Không phải là một công cụ lừa đảo — mà là một “trường đại học” lừa đảo. TheProject đã xây dựng một hệ thống cố vấn theo cấp bậc: tuyển dụng, đào tạo, triển khai, thu lợi. Tuyên bố doanh thu hơn 10 triệu USD, đào tạo hơn 5.000 thành viên kể từ năm 2021. Các cố vấn của họ chính là những người đứng sau các dự án Gambler, LuxardGambling và Olympus. Họ đã xây dựng một trường học dạy hàng nghìn người cách lừa đảo.
Thời gian đọc: 10 phút· Đã cập nhật Tháng 3 năm 2026· PhishDestroy Tình báo
$10M+ Claimed RevenueĐã đào tạo hơn 5.000 thành viênHơn 730 tên người dùng của những kẻ lừa đảo bị rò rỉ
$10M+
Doanh thu được công bố
0
Số thành viên đã được đào tạo
0
Tên người dùng của những kẻ lừa đảo bị rò rỉ
0
Các nạn nhân của OFEDREX
Mô hình “Đại học lừa đảo”
TheProject không phải là một công cụ. Nó không phải là một bảng điều khiển. Nó cũng không phải là một vụ lừa đảo đơn lẻ. Nó là một trường học — một tổ chức cố vấn có cấu trúc và phân cấp, đã đào tạo các đối tượng lừa đảo trên quy mô công nghiệp kể từ năm 2021. Trong khi các cuộc điều tra khác vạch trần một sản phẩm, cuộc điều tra này lại vạch trần nhà máy sản xuất ra các nhà sản xuất.
Những tuyên bố về chiến dịch này $10M+ in total revenue và Hơn 5.000 thành viên đã được đào tạo. Đây không phải là những lời khoe khoang suông. Một khoản tiền gửi đã được xác minh trị giá 1 triệu ₽ trên lolz.live — thị trường tội phạm mạng bằng tiếng Nga — xác nhận rằng họ hoạt động với quy mô tài chính rất lớn. Chủ đề tuyển dụng của họ (lolz.live/threads/4826265/) hoạt động công khai, quảng cáo các gói tư vấn hướng dẫn dành cho những kẻ lừa đảo mới vào nghề.
Hệ thống phân cấp
Quản trị viên
Các nhà điều hành cấp cao phụ trách cơ sở hạ tầng, tài chính và định hướng chiến lược. Họ quản lý nền tảng, xây dựng chương trình đào tạo và thu về phần lớn nhất doanh thu từ tất cả các hoạt động ở các khâu sau.
Các cố vấn
Những kẻ lừa đảo giàu kinh nghiệm chuyên đào tạo các thành viên mới. Mỗi người hướng dẫn quản lý một nhóm thành viên, cung cấp hướng dẫn về hoạt động và nhận một phần trăm hoa hồng từ mỗi vụ lừa đảo mà các học viên của họ thực hiện. Họ chính là nhân tố nhân lực.
Người lao động (Thành viên)
Các tân binh đã qua đào tạo được triển khai ra thực địa. Họ vận hành các trang web sòng bạc giả mạo, quản lý các tương tác với nạn nhân và xử lý các khoản nạp tiền. Doanh thu được chuyển lên cấp trên — người lao động chỉ giữ lại một phần nhỏ, trong khi các cố vấn và quản trị viên chiếm phần còn lại.
Nạn nhân
Các mục tiêu cuối cùng trên toàn Hơn 30 quốc gia, trong đó Ấn Độ chiếm 20.1% số nạn nhân đã được xác nhận. Các nạn nhân phải đối mặt với các nền tảng sòng bạc giả mạo, các khoản tiền gửi xác minh bị gian lận và các chiêu trò lừa đảo đầu tư lợi dụng tâm lý.
Tại sao điều này lại quan trọng?
Hầu hết các cuộc điều tra về lừa đảo đều tập trung vào một công cụ hoặc bảng điều khiển duy nhất. TheProject thì khác — nó là nhà sản xuất thượng nguồn. Khi bạn tháo dỡ một nút Gambler Panel hoặc đóng cửa một tên miền LuxardGambling, TheProject sẽ đơn giản là đào tạo các đối tác mới và triển khai họ trên cơ sở hạ tầng mới. Bạn không thể ngăn chặn dòng chảy phía dưới nếu không cắt đứt nguồn cung từ gốc.
Dự án Casino Pipeline: OFEDREX & WinSystems
Bộ phận sòng bạc của TheProject hoạt động dưới các tên mã OFEDREX và WinSystems — một hệ thống bảng điều khiển sòng bạc giả mạo đã được xác định có liên quan trực tiếp đến 383 nạn nhân đã được xác nhận băng qua 22 tên miền. Đây không phải là suy đoán. PhishDestroy đã có được cơ sở dữ liệu về các nạn nhân.
