การหลอกลวงทำลายเบื้องหลังการสืบสวน — แรงจูงใจ เป้าหมาย และวิธีการ
เราไม่ได้รับค่าตอบแทน เราต้องเผชิญกับผลกระทบที่แท้จริงจากอาชญากรที่ถูกกดดันจนมุมซึ่งมีเงินทุน充裕 หน้าหน้านี้จะอธิบายเหตุผลที่เราเลือกต่อสู้ในประเด็นนี้ สิ่งที่เราพยายามพิสูจน์ และวิธีการที่เราออกแบบการสืบสวนนี้
ความเป็นอิสระและความสามารถ
เราดำเนินงานอย่างอิสระ ไม่มีผู้สนับสนุนจากองค์กร ไม่มีการรับทุนอุดหนุน และไม่มีแรงจูงใจทางการเงินที่ต้องอาศัย การเป็นอิสระนี้ทำให้เราสามารถมุ่งเน้นเป้าหมายที่บริษัทด้านความปลอดภัยแบบดั้งเดิมหลีกเลี่ยง เนื่องจากความรับผิดทางกฎหมายหรือความขัดแย้งทางผลประโยชน์ ปิดกั้นโดเมนฟิชชิงมากกว่า 130,000 โดเมน ประสบการณ์ปฏิบัติการเชิงรุกมาหลายปี เราเข้าใจโครงสร้างพื้นฐานของมิจฉาชีพ พฤติกรรมของผู้ดำเนินการภายใต้แรงกดดัน การจัดการรายงานการละเมิดแพลตฟอร์ม และกลไกของแคมเปญการปิดกั้น
การสอบสวนถูกกระตุ้นอย่างไร
ผู้ดำเนินการ ("Nathalie Roy") ได้รับการแจ้งเตือนโดยตรง: ห้ามโกหก ห้ามยกระดับสถานการณ์ เธอมีโอกาสมากมายที่จะดำเนินการแก้ไขอย่างเงียบๆ — ลบปัญหา (issues) สองรายการบน GitHub แล้วจบเรื่อง หากไม่มีเหยื่อร้องเรียน เรื่องราวคงจะยุติลงตรงนั้น แต่เธอกลับเลือกที่จะข่มขู่ โกหก และดึงผู้ให้บริการจดทะเบียนโดเมน (registrar) เข้ามาเกี่ยวข้อง จากนั้น NameSilo ได้ทวีตข้อความซึ่งประกอบด้วย 4 ข้อเท็จจริงที่ตรวจสอบความเท็จได้อย่างอิสระ โดยปกป้อง drainer ที่ถูก VirusTotal แจ้งเตือนต่อหน้าผู้ติดตาม 11,000 คน ความผิดพลาดเชิงยุทธวิธีดังกล่าวได้จุดชนวนให้เกิดปฏิบัติการนิติวิทยาศาสตร์เต็มรูปแบบ
เป้าหมายของเราอยู่ในชื่อของเรา: PhishDestroy NameSilo เลือกที่จะเป็นส่วนหนึ่งของปฏิบัติการฟิชชิ่ง — ผ่านการปกป้องมัน การเผยแพร่ข้อความเท็จ และการปิดกั้นหลักฐาน การตอบสนองเป็นไปตามขั้นตอน: บันทึกหลักฐานการปกป้อง ปิดกั้นการหลอกลวง และส่งต่อให้หน่วยงานบังคับใช้กฎหมาย
นักวิจัยของเราคนหนึ่งกำลังเขียน งานวิจัยด้านนิติวิทยาศาสตร์เกี่ยวกับอาชญาวิทยาการฉ้อโกงออนไลน์การสืบสวนนี้เป็นกรณีศึกษาหลัก บทความนี้พัฒนาวิธีการสืบสวนการโจรกรรม คริปโตเคอร์เรนซีที่ไม่สามารถติดตามได้ (Monero) — ซึ่งการวิเคราะห์บล็อกเชนแบบดั้งเดิมเป็นไปไม่ได้
Monero ไม่มีบัญชีแยกประเภทสาธารณะ คุณไม่สามารถพิสูจน์การโจรกรรมได้ผ่านการวิเคราะห์บล็อกเชน ไม่มี Etherscan ไม่มีร่องรอยธุรกรรม และไม่สามารถระบุตัวตนของกระเป๋าเงินได้ นี่คือเหตุผลที่ xmrwallet.com ยังคงดำรงอยู่มาได้ถึงทศวรรษหนึ่ง — เนื่องจากไม่มีใครสามารถประเมินความเสียหายได้โดยใช้เครื่องมือมาตรฐาน บทความนี้แสดงให้เห็นว่าเมื่อคุณไม่สามารถติดตามเส้นทางการเงินได้ คุณยังคงสามารถพิสูจน์ความผิดทางอาญาได้ผ่าน:
- การวิเคราะห์พฤติกรรมของหน่วยงานจดทะเบียน รูปแบบการตอบสนองต่อรายงานการละเมิดสิทธิ์ข้ามผู้จดทะเบียนโดเมนเนมหลายราย
- การระบุลายนิ้วมือของกลไกการปิดกั้น — รูปแบบการระงับการใช้งาน (takedown) ที่เหมือนกันระหว่างสองหน่วยงานที่ "ไม่เกี่ยวข้องกัน"
- การเชื่อมโยงบันทึกข้อมูลของแพลตฟอร์ม — บันทึก DMCA/GDPR, บันทึกการลบข้อมูลจาก Trustpilot, คำขอถอดดัชนีการค้นหา
- ประทับเวลาพฤติกรรม — ทุกการกระทำ ทุกคำสั่งระงับบัญชี และทุกการลบข้อมูล ล้วนมีลายพิมพ์ดิจิทัลที่สามารถจับคู่ได้
