Tầng lớp trung lưu của những kẻ lừa đảo
Khi các cuộc điều tra về lừa đảo tiền điện tử trở thành tin nóng, những con số được đưa ra thực sự khiến người ta choáng váng — những “đế chế” cố vấn trị giá 10 triệu USD, các vụ “rug pull” trị giá hàng tỷ USD, cùng các mạng lưới rửa tiền do nhà nước hậu thuẫn. Nhưng ẩn sau những vụ việc gây xôn xao dư luận đó là một hệ sinh thái rộng lớn của các nhóm lừa đảo tầm trung những yếu tố này, khi kết hợp lại, gây ra những thiệt hại khổng lồ mà lại không bị phát hiện.
Đây không phải là những cá nhân hành động đơn lẻ. Họ hoạt động có tổ chức, tuyển dụng thành viên qua các diễn đàn, sử dụng bot Telegram để tự động hóa quy trình và theo dõi nạn nhân của mình trên Google Spreadsheets, giống như cách bất kỳ đội ngũ bán hàng chính thống nào theo dõi khách hàng tiềm năng. Họ đại diện cho tầng lớp trung lưu hoạt động trong lĩnh vực tội phạm mạng — đủ tinh vi để mở rộng quy mô, đủ nhỏ để không bị chú ý.
Cuộc điều tra này xem xét ba đội như vậy được ghi chép trong PhishDestroy's Nhật ký ScamIntel kho lưu trữ:
MercuryTeam
Trạng thái: Đang hoạt động. Hoạt động theo mô hình hai hướng, thực hiện đồng thời các hành vi lừa đảo giao dịch và lừa đảo sòng bạc thông qua hai bot Telegram. Sử dụng tiếng Nga, có cấu trúc hoạt động theo mô hình “thầy trò”.
WasabiSquad
Trạng thái: Đang hoạt động. Một chiến dịch lừa đảo đa chiều nhắm vào nạn nhân thông qua các sàn giao dịch giả mạo, nền tảng cá cược và bot đầu tư. Chiến dịch này chia sẻ cơ sở hạ tầng với MercuryTeam.
Đội 717
Trạng thái: ĐÃ LƯU TRỮ. Một đường dây hoạt động gồm 125 thành viên đã bị triệt phá nhờ công tác thu thập thông tin tình báo và báo cáo phối hợp. Đây là minh chứng cho thấy các biện pháp ngăn chặn mang lại hiệu quả.
Kết quả chính
MercuryTeam và WasabiSquad sử dụng CÙNG MỘT URL của bảng tính Google — bằng chứng cho thấy hoặc là các bên thực hiện giống hệt nhau, hoặc là một liên minh được phối hợp chặt chẽ.
Tại sao các đội bóng tầm trung lại quan trọng
Đối với mỗi tin tức gây xôn xao với con số hàng tỷ đô la, thì lại có hàng trăm đội như thế này hoạt động hàng ngày. Chúng tích cực tuyển dụng thành viên, nhanh chóng điều chỉnh chiến lược và cùng nhau lừa đảo hàng triệu từ các nạn nhân trên toàn thế giới. Việc hiểu rõ cơ cấu hoạt động của chúng là điều thiết yếu để triệt phá chúng trên quy mô lớn.
MercuryTeam: Các hoạt động hai vectơ
MercuryTeam vận hành một mô hình gian lận hai vectơ — thực hiện đồng thời các chiêu trò lừa đảo sàn giao dịch và sòng bạc thông qua hai bot Telegram chuyên dụng. Cách làm này giúp tối đa hóa phạm vi tiếp cận nạn nhân: những người dùng không dễ bị lừa bởi một sàn giao dịch giả mạo có thể bị thu hút bởi lời chào mời từ sòng bạc, và ngược lại.
Cơ sở hạ tầng bot Telegram
| Bot | Tên người dùng Telegram | ID bot | Vectơ |
|---|
| Bot chính | @MercuryTeam_bot | 6631580796 | Gian lận trên sàn giao dịch |
| Bot sòng bạc | @MercuryCasi_bot | 6431207710 | Gian lận tại sòng bạc |
Kiến trúc hai bot này không phải là ngẫu nhiên. Bằng cách tách các hoạt động sàn giao dịch và sòng bạc thành hai bot riêng biệt, MercuryTeam đã đạt được phân chia chức năng — nếu một bot bị báo cáo hoặc bị cấm, bot còn lại vẫn tiếp tục hoạt động. Các nạn nhân sẽ tương tác với bot nào phù hợp với hồ sơ điểm yếu của họ.