OFEDREX qua các con số
383 nạn nhân đã được xác nhận
Dữ liệu được trích xuất từ các cơ sở dữ liệu bị rò rỉ. Mỗi bản ghi bao gồm số tiền nạp, nguồn gốc địa lý và mã khuyến mãi được sử dụng để dụ dỗ họ. Ấn Độ đứng đầu với 20,1% tổng số nạn nhân, tiếp theo là các mục tiêu đến từ hơn 30 quốc gia.
22 tên miền đang hoạt động
Một mạng lưới các tên miền sòng bạc giả mạo liên tục thay đổi, được thiết kế để tránh bị Gỡ bỏ. Khi một tên miền bị Gỡ bỏ, hệ thống cơ sở hạ tầng sẽ tạo ra các tên miền thay thế. Tất cả đều có thể truy vết về cùng một lớp quản trị mang tên TheProject.
Theo dõi mã khuyến mãi
TheProject sử dụng mã khuyến mãi để theo dõi xem mentor hay đối tác liên kết nào đã thu hút từng nạn nhân. Trong dữ liệu bị rò rỉ, có hai mã nổi bật:
ƯỚC MƠ — 115 nạn nhân được xác định. Mã liên kết có hiệu suất cao nhất trong tập dữ liệu.
LRX774 — 61 nạn nhân được xác định. Vụ việc có liên quan đến một nhóm cố vấn cụ thể hoạt động thông qua các kênh Telegram.
Lỗ hổng SQL Injection
Trong quá trình điều tra, PhishDestroy đã phát hiện ra một Lỗ hổng SQL injection trong cơ sở hạ tầng nền tảng của TheProject. Lỗ hổng bảo mật này đã làm lộ cấu trúc cơ sở dữ liệu nội bộ và xác nhận tính xác thực của dữ liệu nạn nhân bị rò rỉ. Phát hiện này cho thấy rằng chính hệ thống bảo mật vận hành của TheProject cũng được xây dựng dựa trên cùng loại mã nguồn rẻ tiền, được viết vội vàng mà họ hướng dẫn các đối tác của mình triển khai.
Thông tin đăng nhập bị rò rỉ
Các bằng chứng hành chính thu thập được từ cuộc điều tra:
lancerbuy777@project.com / holabol1337
Từ khóa tài khoản siêu cấp: ximerawork
— Trích từ vụ vi phạm an ninh hệ thống cơ sở hạ tầng của TheProject
Hệ thống phân cấp trong chương trình cố vấn
Pipeline tuyển dụng của TheProject diễn ra một cách công khai. Chuỗi bài đăng tuyển dụng chính của họ trên lolz.live (threads/4826265/) quảng cáo các gói tư vấn với sự tự tin của một doanh nghiệp SaaS hợp pháp. Khoản tiền gửi đã được xác minh trị giá ₽1M trên nền tảng này đóng vai trò như một bằng chứng xã hội — một tín hiệu cho thấy với những người có ý định tham gia rằng hoạt động này mang lại lợi nhuận thực sự.
Quy trình tuyển dụng
Bước 1: Tuyển dụng
Các thành viên mới tìm đến TheProject thông qua các chủ đề trên lolz.live, các kênh Telegram và thông qua truyền miệng trên các diễn đàn tội phạm mạng bằng tiếng Nga. Bot Telegram @TheProject_inbot (ID: 7291050577) phụ trách quá trình đăng ký ban đầu và xác minh.
Bước 2: Đào tạo
Các tân binh được phân công một người hướng dẫn, người này sẽ dạy họ toàn bộ quy trình thực hiện hành vi lừa đảo: thiết lập tên miền, thu hút nạn nhân thông qua kỹ thuật xã hội, thao túng các khoản nạp tiền và rút tiền. Các tài liệu đào tạo được xây dựng có hệ thống và được chuẩn hóa.
Bước 3: Triển khai
Các đối tác liên kết đã được đào tạo sẽ được cấp quyền truy cập vào cơ sở hạ tầng của các nền tảng (OFEDREX, WinSystems hoặc các nền tảng bên ngoài như Gambler và Olympus). Họ triển khai các hoạt động của riêng mình dưới sự giám sát của người hướng dẫn, với cơ chế chia sẻ doanh thu được thực hiện thông qua nền tảng.
Bước 4: Rút lợi nhuận
Doanh thu được phân phối lên các cấp cao hơn trong hệ thống. Người lao động chỉ giữ lại một phần nhỏ. Các cố vấn nhận phần hoa hồng của họ. Ban quản trị thu phí từ mọi hoạt động đang diễn ra. Cơ sở dữ liệu trên Google Spreadsheet theo dõi tất cả các luồng tài chính, số lượng nạn nhân và các chỉ số hiệu suất của các chi nhánh.
Bot Telegram
@TheProject_inbot (ID: 7291050577) — phụ trách quá trình tiếp nhận, xác minh và hỗ trợ cơ bản cho các thành viên mới tham gia Pipeline.