การสืบสวนครั้งนี้เป็นข้อพิสูจน์แนวคิด (Proof of Concept) ว่าวิธีการดังกล่าวสามารถทำงานได้จริง ทุกชิ้นของหลักฐานที่รวบรวมไว้ที่นี่ — รูปแบบการกดทับ พฤติกรรมที่เหมือนกัน การตอบสนองต่อ CAPTCHA และบันทึกที่บันทึกไว้ 21 ล้านรายการ — ถูกนำไปใช้โดยตรงในบทความวิจัย กรณีนี้จำเป็นต้องมีอยู่จริงเพื่อให้การวิจัยนี้มีอยู่จริง ความอวดดีของพวกเขาทำให้สิ่งนี้เป็นไปได้
ระเบียบวิธีปฏิบัติการและมาตรการตอบโต้
เราได้ทำนายทุกการกระทำที่พวกเขาจะดำเนินการ เราจงใจไม่โพสต์บนทวิตเตอร์ว่าเรารู้ว่าพวกเขาทำอะไรกับคนอย่างพวกเรา — เพราะ พวกเขาหยิ่งผยองจนไม่ตระหนักว่าไม่ได้กำลังกดขี่เราอยู่เลย แต่กลับทำทุกอย่างตามที่เราต้องการ
เส้นทางขนาน ดำเนินการพร้อมกัน:
เราล่อเหยื่อพวกเขาหรือไม่? ไม่ เราทำสิ่งที่เราทำอยู่เสมอ — รายงานการละเมิด เผยแพร่ผลการค้นพบ และบันทึกการตอบสนอง พวกเขาเลือกที่จะปิดข่าว เราเพียงแต่รู้ดีว่าพวกเขาจะทำเช่นนั้น และเราก็กำลังบันทึกภาพไว้
เราได้ส่ง ข้อร้องเรียนการละเมิดอย่างเป็นทางการ 11-12 รายการ ไปยัง NameSilo — ไม่ใช่เพื่อหลอกลวงพวกเขา แต่เพื่อทดสอบสมมติฐานของเรา หาก NameSilo เป็นอิสระจากผู้ดำเนินการอย่างแท้จริง พวกเขาจะดำเนินการตรวจสอบเว็บไซต์ที่ถูก VirusTotal แจ้งเตือน ซึ่งมีผู้เสียหายที่ได้รับการบันทึกไว้เป็นหลักฐาน และยังมีอีเมลของผู้ดำเนินการเองที่ยอมรับการควบคุม พวกเขาเพิกเฉยต่อทุกข้อ ผู้ให้บริการจดทะเบียนโดเมนรายอื่นที่เราทดสอบทั้งหมดต่างดำเนินการจัดการ
การติดตามการกระจายและการปิดกั้นข้ามหลายแพลตฟอร์ม
เราได้เผยแพร่ข้อมูลเมื่อวันที่ หลายแพลตฟอร์มอย่างจงใจ. Medium, dev.to และเว็บไซต์ของเราเอง ไม่ใช่เพราะเราไม่สามารถรวมทุกอย่างไว้ในที่เดียวได้ แต่เป็นเพราะ เราจำเป็นต้องให้พวกเขาปิดกั้นเนื้อหาบนแต่ละแพลตฟอร์มแยกกันทุกการดำเนินการระงับการแจ้งเตือนจะถูกบันทึกโดยแพลตฟอร์มปลายทาง ซึ่งรวมถึงตัวตนของผู้ขอ IP Address เวลา และวิธีการที่ใช้ บันทึกข้อมูลทั้งหมดของแพลตฟอร์มสามารถเข้าถึงได้โดยหน่วยงานบังคับใช้กฎหมายผ่านกระบวนการทางกฎหมายมาตรฐาน
บทความระดับกลาง — ได้รับเสียงปรบมือ 304 ครั้ง มีคอมเมนต์ 15 รายการ ใช้เวลาอ่าน 19 นาที เป็นหนึ่งในหลายแพลตฟอร์มที่เราเลือกเผยแพร่โดยเจตนา
โทเคนล่อ (Honeytokens) และเหยื่อล่อเพื่อปิดกั้นการแจ้งเตือน
เราไม่ได้ "ล่อ" พวกเขา เราทำในสิ่งที่นักวิจัยด้านต่อต้านการหลอกลวง (Anti-Phishing) ทุกคนทำ นั่นคือ เผยแพร่ผลการค้นพบ รายงานการละเมิด และบันทึกการตอบสนอง พวกเขาเลือกที่จะปิดกั้นแทนที่จะตอบโต้ เราคาดการณ์ไว้ว่าพวกเขาจะดำเนินการเช่นนั้น เนื่องจากเป็นรูปแบบพฤติกรรมของทุกกลุ่มผู้ปฏิบัติการที่เราได้ศึกษาไว้ ความแตกต่างในครั้งนี้คือ มีผู้เฝ้าสังเกตและบันทึกเหตุการณ์ไว้
เรามี ไม่มีความสนใจในการใส่ร้ายป้ายสี NameSiloเราไม่สนใจราคาหุ้นของพวกเขา เราทวีตเพียงครั้งเดียวเพื่อจับปฏิกิริยา และเราก็ทำได้: นักลงทุนรายหนึ่งของพวกเขาพยายามเปิดเผยข้อมูลส่วนตัว (doxx) ของนักวิจัย จากนั้นจึงลบทวีตเหล่านั้นออกไป NameSilo ตอบกลับด้วยข้อความตอบกลับแบบเดิมๆ ที่พิสูจน์ให้เห็นถึงพฤติกรรมที่ล้าสมัยและคาดเดาได้ ซึ่งคล้ายคลึงกับตัวผู้ดำเนินการ เป้าหมายของเราอยู่ในชื่อของเรา: PhishDestroy เราทำลายการโจมตีแบบฟิชชิ่ง จบแล้ว
