запросов спам-фильтры не могут распознать в них повторяющиеся шаблоны.

Шаг 3 — Принудительное сканирование и индексация. Злоумышленники заставляют Bingbot сканировать эти URL-адреса с помощью сервисов массового пинга, вставки комментариев на форумах и в блогах, а также инструментов для автоматического запуска сканирования.

Необработанные данные SEMrush — curvefi.co

Жестокая ирония: На сайте есть ноль органические ключевые слова, ноль трафик в базе данных SEMrush — однако он появляется в результатах Bing/DDG по запросу «Curve Finance» благодаря авторитету, заимствованному у Yahoo.

Вектор B: Координированная сеть PBN

Именно здесь расследование приобретает по-настоящему тревожный оборот. Пять отдельных фишинговых сайтов — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at и keplr.me — все они имеют одну общую черту одинаковый набор источников обратных ссылок. Это не совпадение. Это единая организованная преступная группировка проведение нескольких фишинговых кампаний с использованием одной инфраструктуры.

Один оператор, 9 доноров PBN, 5 целей фишинговых атак — вероятность того, что это просто совпадение, составляет примерно 0,00001 %

«Неопровержимое доказательство» — Общая инфраструктура

Профили фишинговых доменов

«Статья-ферма» на базе искусственного интеллекта

В варианте aster-dex.at используется гибридный подход, сочетая использование метода «Yahoo injection» с контентом блогов, сгенерированным с помощью искусственного интеллекта, который размещался на взломанных или специально созданных сайтах во Вьетнаме, Италии, Индонезии и Швейцарии.

Статьи, сгенерированные искусственным интеллектом на взломанных сайтах — одинаковые заголовки, разные домены, все со ссылками на один и тот же фишинговый сайт

Все статьи в блоге имеют практически одинаковые названия: «Почему обмен токенами и пулы ликвидности по-прежнему ставят в тупик даже опытных трейдеров на децентрализованных биржах», «Почему автоматизированные маркет-мейкеры по-прежнему удивляют трейдеров». Это Статьи, созданные с помощью искусственного интеллекта размещены на сайтах с кодами AS 21–36, все из которых содержат ссылки на aster-dex.at.

Проникновение спама в комментариях

keplr.me использует совершенно иной подход — чистый спам в комментариях на не связанных с темой сайтах с высоким авторитетом. Под вымышленными именами пользователей, такими как «ZackaryThymn», «Fritzkah», «Jamesboach», на сайтах, посвящённых философии и образованию, размещаются ссылки на криптовалютные кошельки (filozofija.edu.rs, AS 45), платформы для повышения вовлечённости сотрудников (bavave.com, AS 63) и фестивали искусств (lea-festival.com, AS 50).

Легальные сайты, на которых, сами того не подозревая, размещаются фишинговые ссылки — скрытые среди выглядящих вполне обычными комментариев пользователей

Дно бочки: спам с предложениями автоматизированных инструментов

bscscan.cfd использует самый примитивный из возможных методов: покупку пакетов массовых обратных ссылок с сайтов, названия которых буквально звучат как rankongoogle.agency и linksjump.click. У всех источников показатель AS равен 0. Домен верхнего уровня .cfd является известным индикатором спама. Однако в Bing даже это частично срабатывает — количество некачественных ссылок может влиять на позиции в рейтинге совершенно новых доменов, не имеющих негативной истории.

«1000 обратных ссылок за 9,99 долларов» — самые дешёвые мошеннические инструменты для SEO до сих пор частично работают в Bing

Почему именно Bing и DuckDuckGo уязвимы

Многоуровневая система защиты от спама Google против менее отлаженной системы обнаружения Bing — разрыв, которым пользуются мошенники

Стратегия таргетинга по ключевым словам

Профили ключевых слов показывают, что хирургическая точность при выборе целевых запросов. Операторы нацеливаются не только на основные брендовые запросы, но и на типосквоты («кошелек раввина», «кошелек Рубби», «dexscrenner») и даже запросы на китайском языке («Биржа Aster» (25-е место в рейтинге).

