Раскрыта фишинговая схема с использованием кошелька Trust Wallet: похищено 239 тысяч долларов, установлены личности шестерых организаторов
tttadmin.com · Мошенничество в чате · IDOR · 14 месяцев активности · Март 2026
Резюме
В данном расследовании приводятся Панель TrustWallet — сложная фишинговая операция, в ходе которой злоумышленники выдавали себя за Trust Wallet, используя домен бэкэнда tttadmin.com. Выдвижение в качестве кандидата на 14 месяцев (январь 2025 г. — февраль 2026 г.) в ходе этой операции злоумышленники обращались к пользователям криптовалют через поддельный чат службы поддержки, выманивая у них семенные фразы и требуя пополнения счетов под ложным предлогом «соблюдения требований OFAC» и «замены активов». Все 1 900 переписок с жертвами были получены благодаря уязвимости IDOR. Личность главного организатора операции установлена.
Как работает мошенническая схема: последовательность действий злоумышленников
Эта операция осуществляется в соответствии с тщательно разработанной 5-этапной схемой, направленной на извлечение максимальной выгоды из каждой жертвы:
Финансовый ущерб: крупнейшие подтвержденные убытки
| Идентификатор чата | Сумма | Актив | Контекст |
|---|---|---|---|
| #1795 | 197 000 USDT | TRON (TRC-20) | Взято у бывшей жены |
| #481 | ~45,77 ETH | Эфириум | Несколько депозитов |
| #965 | Около 16 000 USDT | USDT | Последовательные вклады |
| #720 | Восемь тысяч USDT | Tronc-20 | Однодневный трансфер |
| #1090 | 5 839 USDT | USDT | Мать-одиночка, подтвержденная утрата |
| #1430 | ~3 686 USDT | USDT | Два отдельных месторождения |
| #92 | 3 340,23 USDT | USDT | Подтверждена точная сумма |
| #1089 | 0,3201 BTC | Биткойн | С аппаратного кошелька Ledger |
Фактический ущерб, вероятно, гораздо выше
Это непроверенные данные, взятые из логов чатов. Многие жертвы никогда не сообщали о суммах. Из-за частой смены кошельков подсчитать общие суммы в цепочке блоков невозможно без полного отслеживания всей цепочки.
Идентификация оператора
Основной оператор: Василий Навроцкий
| Параметры | Значение |
|---|---|
| Полное имя | Василий Навроцкий (Василий Навроцкий) |
| Идентификатор Telegram | 6005741623 |
| Текущий дескриптор | @Addmeks |
| История имен пользователей | @Slo221, @Li_Sin_main, @Handert, @Surr2201, @surr2204 |
| Период действия | Июль 2023 г. – май 2025 г. |
| Отслеживаемые сообщения | 249 в 61 группе Telegram |
| Ключевые группы | Binance RU (34), P2P LAB (9), Trust Wallet RU (6) |
Участники группы, упомянутые в логах чата
Методы социальной инженерии
| Тактика | Сообщения | Описание |
|---|---|---|
| Попытка выдать себя за Trust Wallet | 1,905 | Выдавая себя за официальную службу поддержки Trust Wallet |
| Заявки на блокировку/заморозку кошелька | 360 | Сообщение о блокировке кошелька из-за «подозрительной активности» |
| Предложения по замене активов | 305 | Обещание «возместить» замороженные средства после внесения депозита |
| Угрозы введения санкций со стороны OFAC | 210 | Ложные заявления о санкциях Министерства финансов США в отношении кошелька |
| Требования о внесении залога для разблокировки | 185 | Требование внесения депозита в криптовалюте для «разблокировки» кошелька |
| Поддельные предложения по стейкингу | 161 | Настраиваемые пулы стейкинга с индивидуальной годовой доходностью (APY) в панели администратора |
| Обвинения в рамках AML/CTF | 66 | Обвинение жертв в отмывании денег |
Ирония
Русскоязычные мошенники, нацеленные на русскоязычных жертв (51 % чатов на русском языке), угрожающие Санкции Управления по контролю за иностранными активами (OFAC) Министерства финансов США — механизм регулирования, не учитывающий географические особенности их аудитории. Социальная инженерия на основе шаблонов, а не понимание контекста.