Cơ cấu tổ chức
MercuryTeam áp dụng một Mô hình cố vấn có các nhánh. Các nhân viên cấp cao sẽ đào tạo các thành viên mới, những người sau đó sẽ thành lập các chi nhánh hoạt động bán độc lập. Cấu trúc giống mô hình nhượng quyền này giúp đội ngũ mở rộng quy mô nhanh chóng đồng thời vẫn đảm bảo an ninh hoạt động. Các thành viên mới sẽ học các kỹ thuật tiếp cận nạn nhân, cách xử lý kịch bản và quy trình rút lui từ các cố vấn được phân công trước khi bắt đầu hoạt động độc lập.
Sự hiện diện trên diễn đàn
MercuryTeam tuyển dụng và đăng tin tuyển dụng thông qua lolz.live, một trong những diễn đàn lừa đảo bằng tiếng Nga lớn nhất. Chủ đề tuyển dụng của họ: lolz.live/threads/6129774/
Theo dõi nạn nhân
Dữ liệu về doanh thu và nạn nhân được theo dõi thông qua một Bảng tính Google được chia sẻ — một chi tiết trở nên vô cùng quan trọng khi xem xét các hoạt động của WasabiSquad.
Đánh giá tình báo
MercuryTeam là một Sự phát triển của các hình thức gian lận ở mức độ trung bình: phương pháp vectơ kép làm tăng gấp đôi diện tích tấn công của chúng, trong khi mô hình cố vấn đảm bảo chất lượng nhất quán trên các nhánh. Hoạt động bằng tiếng Nga với toàn bộ công tác phối hợp được thực hiện qua Telegram. Toàn bộ bằng chứng được lưu giữ trong ScamIntelLogs.
WasabiSquad: Ba mối đe dọa
Trong khi MercuryTeam thực hiện hai hướng tiếp cận, WasabiSquad lại đẩy mạnh nó lên ba — kết hợp các sàn giao dịch giả mạo, nền tảng cờ bạc và các bot đầu tư thành một hoạt động duy nhất. Cách tiếp cận đa chiều này nhắm vào các tâm lý hoàn toàn khác nhau của nạn nhân: nhà giao dịch tiền điện tử, người đánh bạc và nhà đầu tư thụ động.
Hạ tầng bot và web
| Tài sản | Mã định danh | Loại |
|---|
| Bot chính | @WasabiSquad_Bot | Bot Telegram (ID: 7380099926) |
| Trang web | wasabihub.one | Nền tảng web |
| Chủ đề trên diễn đàn | lolz.live/threads/7933252/ | Tuyển dụng & Quảng cáo |
Ba phương thức tấn công
Gian lận trên sàn giao dịch
Các nền tảng giao dịch tiền điện tử giả mạo được thiết kế nhằm mục đích đánh cắp tiền gửi. Các nạn nhân tin rằng họ đang giao dịch trên một nền tảng hợp pháp và nạp tiền vào đó, nhưng sau đó không thể rút tiền ra được.
Gian lận trong cờ bạc
Các nền tảng cá cược gian lận hứa hẹn người chơi sẽ trúng thưởng nhưng lại yêu cầu “khoản tiền gửi xác minh” trước khi rút tiền — những khoản tiền này sẽ bị rút sạch ngay lập tức.
Lừa đảo liên quan đến bot đầu tư
Các bot đầu tư tự động hứa hẹn mang lại lợi nhuận đảm bảo. Các nạn nhân nạp tiền điện tử với hy vọng thu được lợi nhuận từ giao dịch thuật toán nhưng cuối cùng không nhận được gì cả.
Liên kết bảng tính
WasabiSquad sử dụng cùng một bảng tính Google như MercuryTeam để theo dõi nạn nhân và doanh thu. Đây là phát hiện quan trọng nhất trong cuộc điều tra này.
"Cùng một bảng tính. Cùng các cột theo dõi. Cùng các công thức tính doanh thu. Hoặc là đây là cùng một nhóm người đang đeo những chiếc mặt nạ khác nhau, hoặc là họ tin tưởng lẫn nhau đến mức sẵn sàng chia sẻ toàn bộ cơ sở dữ liệu nạn nhân của mình."