Многоязычный охват: английский, французский, китайский, вьетнамский — деятельность компании охватывает несколько континентов

Исторический контекст: проблема с Trust Wallet и DuckDuckGo

Даже после того, как Trust Wallet отказался от использования DDG в качестве поисковой системы по умолчанию, эта уязвимость по-прежнему существует. Любой пользователь, который вручную выбирает DuckDuckGo ради конфиденциальности — эта демографическая группа, которая в значительной степени пересекается с пользователями криптовалют, — и сегодня по-прежнему подвергается именно таким атакам. Мошеннические операции, описанные в данном отчете, используют различные варианты этой методики уже в течение несколько лет, приспосабливаясь по мере того, как поисковые системы постепенно устраняют отдельные уязвимости.

Как защитить себя

• НИКОГДА подключите свой кошелек из результатов поиска
• Добавить в закладки напрямую на официальные сайты
• Используйте DDG !bang ярлык: !g curve finance запускает поиск в Google
• Установите расширение MetaMask для обнаружения фишинга
• Проверить любой домен можно на сайте PhishDestroy перед подключением

Рекомендации для Microsoft/Bing

1. Динамическое определение страниц: Классифицировать страницы результатов поиска (Yahoo, Baidu, Google) и исключить ссылочный вес из исходящих ссылок
2. Координированное обнаружение PBN: Если 9 доменов ссылаются на 5 разных сайтов по одинаковой схеме, пометить это как манипуляцию
3. Уровень имитации бренда: Обнаружение атак с подстановкой доменов верхнего уровня (dexscreener.at ≈ dexscreener.com)
4. Мониторинг домена .AT: Усиленный контроль за вновь зарегистрированными доменами .at в результатах поиска по криптовалютам
5. Краткое руководство по DuckDuckGo: Создать специальный API для удаления спама, к которому DDG сможет получить прямой доступ

Доказательства находятся в открытом доступе. Домены зафиксированы. Жертвы существуют на самом деле. Решение проблемы находится в руках Microsoft.

Один оператор. 26 фишинговых ссылок в Bing. Стоимость: 2 доллара за домен.

Один оператор, 26 доменов, один регистратор

Мы провели запросы RDAP по всем 26 фишинговым доменам. Каждый из них указал на одного и того же регистратора: NiceNIC International Group Co., Limited. Не «большинство». Не «большая часть». Все 23 записи из 23 успешно обработаны — один и тот же регистратор, у которого до проверки было зафиксировано 3 ошибки, связанные с ограничением скорости (их инфраструктурные схемы совпадают).

Проверено 23 из 23. Один и тот же регистратор. Один и тот же клиент. Никаких мер в связи со злоупотреблениями.

Регистрационные данные RDAP — Документы, подтверждающие пакетную регистрацию

«Руководство за 2 доллара» — пошаговая инструкция

Забудьте о сложных методах SEO. Забудьте о многомесячной работе по продвижению ссылок. Перед вами полная и проверенная последовательность действий, которая гарантирует первое место в результатах поиска Bing.

Четыре шага, 2 доллара — и Bing выводит фишинговый сайт на первое место

Шаг 1: Реестр «Typosquat»

Шаг 2: Скопируйте тег title ($0, 5 минут)

Оператор копирует точно <title> тег и метаописание с сайта реального проекта. Это самый важный шаг. Сама по себе эта страница — средство для обмана пользователей с целью выманивания средств из кошельков или кражи сед-фраз, но <title> именно это и учитывает Bing при ранжировании.

Шаг 3: Размещение в скрытой PBN-сети (0 долларов, 1 минута)

Оператор посещает любой из 15 объектов PBN (bye.fyi, atomizelink.icu, и т. д.), вводит домен в поле с надписью «Введите URL» и нажимает кнопку «Сократить». Одно нажатие кнопки создает страницу одновременно на всех 15 сайтах — они используют одну базу данных.