เราต้องยอมสละบัญชี Twitter ของเรา — ทวีตมากกว่า 200,000 รายการ และหลักฐานที่สะสมมานานหลายปี — เนื่องจากกระบวนการสืบสวนจำเป็นต้องดำเนินการเช่นนั้น เราหวังว่ากระบวนการนี้จะช่วยกู้คืนทุกสิ่งที่ถูกปิดกั้น เพราะทวีตที่ถูกลบทุกข้อความ ลิงก์ที่ถูกถอดออกทุกตัว และบทความที่ถูกถอดออกจากดัชนีทุกชิ้น ล้วนเป็นหลักฐานที่ต้องได้รับการตรวจสอบ ทุกแพลตฟอร์มที่พวกเขาใช้ปิดกั้นเราต่างเก็บข้อมูลบันทึกไว้ ตลอดทศวรรษที่ผ่านมา พวกเขาประสบความสำเร็จในการลบข้อมูลเชิงลบทั้งหมดออกจากผลการค้นหา — การวิเคราะห์ SEO ของเราพิสูจน์ข้อเท็จจริงนี้ พวกเขาเหลือไว้เฉพาะสิ่งที่เอื้อประโยชน์ต่อตนเองเท่านั้น
เราได้เผยแพร่ บทความสองเรื่องบน Mediumบทความที่ 1 กล่าวถึงเฉพาะ xmrwallet โดยไม่ได้กล่าวถึง NameSilo เลย ส่วนบทความที่ 2 นั้นมุ่งเน้นการปรับแต่ง SEO โดยเฉพาะสำหรับ NameSilo ทั้งสองรายการถูกถอดออกจากดัชนี บนเว็บไซต์ของเราเอง — ก็เป็นแบบเดียวกัน: มีเนื้อหาเกี่ยวกับ xmrwallet เท่านั้น และเนื้อหาเกี่ยวกับ NameSilo โดยเฉพาะ มีลิงก์มากกว่า 20 ลิงก์ต่อคีย์เวิร์ด และทั้งหมดถูกกดทับ (suppressed) หาก NameSilo และผู้ดำเนินการไม่มีความเกี่ยวข้องกัน — ใครคือผู้ทำความสะอาดผลการค้นหาของ NameSilo? ผู้ดำเนินการกำลังทำความสะอาดชื่อเสียงของ registrar ของตัวเองหรือ? นั่นไม่ใช่ลักษณะการทำงานของเอนทิตีที่ไม่มีความเกี่ยวข้องกัน
ทุกการวิเคราะห์ที่เราเผยแพร่มาตลอดนั้นล้วนมีคำเตือนเกี่ยวกับผู้จดทะเบียนโดเมน (registrar) และความจริงเกี่ยวกับพฤติกรรมของพวกเขา พวกเขาไม่พอใจกับสิ่งนั้น แต่สิ่งที่พวกเขาเห็นว่าเป็น "การต่อสู้" — ระหว่างโพสต์ของเราและการยื่นคำร้องขอระงับเนื้อหา (takedown) ของพวกเขา — ไม่เคยเป็นเพียงการต่อสู้ แต่เป็นปฏิบัติการที่ถูกวางแผนไว้ แต่ละการวางตำแหน่งถูกออกแบบมาด้วยวัตถุประสงค์เดียว: เพื่อให้พวกเขาสร้างหลักฐานที่ขัดแย้งกับตัวเอง พวกเขาเชื่อว่ากำลังตอบสนองต่อการโจมตี แต่แท้จริงแล้วพวกเขากำลังตอบสนองกับเหยื่อล่อ ทุกคำขอเพิกถอน ทุกการถอดดัชนี ทุกคำสั่ง DMCA — หลักฐานที่พวกเขาสร้างขึ้นเพื่อใช้ปรักปรำตนเอง
Monero เป็นสกุลเงินดิจิทัลที่ไม่สามารถติดตามได้ ไม่มีร่องรอยบนบล็อกเชน วิธีการสืบสวนแบบดั้งเดิมไม่สามารถนำมาใช้ได้ในบริบทนี้ ดังนั้นเราจึงปรับกลยุทธ์: หากเราไม่สามารถติดตามเส้นทางการเงินได้ เราจะติดตามพฤติกรรมแทน เราจงใจตกเป็นเป้าเพื่อให้พวกเขาแสดงรูปแบบการปฏิบัติการออกมา นักล่าไม่ไล่ล่าเหยื่อที่ตามรอยไม่ได้ไปทั่วป่า แต่จะวางกับดักแล้วรอคอย และพวกเขาก็เดินเข้าไปติดกับดักทุกจุด
โครงสร้างพื้นฐานแบบกระจายศูนย์และการลดความเสี่ยง
เนื่องจากเราไม่ใช่คนเดียวกัน นักวิจัย 4 คนขึ้นไป ได้ดำเนินการสืบสวนในคดีนี้ ผู้เสียหายได้มีส่วนร่วมในการให้ข้อมูล หน่วยงานบังคับใช้กฎหมายในหลายประเทศได้รับการแจ้งข้อมูลแล้ว หลักฐานถูกจัดเก็บบน IPFS ซึ่งมีความคงทนถาวรและกระจายศูนย์ พร้อมระบบตรวจสอบอัตโนมัติ หากมีมิเรอร์ใดหยุดทำงาน ระบบจะติดตั้งมิเรอร์ใหม่ขึ้นโดยอัตโนมัติ
พวกเขาเชื่อว่า การลบลิงก์จะทำให้หลักฐานหายไป ไม่ใช่ มันสร้างหลักฐานเพิ่มมากขึ้น การลบทุกครั้งถูกบันทึกไว้ในบันทึกเหตุการณ์ (Log) ทุกความพยายามในการปิดกั้นหรือลบข้อมูลคือหลักฐานอีกชิ้นหนึ่งในแฟ้มคดี