— Báo cáo đánh giá tình báo của PhishDestroy
Sự trùng lặp giữa các cơ sở hạ tầng quan trọng
Bảng tính Google được chia sẻ giữa MercuryTeam và WasabiSquad không chỉ là một chi tiết kỹ thuật nhỏ — nó là bằng chứng về sự thống nhất trong hoạt động. Hai đội có thương hiệu riêng biệt, các bot Telegram khác nhau và các chủ đề diễn đàn riêng rẽ đang sử dụng cùng một tài liệu nền tảng để theo dõi nạn nhân và doanh thu. Điều này cho thấy hoặc là cùng một nhóm nhà điều hành quản lý cả hai thương hiệu hoặc một liên minh chính thức với cơ sở hạ tầng tài chính chung.
717Team: Bằng chứng cho thấy chiến lược gây rối có hiệu quả
Trong số ba đội được xem xét trong cuộc điều tra này, 717Team có một điểm đặc biệt: nó đã được lưu trữ. Theo thuật ngữ của ScamIntelLogs, “đã được lưu trữ” có nghĩa là các hoạt động đã bị ngăn chặn và nhóm này không còn tích cực thực hiện hành vi lừa đảo nữa. Đây không phải là một thành công trên lý thuyết — mà là bằng chứng được ghi chép rõ ràng cho thấy việc thu thập thông tin tình báo, bảo quản chứng cứ và báo cáo phối hợp có thể dập tắt các hoạt động lừa đảo có tổ chức.
Những con số về 717Team
0
Các thành viên được theo dõi
$2,946
Đã xác nhận đã cạn kiệt
ĐÃ LƯU TRỮ
Tình trạng hoạt động
Liên kết Quản trị & Mạng
| Vai trò | Mã định danh | Chi tiết |
|---|
| Quản trị viên | @imdebank | ID Telegram: 7149807602 |
| Kết nối mạng | Đội Rublevka | Quản trị viên @imdebank đã liên kết với hoạt động riêng biệt này |
| Bot | @team717_bot | Bot Telegram chính (hiện không còn hoạt động) |
| Diễn đàn | lolz.live | Hub tuyển dụng và điều phối |
Cơ sở hạ tầng tên miền (từ 12 tên miền trở lên)
| Miền | Mục đích |
|---|
| checkscore.cc | Nền tảng lừa đảo chính |
| cryptomus-payment.com | Cổng thanh toán giả mạo |
| check-score.ru | Biến thể nhắm vào Nga |
| + 9 tên miền khác đã được ghi nhận trong ScamIntelLogs |
Tại sao việc lưu trữ lại quan trọng
Trạng thái lưu trữ của 717Team là dữ liệu quan trọng nhất trong toàn bộ cuộc điều tra này. Điều này cho thấy rằng các nhóm lừa đảo tầm trung có thể bị ngăn chặn thông qua việc thu thập thông tin tình báo có hệ thống. Quy trình đã phát huy hiệu quả bao gồm: (1) xác định cơ sở hạ tầng, (2) theo dõi ví tiền điện tử và thành viên, (3) bảo toàn chứng cứ, (4) phối hợp báo cáo trên các nền tảng. Số tiền 2.946,25 USD đã được xác nhận bị rút cạn là số tiền tổn thất được ghi nhận — con số thực tế có thể cao hơn, nhưng hoạt động này đã bị chặn đứng trước khi có thể mở rộng quy mô hơn nữa.
Mối liên hệ của RublevkaTeam
Quản trị viên @imdebank (ID: 7149807602) đã được liên kết với Đội Rublevka, một đường dây lừa đảo riêng biệt đã được ghi nhận trong báo cáo của chúng tôi Vụ lừa đảo TON của Nga cuộc điều tra. Sự liên kết giữa các đội này củng cố một phát hiện cốt lõi: các hoạt động này không diễn ra một cách cô lập. Các thành viên điều hành di chuyển giữa các đội, chia sẻ cơ sở hạ tầng và duy trì các mạng lưới có khả năng tồn tại ngay cả khi các đội riêng lẻ bị phá vỡ.
Cơ sở hạ tầng chung
Khi so sánh song song ba đội này, ta sẽ nhận ra điều gì đó quan trọng hơn nhiều so với các hoạt động riêng lẻ — đó là mạng. Các công cụ chung, các nền tảng chung, các tài liệu chung và, ít nhất trong một trường hợp, mối liên kết trực tiếp về nhân sự giữa các nhóm.