Шаг 4: Ожидание (2–8 недель, 0 долларов)

Разбивка общей стоимости

Внутри механизма маскировки

Мы получили и проанализировали фактический исходный код HTML из сети PBN. На каждой странице каждого домена используется один и тот же механизм маскировки.

Что видят пользователи и что видит Bingbot — z-index: 1000000 За этой стеной скрывается 3 500 ссылок

Структура страницы: 400 КБ HTML, более 3 500 ссылок, 4 уровня

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Доказательство: одна сеть, одна база данных

orbit-protocol-lending.net встречается на нескольких доменах PBN с последовательные идентификаторы из одной и той же базы данных:

Одна база данных. 15 доменных имен. На всех экранах отображается одинаковое содержимое из одного и того же бэкенда.

Одинаковые идентификаторы для разных «брендов» = один бэкенд, один оператор. 15 доменов. Один и тот же HTML-шаблон. Один и тот же CSS (style.css). Тот же JavaScript (work.js). Те же страницы по 3 500 ссылок.

Вторая сеть PBN — сеть для проверки доменов

Отдельная, более активная сеть ссылок обеспечивает обратные ссылки с атрибутом dofollow на выбранные целевые ресурсы. Главный сервер: all-aged-domains.com — установка WordPress версии 6.6.2, обслуживающая CSS, JS и шаблоны для 50–80 дочерних доменов.

Почему Bing попадается на эту уловку

Бронированный робот от Google блокирует фишинг у входа. А приветливый швейцар от Bing держит дверь открытой.

Уязвимость «Title-Match»

app.thnuster.cc имеет ровно ОДНУ обратную ссылку — кэшированную страницу результатов поиска Yahoo. Сайт занимает 1-е место в Bing по запросу «Thruster Finance». Это доказывает, что ранжирование Bing по брендовым запросам с низкой конкуренцией основывается в первую очередь на:

1. Тег title с точным совпадением по поисковому запросу
2. Домен проиндексирован (достаточно любого сигнала — даже одной ссылки с атрибутом nofollow)
3. Отсутствие негативных сигналов, вызывающих недоверие (домен новый, с чистой историей)

Google требует наличия весомых сигналов авторитетности и проводит перекрёстную проверку по известным доменам брендов. Bing этого не делает.

Результаты поиска Bing № 1 (проверено с помощью SerpAPI, апрель 2026 г.)

Обновлённый список средств защиты (бренды, часть II)

Рекомендации (Часть II)

В адрес Microsoft/Bing:

1. Сам по себе титульный матч ещё не означает авторитет. Соответствующий заголовок не должен обеспечивать новому домену первое место в рейтинге по запросам, связанным с брендом. Необходимо учитывать возраст домена, авторитет обратных ссылок или сигналы подтверждения бренда.
2. Обнаружение маскировки на основе CSS. Страницы, на которых используются наложения с атрибутом z-index, скрывающие контент от пользователей, но отображающие его для поисковых роботов, должны быть отмечены.
3. Обнаружение скоординированных сетей PBN. 15 доменов, использующих один бэкенд и ссылающихся на одни и те же целевые страницы, — это не органическое продвижение сайта с помощью ссылок.
4. Отмечать домены, зарегистрированные через NiceNIC, в результатах поиска по криптовалютам для более тщательной проверки.
5. Создать ускоренную процедуру обработки спама в DuckDuckGo. DDG унаследовал все уязвимости Bing, но не имеет собственного механизма подачи жалоб на спам.

Компании «NiceNIC International Group Co., Limited»:

В адрес Cloudflare:

Все 26 доменов используют DNS и прокси-серверы Cloudflare. Эти домены обслуживают программы, похищающие средства из кошельков, и программы, собирающие сед-фразы, за счет инфраструктуры Cloudflare.