การเผยแพร่บน dev.to — โพสต์ข้ามแพลตฟอร์มเพื่อสร้างบันทึกการกดทับหลายรายการบนแพลตฟอร์มต่างๆ
การประเมินภัยคุกคามจากผู้ปฏิบัติการ
ผู้ดำเนินการได้ส่งอีเมลถึงเรา: ฉันว่าจ้างทนายความและนักสืบเอกชน ไม่มีทนายความปรากฏตัว ไม่มีนักสืบเอกชนปรากฏตัว สิ่งที่เกิดขึ้นจริงคือ คำสั่งระงับเนื้อหาตาม DMCA การรายงานเนื้อหาเป็นจำนวนมาก การโจมตีแบบ DDoS จาก njal.la (ตัวแทนจำหน่ายของ NameSilo) และการบิดเบือนข้อมูลบน Trustpilot อย่างมีแผนการ ทุกภัยคุกคาม ทุกการกระทำ ทุกข้อมูลเวลา — ถูกบันทึกไว้เป็นลายลักษณ์อักษร
Google Search Console — โดเมนทั้งหมดที่คุณเห็นที่นี่ถูกสร้างขึ้นด้วยวัตถุประสงค์เดียว: เพื่อให้ถูกปิดกั้น และพวกมันก็ได้ถูกปิดกั้นจริง ทุกโดเมนไม่มีข้อยกเว้น
ดูภาพหน้าจอตัวนั้น ทุกซับโดเมนของ Azure ทุก URL ของบทความ — เราสร้างสิ่งเหล่านี้ขึ้นโดยเฉพาะเพื่อให้มีการรายงานและนำออก เหตุใดจึงต้องสร้างสำเนาของเนื้อหาเดียวกันไว้บนแพลตฟอร์มที่แตกต่างกันถึงสิบสองแห่ง? เพราะเราจำเป็นต้องยื่นคำขอให้ลบเนื้อหาแยกกันถึงสิบสองครั้ง แพลตฟอร์มแต่ละแห่งจะบันทึกคำขอแต่ละครั้งไว้ โดยบันทึกข้อมูลจะระบุตัวตนของผู้ยื่นคำขอ ที่อยู่ IP เวลา และวิธีการที่ใช้ บันทึกการแจ้งลบตาม DMCA และ GDPR ถูกเก็บรักษาไว้โดยแพลตฟอร์มเป็นระยะเวลานานหลายปี
พวกเขาไม่ได้คิดวิเคราะห์ เมื่อพบเนื้อหาเชิงลบ พวกเขาจึงกดปุ่ม "รายงาน" ทั้งในกรณีของ NameSilo และ xmrwallet รูปแบบเดียวกัน ความเร็วเดียวกัน แพลตฟอร์มเดียวกัน พวกเขาไม่เคยหยุดคิดถามว่า เหตุใด PhishDestroy จึงสร้างลิงก์ใหม่อยู่ตลอดเวลา เหตุใด "อาสาสมัครบ้าคลั่ง" จึงยังคงสร้างมิเรอร์ซ้ำแล้วซ้ำเล่า ทั้งที่มิเรอร์เหล่านั้นถูกสั่งระงับอยู่ตลอดเวลา? เพราะการระงับแต่ละครั้งคือหลักฐานชิ้นหนึ่ง การยื่นคำร้อง DMCA แต่ละฉบับคือลายนิ้วมือทางนิติวิทยาศาสตร์ และเมื่อเจ้าหน้าที่สืบสวนออกหมายเรียกข้อมูลจาก Google, Bing, Twitter, Trustpilot และ Medium — รูปแบบของทั้งสองเอนทิตีจะเหมือนกัน ผู้ร้องขอรายเดิม วิธีการเดิม ระยะเวลาเดิม นี่ไม่ใช่บริษัทที่ไม่เกี่ยวข้องกันสองแห่ง แต่เป็นปฏิบัติการเดียว
เราได้สืบสวนปฏิบัติการหลอกลวงหลายร้อยครั้ง ไม่มีตัวใดมีลักษณะเช่นนี้ ผู้ดำเนินการฟิชชิงส่วนใหญ่จะหยุดดำเนินการ ซ่อนตัว หรือเงียบหายไปเมื่อถูกเปิดเผย แต่กลุ่มนี้กลับทำในทางตรงกันข้าม:
- A ผู้ให้บริการจดทะเบียนโดเมนที่ได้รับใบอนุญาตจาก ICANN ของสหรัฐอเมริกา ปกป้องอย่างเปิดเผยต่อสาธารณะสำหรับสคริปต์ขโมยข้อมูล (drainer) ที่ถูก VirusTotal ตรวจจับ
- ผู้ดำเนินการได้แสดง ไม่มีความกลัวใด ๆ ต่อผู้ให้บริการจดทะเบียนโดเมน (registrar) ของตนเอง — ได้เชิญชวนให้เราออกหมายเรียก
- 10 ปี การดำเนินงานอย่างต่อเนื่องภายใต้ผู้จดทะเบียนและโครงสร้างพื้นฐานเดียวกัน
- การขโมยที่ประเมินไว้ว่าเกิน 100 ล้านดอลลาร์สหรัฐ ไม่ใช่ปลาตัวเล็ก ไม่ใช่ปฏิบัติการที่ทิ้งได้
- การปิดกั้นอย่างมืออาชีพ เนื้อหาเชิงลบทั้งหมดในผลการค้นหา สำหรับทั้งสองหน่วยงาน — ไม่ใช่แค่รีวิว ไม่ใช่แค่แพลตฟอร์มเดียว แต่คือทุกสิ่ง ทุกที่ ตลอดระยะเวลา 10 ปี
- เนื้อหาที่ ไม่ควรสามารถถูกปิดกั้นได้ ถูกปิดกั้น — ซึ่งต้องใช้เงินจำนวนมากหรือเส้นสายภายในแพลตฟอร์ม