Воронка взаимодействия с пострадавшими
Языки: Русский 51 % (3 013 сообщений) · Английский 40 % (2 995 сообщений) · Другие языки 9 % (365 сообщений)
Пик активности: Ноябрь 2025 г. (959 сообщений). Рабочие часы: 10:00–13:00 UTC, в выходные дни активность снижается на 40 %.
Анализ инфраструктуры
Архитектура основного домена: tttadmin.com
| Компонент | Подробнее |
|---|---|
| API жертвы | appp.tttadmin.com |
| Административная панель | core.tttadmin.com / app.tttadmin.com |
| Статическая CDN | static.tttadmin.com |
| Технологический стек | Java Spring Boot + Spring Security, JWT RS256 |
| База данных | PostgreSQL (JPA/Hibernate) |
| Фронтенд | React CRA + Material UI (восстановлено 339 исходных файлов) |
| Веб-сервер | nginx/1.18.0 (Ubuntu) |
Хостинговая инфраструктура
| IP | Местоположение | Поставщик | Роль |
|---|---|---|---|
45.144.30.6 | Москва, Россия | UFO Hosting (AS33993) | В первую очередь ориентированные на жертв |
2.56.178.117 | Москва, Россия | UFO Hosting (AS33993) | Начальный этап (январь–февраль 2025 г.) |
185.170.198.121 | Вильнюс, Литва | Hostinger (AS47583) | Фронтенд для фишинга |
69.10.62.71 | Нью-Йорк, США | Interserver (AS19318) | Ориентированный на жертву |
69.49.231.166 | Атланта, штат Джорджия | Сетевые решения | Текущие первичные серверы — все *.tttadmin.com |
94.131.121.154 | Москва, Россия | UFO Hosting (AS33993) | Фишинг |
146.185.239.62 | Мадрид, Испания | GTHost (AS63023) | Вторичный (казино + Next.js) |
Фишинговые домены (сменные)
trust-multichain.com
trust-multi.online
coinbridge.online
premium-trust.com
Критические уязвимости в системе безопасности
Инфраструктура мошеннической платформы была полна уязвимостей, благодаря которым извлечение всех данных не представляло никакой сложности:
11 Конечных точек API без аутентификации
Возможности панели администратора (анализ исходного кода)
Из открытых исходных карт производственной среды было восстановлено 339 исходных файлов (main.3924229a.js.map). В состав экспертной группы входят:
Обнаружена исследовательская деятельность третьих лиц
В чате № 1 обнаружен полезный груз обратного шелла
Было обнаружено, что полезные данные обратного шелла, закодированные в формате Base64, были внесены через неавторизованный /message/save конечная точка на 6 мая 2025 года — примерно за 10 месяцев до начала данного расследования. Это свидетельствует о том, что уязвимости были доступны для публичного использования в течение длительного времени, и другой исследователь обнаружил их задолго до нас.
Хронология операции
Рекомендации для пользователей
- Никогда не передавайте фразу из семян через чат, электронную почту или любой другой канал поддержки — Trust Wallet никогда не будет запрашивать эти данные
- Проверить контактные данные службы поддержки исключительно через официальные каналы Trust Wallet
- Выявление угроз, связанных с OFAC и AML в качестве типичных предлогов для мошенничества — легальные сервисы не блокируют кошельки через чат
- Сообщить о фишинговых доменах команде безопасности Trust Wallet и PhishDestroy
- Используйте аппаратные кошельки для подписи при снятии средств с целью предотвращения несанкционированных переводов
- Проверить состояние кошелька через историю транзакций блокчейна, а не через какой-либо интерфейс «поддержки»
Полный технический отчет с записями чата
Полные данные расследования, включая все стенограммы чатов, адреса кошельков, анализ операторов и интерактивные визуализации
Просмотреть полный отчет на GitHub →Просмотреть все 1 900 стенограмм чатов →