Phân tích so sánh
| Thuộc tính | MercuryTeam | WasabiSquad | Đội 717 |
|---|
| Các phương thức tấn công | Sàn giao dịch + Sòng bạc | Giao dịch + Cờ bạc + Đầu tư | Giao dịch + Thanh toán giả mạo |
| Diễn đàn | lolz.live | lolz.live | lolz.live |
| Bot Telegram | 2 bot | 1 bot + trang web | 1 bot |
| Theo dõi | Bảng tính Google | Bảng tính SAME | Theo dõi nội bộ |
| Ngôn ngữ | Tiếng Nga | Tiếng Nga | Tiếng Nga |
| Tình trạng | Hoạt động | Hoạt động | Đã lưu trữ |
Các điểm cơ sở hạ tầng chung
- Bảng tính Google được chia sẻ — MercuryTeam và WasabiSquad sử dụng cùng một tài liệu để theo dõi nạn nhân và doanh thu
- lolz.live với vai trò là Hub điều phối — Cả ba đội đều tiến hành tuyển dụng, quảng cáo và phối hợp thông qua cùng một diễn đàn tiếng Nga
- Telegram với vai trò là lớp vận hành — Mọi nhóm đều dựa vào các bot Telegram để thu hút nạn nhân và liên lạc giữa các thành viên trong nhóm
- Nhân sự liên đội — Quản trị viên 717Team @imdebank đã được liên kết với RublevkaTeam, thể hiện khả năng di chuyển của nhân viên vận hành giữa các đội
- Hoạt động bằng tiếng Nga — Tất cả các đội đều sử dụng tiếng Nga, cho thấy họ có cùng nguồn gốc về mặt địa lý và văn hóa
"Họ chia sẻ bảng tính. Họ chia sẻ diễn đàn. Họ chia sẻ các kỹ thuật. Điều duy nhất họ không chia sẻ là tên thương hiệu — và ngay cả sự khác biệt đó có lẽ cũng chỉ là giả tạo."
— Tóm tắt phân tích của PhishDestroy
Không phải là những chủ thể hoạt động độc lập
Bằng chứng rất rõ ràng: MercuryTeam, WasabiSquad và 717Team không phải là các nhóm hoạt động độc lập mà chỉ tình cờ sử dụng các phương thức tương tự. Các Bảng tính Google được chia sẻ giữa Mercury và Wasabi, cái diễn đàn chung trên cả ba lĩnh vực, và sự trùng lặp về nhân sự Mọi yếu tố liên quan đến 717Team và RublevkaTeam đều cho thấy một hệ sinh thái liên kết chặt chẽ. Việc can thiệp vào một đội mà không hiểu rõ mạng lưới này có nguy cơ chỉ khiến các nhà điều hành chuyển sang một thương hiệu khác mà thôi.
Bằng chứng và tài liệu
Tất cả các thông tin tình báo được đề cập trong cuộc điều tra này đã được lưu trữ trong kho dữ liệu ScamIntelLogs của PhishDestroy. Mỗi nhóm đều có một thư mục chứng cứ riêng, chứa các ID bot, địa chỉ ví, ảnh chụp màn hình diễn đàn, danh sách tên miền và phân tích cấu trúc.
Bằng chứng của MercuryTeam
Mã định danh bot kép, chủ đề diễn đàn, tài liệu về cơ cấu cố vấn, bảng tham khảo
Bằng chứng từ WasabiSquad
Phân tích ba khía cạnh, tài liệu hướng dẫn trên wasabihub.one, bằng chứng dưới dạng bảng tính chia sẻ
Bằng chứng của Đội 717 (Đã lưu trữ)
125 thành viên, 85 ví, 2.946,25 USD bị rút cạn, hơn 12 tên miền, tài khoản quản trị @imdebank có liên quan đến RublevkaTeam
Kho lưu trữ ScamIntelLogs đầy đủ
Kho lưu trữ thông tin tình báo về mối đe dọa đầy đủ — bao gồm tất cả các nhóm, tất cả bằng chứng, được quản lý theo phiên bản
Đội 717 đã bị ngăn chặn. Những đội khác cũng có thể bị như vậy.
Việc thu thập thông tin tình báo mang lại hiệu quả. Việc bảo quản chứng cứ mang lại hiệu quả. Việc báo cáo phối hợp mang lại hiệu quả. Tình trạng lưu trữ của 717Team chính là minh chứng sống động cho điều đó.
Hãy giúp chúng tôi gây áp lực tương tự lên MercuryTeam, WasabiSquad và mọi nhóm lừa đảo tầm trung vẫn đang hoạt động.
#ScamTeams#MercuryTeam#WasabiSquad#717Team#Investigation