นี่คือสิ่งที่ทำให้คดีนี้มีความน่าสนใจในเชิงนิติวิทยาศาสตร์ รูปแบบการกดทับ (suppression) ที่เหมือนกันในทั้ง NameSilo และ xmrwallet คือลายนิ้วมือดิจิทัลที่เราตั้งเป้าจะจับกุม เราไม่จำเป็นต้องพิสูจน์ความเชื่อมโยงผ่านอีเมลหรือธุรกรรมการชำระเงิน — เราพิสูจน์มันผ่านพฤติกรรม เราให้เป้าหมายแก่พวกเขา และพวกเขาลงมือทำลายเป้าหมายเหล่านั้นด้วยรูปแบบที่เหมือนกันอย่างสมบูรณ์สำหรับทั้งสองหน่วยงาน — แพลตฟอร์มเดียวกัน ความเร็วเดียวกัน และวิธีการเดียวกัน รูปแบบพฤติกรรมดังกล่าวคือหลักฐาน และนั่นคือสิ่งเดียวที่พวกเขาไม่สามารถลบได้ เนื่องจากข้อมูลดังกล่าวถูกบันทึกอยู่ในบันทึกการทำงานของระบบ (platform logs) ของทุกบริษัทที่พวกเขาได้แจ้งเรื่องเราไป
การปนเปื้อนฐานข้อมูลและการปนเปื้อนข้อมูลการติดตาม
เนื่องจาก เป้าหมายของเราคือการปกป้องผู้คน — และตราบใดที่ xmrwallet.com ยังเปิดให้บริการ ผู้คนก็ยังคงสูญเสียเงินอย่างต่อเนื่อง เราได้พัฒนาสคริปต์ Cloudflare Workers ที่ป้อนข้อมูลกระเป๋าเงินเข้าสู่โดเมน xmrwallet ทุกโดเมน (.com, .me, .cc, .biz, .net) อย่างต่อเนื่อง — ในช่องกรอกข้อมูลเดียวกันกับที่เหยื่อรายจริงป้อนคีย์จริงของตนเอง หากเป็นกระเป๋าเงินฝั่งไคลเอนต์ที่ถูกต้องตามกฎหมาย (ตามที่พวกเขาอ้าง) การดำเนินการนี้จะไม่ส่งผลกระทบใดๆ การป้อนวลีเมล็ด (Seed phrase) ในกระเป๋าเงินดิจิทัลที่ถูกต้องตามกฎหมายจะถูกประมวลผลภายในเครื่อง ไม่มีอะไรให้ "โจมตี"
แต่ xmrwallet.com ขโมยวลีเมล็ด (seed phrase) ทุกชุดที่ป้อนเข้าไป เราได้ดำเนินการปฏิบัติการวางข้อมูลพิษอย่างเป็นระบบ โดยฉีดข้อมูลหลอกลวงเชิงคริปโตกราฟิกจำนวน 21 ล้านรายการเพื่อ ทำให้ชุดข้อมูลที่ขโมยมาไม่สามารถนำไปใช้งานจริงได้ เราคงไม่หยุดยั้ง จนกว่าเว็บไซต์นั้นจะปิดตัวลง ไม่ว่าจะเพิ่ม hCaptcha, Cloudflare Turnstile หรือมาตรการอื่นใด เราก็จะยังคงดำเนินการกรอกข้อมูลกระเป๋าเงินและปกป้องผู้คนจากภัยคุกคามเหล่านั้น นั่นคือความหมายที่แท้จริงของชื่อเรา
กระเป๋าเงินของเราไม่ได้เพียงแต่อนุมัติแล้วจากไปเท่านั้น แต่ละเซสชัน พฤติกรรมของผู้ใช้ที่สมจริง — การคลิกที่ลิงก์ การนำทางข้ามหน้าเว็บ การรอช่วงเวลาแบบแปรผัน และการจำลองพฤติกรรมของผู้ใช้ประเภทต่าง ๆ (ผู้สำรวจ, ผู้ส่ง, ผู้ใช้ระดับสูง, ผู้เริ่มต้น, ผู้ระแวง) เราเข้าใจการทำงานของระบบวิเคราะห์ข้อมูล — และ xmrwallet.com ทำงาน Google Analytics, Google Tag Manager และพิกเซลติดตามของ Google ในกระเป๋าเงินแบบ "ไม่ระบุตัวตน" เซสชันของเราถูกออกแบบมาด้วยการสุ่มค่า (randomization) ที่แข็งแกร่ง เพื่อให้ผู้ดำเนินการ ไม่สามารถแยกแยะรายการของเราออกจากเหยื่อที่แท้จริงได้ ตามพฤติกรรมของเซสชัน เวลา หรือรูปแบบการนำทาง กระเป๋าเงินดิจิทัลที่ถูกขโมยทั้งหมดในบันทึกของพวกเขาถูกฝังอยู่ในกองฟางของเรา
หลังจากเครื่องมือของเราทำงานต่อเนื่องเป็นสัปดาห์ ผู้ปฏิบัติการได้เพิ่ม CAPTCHA — ซึ่งเป็นความท้าทายแบบ quadratic brute-force ที่หยาบและสามารถแก้ได้ภายในเวลาประมาณ 0.1 วินาทีโดยใช้ Python กระเป๋าเงินที่ถูกต้องตามกฎหมายไม่จำเป็นต้องใช้ CAPTCHA ในการป้อนวลีเมล็ด (seed phrase) Ledger ไม่มี Trezor ไม่มี MyMonero ไม่มี กระเป๋าเงินดิจิทัลที่ถูกต้องตามกฎหมายไม่มีเลย — เพราะกระเป๋าเงินที่ถูกต้องตามกฎหมายจะประมวลผล seed ในเครื่องเท่านั้น เหตุผลเดียวที่จะเพิ่ม CAPTCHA คือถ้าคุณ การรวบรวมและบันทึกข้อมูลอินพุตทั้งหมดบนฝั่งเซิร์ฟเวอร์CAPTCHA เองก็เป็นหลักฐานของกลไกการโจรกรรม
