Набір інструментів «Crypto Drainer»: що стоїть за реселерами «Angel Drainer», які націлилися на ваш гаманець

Ланцюжок атак із 9 етапів: від фейкового айрдропу до порожнього гаманця

Кожна операція з виведення криптовалюти відбувається за передбачуваною послідовністю. Небезпека операцій типу «drainer-as-a-service» полягає не в інноваціях, а в їхньому масштабі. Один і той самий ланцюжок атак повторюється на десятках доменів, кожен з яких є новою пасткою для нічого не підозрюючих жертв. Ось точна послідовність дій, витягнута з вихідного коду TRXDrop, крок за кроком.

Детальний аналіз TRXDrop: код, згенерований штучним інтелектом, з понад 30 операторами налагодження в робочому середовищі

TRXDrop — це реселер, що використовує схему «Angel Drainer» і націлений на гаманці TRON та Solana. Ця операція вирізняється не своєю витонченістю — навпаки. Вихідний код містить безсумнівні ознаки розробки за допомогою штучного інтелекту: повторювана структура, розлогі коментарі, а також, що найпоказовіше, понад 30 console.log оператори налагодження, що залишилися в робочому коді.

Це не ознаки досвідченого розробника. Це ознаки того, хто попросив велику мовну модель (LLM) написати код, що виснажує ресурси, і розгорнув отриманий результат без перевірки.

Ключ шифрування XOR

Увесь обмін даними між інтерфейсом користувача drainer та серверною панеллю шифрується за допомогою жорстко заданого ключа XOR: TRX_SECURE_2024_PANEL_KEY. Операція XOR зі статичним ключем є тривіально оборотньою — ще одна ознака розробки методом «копіюй-встав».

Зловживання сервісом WalletConnect

Ідентифікатор проєкту WalletConnect fbf5b42d9006502246e73447f5d50e33 вбудовано у всі понад 15 доменів. Одноразове анулювання цього ідентифікатора проєкту призведе до одночасного відключення підключення гаманців у всій мережі TRXDrop.

50 примусових повторних спроб

Цикл запитів на підписання повторюється 50 разів, перш ніж дозволити жертві вийти. Ця тактика психологічного тиску жорстко запрограмована і не підлягає налаштуванню партнерами — це одна з основних функцій набору «Angel Drainer».

30 Комісія TRX

За кожну успішну операцію з виведення коштів на гаманець оператора надходить комісія у розмірі 30 TRX. За поточними курсами це становить приблизно 7–8 доларів США на кожну жертву — така низька маржа свідчить про те, що операція орієнтована на обсяг, а не на вартість.

Інфраструктура доменів TRXDrop (понад 15 доменів)

NiceCrypto: «Машина», що приносить 80 % комісії

NiceCrypto працює за простим принципом: надайте партнерам найвищі виплати на ринку «драйнерів», і вони приведуть жертв. З комісією у розмірі 80% NiceCrypto пропонує найщедріший розподіл доходів серед партнерів, який ми коли-небудь фіксували серед будь-яких операторів, що надають послуги «drainer-as-a-service». Оператор залишає собі лише 20% — надзвичайно малу маржу, яка виправдовується лише при великому обсязі операцій.

Математика тут проста. Якщо партнер виводить кошти з гаманця, на якому є токени на суму 1 000 доларів, він залишає собі 800 доларів. NiceCrypto забирає 200 доларів. З урахуванням задокументованих виплат партнерам на суму понад 8 454 доларів, ця операція опрацювала щонайменше 42 270 доларів вкрадених коштів — і ця цифра враховує лише ті виплати, які ми можемо безпосередньо відстежити в блокчейні.

717Team: Архів = «Disruption Works»

717Team — це доказ того, що такі операції можна зупинити. Маючи 125 учасників та 85 відстежених гаманців, 717Team була середньомасштабною операцією з виведення коштів, яка керувала понад 12 фішинговими доменами. Підтверджена загальна сума викрадених коштів у розмірі 2 946,25 доларів може здатися скромною порівняно з більшими операціями, але справжня історія полягає в результаті: архівується.

У нашій системі відстеження термін «архівовано» означає, що діяльність була перервана аж до повного припинення. Домени ліквідовано. Інфраструктура знищено. Адміністратор викрито. Команда 717Team не припинила діяльність добровільно. Її діяльність було припинено завдяки скоординованим повідомленням, ліквідаціям доменів та обміну розвідданими з партнерами з безпеки блокчейну.

Антианаліз: присутній, але його легко обійти

TRXDrop використовує дві методики протидії аналізу, які є стандартними в арсеналі інструментів «дрейнерів». Обидві призначені для того, щоб ускладнити поверхневий огляд. Жодна з них не становить суттєвої перешкоди для досвідченого аналітика.

Ця закономірність спостерігається в усій екосистемі «drainer-as-a-service». Розробники наборів (у даному випадку — Angel Drainer) володіють справжніми технічними навичками. А ось дистриб’ютори та партнери, які використовують ці набори, часто їх не мають. Рівень захисту від аналізу існує не тому, що оператори розуміються на дослідженнях у сфері безпеки, — він існує тому, що цей набір постачається з увімкненим за замовчуванням захистом.

Докази та аналіз джерел інформації

Усі докази, на які посилається це розслідування, зберігаються у репозиторії PhishDestroy ScamIntelLogs. Кожна операція має власний каталог, що містить файли конфігурації, уривки вихідного коду, списки доменів, адреси гаманців та оперативні дані з Telegram.