Theo dõi hoạt động
TheProject sử dụng một Cơ sở dữ liệu Google Trang tính để theo dõi hiệu suất của các đối tác liên kết, số lượng nạn nhân, phân bổ doanh thu và các khoản thanh toán cho cố vấn. Tập trung, có thể kiểm toán và mang tính cáo buộc.
Quy mô hoạt động
Với Hơn 5.000 thành viên đã đăng ký và một 1 triệu ₽ tiền nạp đã được xác minh trên lolz.live, TheProject hoạt động trên quy mô vượt trội so với hầu hết các nhóm lừa đảo riêng lẻ. Đây là một tổ chức tội phạm có cấu trúc doanh nghiệp — với các Pipeline tuyển dụng, chương trình đào tạo, hệ thống theo dõi hiệu suất và các thỏa thuận chia sẻ doanh thu.
Các hoạt động ở giai đoạn sau: Pipeline đào tạo
TheProject không chỉ thực hiện các chiêu trò lừa đảo — nó tạo ra những kẻ lừa đảo. Cuộc điều tra của PhishDestroy đã xác định TheProject là nhà sản xuất thượng nguồn cho nhiều hệ sinh thái bảng khảo sát lừa đảo nổi tiếng. Các đối tác liên kết được đào tạo bởi các cố vấn của TheProject sau đó tiếp tục vận hành:
Diễn đàn người chơi cờ bạc — Mạng lưới các trang web giả mạo sòng bạc lớn nhất, với hơn 1.200 tên miền được PhishDestroy theo dõi. Các nhà điều hành được đào tạo bởi TheProject chiếm một phần đáng kể trong cơ sở đối tác liên kết của Gambler.
LuxardCờ bạc — Một hoạt động sòng bạc giả mạo mang thương hiệu cao cấp. Cơ sở hạ tầng chung và sự trùng lặp về thông tin đăng nhập có thể truy xuất trực tiếp về Pipeline đào tạo của TheProject.
Hội đồng Olympus — Một bảng điều khiển khác ở giai đoạn sau, với các nhà điều hành đã được đào tạo thông qua hệ thống cố vấn của TheProject. Các mẫu lĩnh vực trùng lặp và mã khuyến mãi chung đã xác nhận mối liên hệ này.
Hơn 730 tên người dùng của những kẻ lừa đảo bị rò rỉ
Cuộc điều tra của PhishDestroy đã thu hồi được một cơ sở dữ liệu về Hơn 730 tên người dùng độc đáo của những kẻ lừa đảo liên quan đến các hoạt động của TheProject. Bộ dữ liệu này bao gồm các tên người dùng trên Telegram, tài khoản lolz.live và các mã định danh nội bộ của nền tảng. Đây là một trong những vụ rò rỉ thông tin về danh tính của các đối tác liên kết lừa đảo có quy mô lớn nhất từng được ghi nhận.
Bản đồ kết nối
Chuỗi bằng chứng rất rõ ràng: TheProject đào tạo các đối tác liên kết. Các đối tác liên kết này triển khai trên các nền tảng Gambler, LuxardGambling và Olympus. Thông tin đăng nhập được chia sẻ (lancerbuy777@project.com), các miền trùng lặp và các cơ sở dữ liệu bị rò rỉ chứng minh rằng các hoạt động này không độc lập — chúng là các sản phẩm ở giai đoạn sau của Pipeline đào tạo của TheProject. Khi một nút Gambler ngừng hoạt động, TheProject sẽ triển khai thêm mười nút mới.
"Họ đã xây dựng một ngôi trường dạy hàng nghìn người cách ăn cắp."
— Đánh giá nghiên cứu của PhishDestroy
Bằng chứng và Thông tin tình báo nguồn
Tất cả các phát hiện trong cuộc điều tra này đều được củng cố bằng bằng chứng từ nguồn sơ cấp được lưu trữ trong kho dữ liệu ScamIntelLogs của PhishDestroy. Các chỉ số xâm nhập (IOC) và bằng chứng cụ thể sau đây đều được công khai để mọi người có thể kiểm chứng.
TheProject không phải là một mối đe dọa đơn lẻ — mà là nơi ươm mầm tạo ra các mối đe dọa trên quy mô lớn. Việc ngừng hoạt động các chương trình riêng lẻ mà không tháo dỡ Pipeline là một chiến lược thất bại. Các bằng chứng đã được công khai. Các chi nhánh đã được xác định. Cơ sở hạ tầng đã được lập bản đồ.
Thông báo về tính minh bạch. PhishDestroy là một dự án độc lập, phi thương mại. Các nghiên cứu của chúng tôi có thể phản ánh sự thiên vị vốn có đối với cơ sở hạ tầng lừa đảo và các dịch vụ hỗ trợ cho hoạt động này. Chúng tôi khuyến khích độc giả đánh giá tất cả các tài liệu một cách khách quan và độc lập. Xem toàn văn tuyên bố về tính minh bạch của chúng tôi →