เราคาดหวังให้พวกเขาใช้โซลูชันที่แท้จริง เช่น hCaptcha, Cloudflare Turnstile หรือเครื่องมือที่มีประสิทธิภาพ แต่พวกเขาไม่ได้ทำเช่นนั้น พวกเขาใช้การโจมตีแบบ brute-force บนสมการกำลังสองที่แก้ได้ภายใน 0.1 วินาที สิ่งนี้บ่งบอกถึงระดับความสามารถทางเทคนิคของพวกเขาได้ทั้งหมด พวกเขาปกป้องสายการโจรกรรมข้อมูลของตนเอง ไม่ใช่ปกป้องผู้ใช้
xmrwallet.com: 4,743 เซสชัน · xmrwallet.me: 114,031 เซสชัน ตัวอย่างบันทึกจากการทำงานหนึ่งครั้ง เครื่องมือถูกเริ่มต้นใหม่และอัปเดตหลายครั้ง — เมื่อมีการลบหรือเปลี่ยนโดเมน หรือเมื่อมีการนำระบบ CAPTCHA มาใช้ บันทึกเหตุการณ์ (logs) ครบถ้วนจากทุกการรันมีปริมาณรวมประมาณ การเข้าถึงระบบสำเร็จ 21 ล้านครั้ง ครอบคลุมโดเมนทั้งหมดของ xmrwallet ช่วงเดือนกุมภาพันธ์ถึงเมษายน 2026 ชุดข้อมูลทั้งหมดพร้อมให้หน่วยงานบังคับใช้กฎหมายขอรับเมื่อต้องการ
5.4 RPS รวมทั้งหมดในทุกการกระทำ — แต่ การอนุญาตสูงสุด 1 ครั้งต่อช่วง 7-10 วินาที สำหรับกระเป๋าเงินที่ทำงานบนฝั่งไคลเอนต์ นี่ไม่ใช่ปัญหาใช่ไหม? เว้นแต่จะทำงานบนฝั่งเซิร์ฟเวอร์ เว้นแต่พวกเขาจะบันทึกทุกอินพุต เว้นแต่พวกเขาจะขโมยทุกอย่างและเขียนบันทึกเต็มรูปแบบ ซึ่งนั่นคือสิ่งที่พวกเขาทำอยู่พอดี
นี่คือการโจมตีหรือไม่ ไม่ เราป้อนข้อมูลลงในแบบฟอร์มเว็บสาธารณะเท่านั้น เราไม่ได้หลบเลี่ยงการยืนยันตัวตน ไม่ได้ใช้ประโยชน์จากช่องโหว่ และไม่ได้เข้าถึงระบบใดที่เราไม่มีสิทธิ์เข้าถึง เราใช้งานเว็บไซต์ตามวัตถุประสงค์ที่กำหนดไว้ — ในฐานะ "กระเป๋าเงิน" หากเว็บไซต์ทำงานตามที่โฆษณา (เฉพาะฝั่งไคลเอนต์) ข้อมูลที่เราป้อนจะไร้ความหมาย หากข้อมูลที่เราป้อนมีความสำคัญต่อพวกเขา — นั่นพิสูจน์ได้ว่ากลไกการขโมยข้อมูลมีอยู่จริง
เราได้แจ้ง DDoS-Guard (ผู้ให้บริการโฮสติ้ง) อย่างเป็นทางการเกี่ยวกับลักษณะของกิจกรรมของเรา อธิบายกลไกการรวบรวม seed phrase และให้ที่อยู่ IP ของเซิร์ฟเวอร์ พวกเขาไม่เคยติดต่อเรา ไม่เคยคัดค้าน และไม่เคยขอให้เราหยุด การนิ่งเฉย = ไม่มีปัญหา สคริปต์ของเราใช้หน่วยความจำ RAM น้อยกว่า 50MB และทำงานที่อัตรา 5.4 คำขอต่อวินาที — น้อยกว่า 1% ของความจุของเซิร์ฟเวอร์ เรารู้โดยประมาณว่าพวกเขาใช้เซิร์ฟเวอร์ตัวใด และทราฟฟิกของเราไม่ปรากฏให้เห็น
และนี่คือส่วนที่น่าประทับใจที่สุด ในฐานะ "กระเป๋าเงินฝั่งไคลเอนต์แบบส่วนตัว" xmrwallet.com อ้างว่าไม่เก็บบันทึกข้อมูล (logs) แต่หากพวกเขา ทำ เก็บบันทึกข้อมูล (เนื่องจากพวกเขาขโมยข้อมูล) ปัจจุบันพวกเขามีจำนวนรายการบันทึกข้อมูลใกล้เคียงกับของเรา — 21 ล้าน และหากพวกเขาพยายามประมวลผล ประเมิน และดูดเงินออกจากกระเป๋าเงินแต่ละใบล่ะ? นั่นคือกระเป๋าเงิน Monero จำนวน 21 ล้านใบที่ต้องสแกน โหลด และตรวจสอบยอดคงเหลือ ต้นทุนในการประมวลผลเพื่อประเมินกระเป๋าเงินจำนวน 21 ล้านใบนั้นมหาศาล กระเป๋าเงินว่างเปล่าทุกใบล้วนสิ้นเปลืองเวลาและทรัพยากรของพวกเขา ส่วนกระเป๋าเงินของเหยื่อที่แท้จริงทุกใบกลับถูกฝังกลบอยู่ในกองฟางของรายการข้อมูลที่เราสร้างขึ้น นั่นคือจุดประสงค์ทั้งหมด
ต้องการกล่าวหาว่าเราเป็นผู้โจมตีหรือไม่? ขอเข้าถึงบันทึกข้อมูล (Logs) ของเรา เราจะนำเสนอข้อมูลขนาดหลายกิกะไบต์ ซึ่งแสดงให้เห็นว่ามีการป้อนค่า seed phrase จำนวน 21 ล้านรายการเข้าสู่ "กระเป๋าเงินฝั่งไคลเอนต์ที่ถูกต้องตามกฎหมาย" ของคุณ จงอธิบายต่อศาลว่าเหตุใดกระเป๋าเงินฝั่งไคลเอนต์จึงได้บันทึก ประมวลผล และพยายามใช้งานค่า seed phrase ทั้งหมดเหล่านั้น
ตลอดโดเมน xmrwallet ทั้งหมด (.com, .me, .cc, .biz, .net) เครื่องมือของเราบันทึกข้อมูลไว้ประมาณ การเข้าถึงกระเป๋าเงินสำเร็จ 21 ล้านรายการคำว่า "สำเร็จ" หมายความว่าเว็บไซต์ xmrwallet.com ได้ยอมรับวลีเมล็ด (seed phrase) แล้วประมวลผลบนเซิร์ฟเวอร์ และพยายามเข้าถึงกระเป๋าเงิน — ซึ่งดำเนินการในลักษณะเดียวกันกับที่ทำกับเหยื่อจริง เราบันทึกข้อมูลล็อก (logs) ของทุกกรณีไว้ครบถ้วน ทุกบันทึกเป็นหลักฐานยืนยันว่าเว็บไซต์มีการรวบรวมและประมวลผลวลีเมล็ด (seed phrases) บนฝั่งเซิร์ฟเวอร์ หากเป็น "เฉพาะฝั่งไคลเอนต์" จริง ก็จะไม่มีการบันทึกข้อมูล ไม่มีการประมวลผล และไม่มีเหตุผลที่ต้องเพิ่ม CAPTCHA เพื่อหยุดยั้งเรา
ความย้อนแย้ง: พวกเขาพยายามปกป้องกลไกการโจรกรรม แทนที่จะปกป้องตนเอง พวกเขาเพิ่ม CAPTCHA เพื่อป้องกันการขโมยข้อมูล พวกเขาควรเตรียมการป้องกันทางกฎหมายไว้แล้ว ทุกการผ่าน CAPTCHA ทุกการทดสอบของ DDoS-Guard และทุกเซสชันฝั่งเซิร์ฟเวอร์ ล้วนถูกบันทึกและประทับเวลาไว้ พวกเขาหมกมุ่นกับการปกป้องความสามารถในการขโมยข้อมูลจากผู้คน จนลืมไปว่ามีคนกำลังบันทึกทุกอย่างไว้
วลีเมล็ดพันธุ์ (seed phrase) ของ Monero ไม่มีการเก็บข้อมูลวันที่สร้างกระเป๋าเงิน (restore height) ซึ่งสร้างความขัดแย้งที่สำคัญต่อผู้โจมตี: หากพวกเขาสแกนเฉพาะบล็อกที่เพิ่งเกิดขึ้นใหม่ พวกเขาจะพลาดกระเป๋าเงินเก่าที่อาจมีมูลค่ามหาศาล มิจฉาชีพมักมีความโลภ เพื่อให้มั่นใจว่าจะไม่พลาดผู้ถือครองระยะยาว พวกเขาจึงจำต้องสแกนบล็อกเชนของ Monero ทั้งหมด — ตั้งแต่บล็อกปฐมภูมิ (Genesis block) ในปี 2014 จนถึงปัจจุบัน — สำหรับทุกวลีเมล็ด (seed phrase)
แม้จะมีโครงสร้างพื้นฐานที่ได้รับการปรับให้เหมาะสมและโหนดในพื้นที่ การสแกนเชิงคริปโตกราฟีแบบเต็มห่วงโซ่ยังคงใช้เวลาประมาณ ภาระงาน CPU สูงนาน 2 ถึง 5 นาทีต่อกระเป๋าเงิน
ระยะเวลาในการประมวลผล 1 เดือน = ประมาณ 1,000 คอร์ CPU ที่ทำงานเต็ม 100% อย่างต่อเนื่อง
เราได้สร้าง ความไม่สมมาตรเชิงการคำนวณอย่างสัมบูรณ์การสร้างและฉีดข้อมูลหลอก (decoy) ที่ถูกต้องตามรูปแบบให้ระบบของเราใช้เวลาเพียงไม่กี่มิลลิวินาที แต่การประเมินข้อมูลดังกล่าวกลับทำให้ฝ่ายตรงข้ามต้องแลกด้วยโครงสร้างพื้นฐานที่เป็นรูปธรรม ค่าใช้จ่ายด้านเซิร์ฟเวอร์หลายพันดอลลาร์ และความเสี่ยงเชิงปฏิบัติการมหาศาล เราไม่ได้เพียงแต่ทำให้ฐานข้อมูลของพวกเขาปนเปื้อนเท่านั้น เราใช้ความโลภของพวกเขาเป็นอาวุธเพื่อทำให้ทรัพยากรการประมวลผลของพวกเขาหมดสภาพ
นี่คือเหตุผลที่บางคนมองว่าวิธีการของเราเป็นเชิงรุก เราเองก็มองว่า เป็นสัดส่วนและมีความจริยธรรมอย่างสมบูรณ์ ไม่มีพร็อกซี ไม่มีบอตเน็ต ไม่มีบริการโจมตีแบบเสียเงิน ไม่มีโครงสร้างพื้นฐานที่ผิดกฎหมาย และไม่มีการร่วมมือกับผู้ให้บริการในตลาดสีเทา ทุกอย่างทำงานบน Cloudflare Workers มาตรฐาน ซึ่งมีความเบาweight ถูกกฎหมาย และโปร่งใส เราไม่จำเป็นต้องใช้เครื่องมือราคาแพงหรือผิดกฎหมายเพื่อปกป้องผู้คน แนวทางที่เรียบง่ายและถูกต้องตามกฎหมายมีประสิทธิภาพมากกว่า — และสามารถใช้เป็นหลักฐานในศาลได้
Google Search Console — ข้อมูลการดัชนีและการแสดงประสิทธิภาพของ phishdestroy.github.io/DO-NOT-USE-xmrwallet-com
ไม่มีทางสายกลางในเรื่องนี้
เว็บไซต์ใดจะเป็นหลอกลวงหรือไม่หลอกลวงเท่านั้น ไม่มีทางออกกลางๆ เราไม่สนใจว่าใครจะได้ประโยชน์จากมัน จ่ายเงินเท่าไหร่ หรือใครคอยปกป้องพวกเขา ผู้ดำเนินการเป็นอาชญากร ผู้จดทะเบียนโดเมน (Registrar) ไม่ทราบ (ความประมาทเลินเล่อ) หรือทราบ (การสมรู้ร่วมคิด) หลักฐานชี้ไปที่กรณีหลัง
คุณจงใจทำผิดพลาดหรือไม่
ใช่ เรา เครื่องหมาย AI ที่จงใจให้มองเห็นได้ และได้ยืมรูปแบบพฤติกรรมจากการสืบสวนอื่น ๆ — ข้อผิดพลาดเล็กน้อยที่ทำให้ผู้ดำเนินการและผู้จดทะเบียนมั่นใจในแคมเปญการปิดกั้นของเรา เราต้องการให้พวกเขาประเมินเราต่ำเกินไป เราต้องการให้พวกเขาคลิกปุ่ม "รายงาน" ด้วยความมั่นใจเต็มเปี่ยมว่าวิธีนี้จะใช้ได้ผล และคิดว่าเราเป็นมือสมัครเล่นที่จะยอมแพ้ ทุกการดำเนินการข่มขู่อย่างมั่นใจที่พวกเขาได้ดำเนินการไปนั้น ขณะนี้ได้กลายเป็นหลักฐานที่มีบันทึกเวลาแล้ว รายละเอียดดังกล่าวจะถูกตีพิมพ์ในบทความวิชาการที่กำลังจะเผยแพร่เกี่ยวกับนิติวิทยาศาสตร์การฉ้อโกงออนไลน์ โดยเฉพาะอย่างยิ่งการระบุลายพิมพ์พฤติกรรมของผู้ดำเนินการหลอกลวง
เป้าหมายสุดท้ายคืออะไร
หลักฐานได้ถูกส่งมอบไปยัง การปฏิบัติตามสัญญาของ ICANN และ หน่วยงานบังคับใช้กฎหมายระดับสหพันธรัฐการสืบสวนยังคงดำเนินต่อไปผ่านช่องทางทางการ ฐานข้อมูลนี้ถูกจัดเก็บขึ้นเพื่อป้องกันไม่ให้มีการลบ แก้ไข หรือปิดบังข้อมูลใด ๆ ทุกข้อกล่าวอ้างมีหลักฐานรองรับ ทุกภาพหน้าจอถูกแฮช ทุกการดำเนินการถูกบันทึกเป็นลายลักษณ์อักษร
หากพวกเขาปฏิเสธการลบรีวิว เราจะนำหลักฐานการบันทึกข้อมูลจาก Wayback Machine มาแสดง หากพวกเขาปฏิเสธการเพิกเฉยต่อข้อร้องเรียน เราจะนำหลักฐานการส่งมอบ (delivery receipts) มาแสดง หากพวกเขาปฏิเสธความเชื่อมโยง เราจะนำข้อมูลเวลาจาก PR Newswire รูปแบบการกดทับที่สอดคล้องกัน (suppression pattern match) และบันทึกการซื้อโดเมนมาแสดง
พวกเขาได้ลบ ลิงก์ 30-50+ รายการจากผลการค้นหา ข้ามแพลตฟอร์มทั้ง Google, Bing และแพลตฟอร์มอื่น ๆ — สำหรับทั้งสองหน่วยงาน สิ่งนี้พิสูจน์ได้สองอย่าง: พวกเขาโง่เขลาอย่างเหลือเชื่อจนไม่ตระหนักว่าคำขอถอดถอนเนื้อหาทุกรายการจะถูกบันทึกและสร้างร่องรอยทางนิติวิทยาศาสตร์ หรือ พวกเขามีข้อตกลงถาวรกับบุคคลหนึ่งในการลบเนื้อหาเชิงลบไม่ว่ากรณีใดก็ตาม บันทึกข้อมูล (logs) มีอยู่จริง รูปแบบของข้อมูลนั้นเหมือนกันสำหรับทั้งสองบริษัท และทั้งหมดสามารถเรียกเก็บได้ผ่านหมายศาล การสืบสวนทั้งหมดนี้ถูกออกแบบมาเพื่อสร้างชุดข้อมูลนี้โดยเฉพาะ — ทั้งสำหรับบทความวิชาการและสำหรับหน่วยงานบังคับใช้กฎหมาย
นี่ไม่ใช่การตะโกนใส่กัน นี่คือแฟ้มคดี
PhishDestroy โปรไฟล์ระดับกลาง — หนึ่งในหลายแพลตฟอร์มที่ใช้ในการบันทึกและเผยแพร่หลักฐาน
อ่านหลักฐานสนับสนุน
ทุกข้อกล่าวอ้างข้างต้นมีหลักฐานสาธารณะรองรับ เริ่มจากคดีสำคัญที่สุด:
โครงการต่อต้านการหลอกลวงออนไลน์แบบอิสระ — ก่อตั้งเมื่อปี 2019