“诈骗大学”模式
该项目并非一种工具。它也不是一个面板。它更不是一次单一的诈骗行动。它是一个 学校 ——一个结构化、分层式的导师制组织，自2021年以来一直以工业规模培训诈骗分子。其他调查揭露的往往是某种产品，而此次调查揭露的则是 生产“生产者”的工厂.
该行动声称 $10M+ in total revenue 以及 5,000多名受过培训的成员. 这绝非空谈。一笔经过核实的存款为 lolz.live 上 100 万卢布 ——这个俄语网络犯罪交易平台——证实其运营规模庞大。他们的招募帖（lolz.live/threads/4826265/) 公然运营，向有志于行骗的人兜售“导师套餐”。
等级制度
管理员
掌控基础设施、财务和战略方向的高层运营者。他们负责管理平台、制定培训课程，并从所有下游运营中获取最大份额的收入。
导师
经验丰富的诈骗分子负责培训新成员。每位导师负责管理一组成员，提供操作指导，并从受训者实施的每起诈骗中抽取一定比例的分成。他们是“力量倍增器”。
工人（附属机构）
经过培训的新人被派往一线。他们运营虚假赌场网站，管理与受害者的互动，并处理存款。收入向上流动——工作人员只拿走一小部分，其余则由导师和管理员拿走。
受害者
各处的终点目标 30多个国家，其中印度占 20.1% 已确认的受害者。受害者遭遇了虚假的赌场平台、被操纵的验证存款以及利用社会工程学手段设下的投资陷阱。
为何这很重要
大多数诈骗调查都只关注单一工具或控制面板。《TheProject》则不同——它是一个 上游生产商. 当你拆解一个“Gambler Panel”节点或关闭一个“LuxardGambling”域名时，“TheProject”会直接培训新的附属节点，并将其部署到全新的基础设施上。若不从源头切断供应，你就无法阻止下游活动。
《赌场 Pipeline》：OFEDREX 与 WinSystems
该项目的赌场部门以代号形式运作 OFEDREX 以及 WinSystems — 一个伪造的赌场面板基础设施，已被直接关联到 383名已确认的受害者 横跨 22 个域名. 这并非猜测。PhishDestroy 已获取了受害者数据库。
OFEDREX 数据一览
383名已确认遇难者
数据摘自泄露的数据库。每条记录都包含存款金额、地理来源以及用于诱骗受害者的促销代码。印度以占受害者总数的20.1%位居首位，其次是来自30多个国家的受害者。
22 个有效域名
一个由虚假赌场域名组成的轮换网络，旨在规避关停。当一个域名被关停时，该基础设施会生成替代域名。所有域名最终都可追溯至同一个“TheProject”管理层。
优惠码追踪
该项目利用促销代码来追踪是哪位导师或联盟成员引荐了每位受害者。在泄露的数据中，有两个代码尤为引人注目：
- DREAM — 归因于115名受害者。该数据集中表现最佳的联盟营销代码。
- LRX774 — 已确认61名受害者。此案与一个通过Telegram频道运作的特定导师团伙有关。
SQL注入漏洞
在调查过程中，PhishDestroy 发现了一个 SQL注入漏洞 在 TheProject 的平台基础设施中。该漏洞暴露了内部数据库结构，并证实了泄露的受害者数据的真实性。这一发现表明，TheProject 自身的运营安全正是建立在与他们教导其联盟成员部署的同样廉价、仓促编写的代码之上的。
泄露的凭据
调查中查获的管理员凭证：
lancerbuy777@project.com / holabol1337
超级账号关键词： ximerawork
— 摘自《TheProject 基础设施安全事件》
导师制层级结构
TheProject 的招募 Pipeline 是公开进行的。他们在 lolz.live (threads/4826265/) 以一家正规SaaS企业的自信姿态推广其导师计划。平台上经过验证的100万卢布存款起到了“社会证明”的作用——向潜在学员表明，该项目确实能赚到真金白银。
招聘流程
第一步：招聘
新成员通过lolz.live上的帖子、Telegram频道以及俄语网络犯罪论坛中的口口相传了解到TheProject。该Telegram机器人 @TheProject_inbot (ID: 7291050577) 负责初始入职和身份验证。
第 2 步：培训
新招募人员会被分配一名导师，由其传授完整的诈骗全流程：域名设置、通过社会工程学手段物色受害者、操控存款以及套现。培训材料结构清晰且标准化。
第 3 步：部署
经过培训的联盟成员可获得访问调查平台基础设施的权限（包括OFEDREX、WinSystems，或Gambler和Olympus等外部调查平台）。他们在导师的指导下开展自己的业务，平台将严格执行收益分成机制。
第 4 步：利润提取
收入沿着层级结构向上流动。工人只保留其中的一部分。导师拿走他们应得的那份。管理人员从每一项正在进行的运营中抽成。谷歌电子表格数据库记录了所有资金流向、受害者人数以及联盟成员的绩效指标。
Telegram 机器人
@TheProject_inbot (ID: 7291050577) — 负责新加入导师Pipeline培养体系的新成员的入职引导、身份验证及基础支持工作。
业务跟踪
该项目使用一个 Google 电子表格数据库 用于追踪联盟营销表现、受害者数量、收入归因以及导师佣金支付情况。集中化、可审计且证据确凿。
业务规模
使用 5,000+名自称会员 以及一个 ₽1M 经认证的 lolz.live 存款, “TheProject”的运作规模远超大多数单个诈骗团伙。这是一种具有企业化组织结构的有组织犯罪——拥有招募Pipeline、培训课程、绩效跟踪以及收益分成协议。
下游运营：培训 Pipeline
TheProject 不仅从事诈骗活动——它 滋生诈骗分子. PhishDestroy 的调查将 TheProject 确定为 上游生产商 针对多个知名的诈骗面板生态系统。经TheProject导师培训的联盟营销人员随后开始运营：
- 赌徒专栏 — 这是规模最大的虚假赌场面板网络，PhishDestroy 追踪到的域名超过 1,200 个。由 TheProject 培训的操作员占 Gambler 联盟会员基数中的很大一部分。
- LuxardGambling — 一个打着高端品牌旗号的虚假赌场运营项目。其共享的基础设施和凭证重叠现象，可直接追溯至“TheProject”的Pipeline。
- 奥林巴斯面板 — 另一个下游面板，其操作人员是通过 TheProject 的导师制接受培训的。重叠的域名模式和共享的促销代码证实了二者之间的关联。
730多个诈骗分子用户名遭泄露
PhishDestroy 的调查中恢复了一个数据库，其中包含 730多个独特的诈骗者用户名 与“TheProject”的运营活动相关。该数据集包含Telegram用户名、lolz.live账户以及平台内部标识符。这是有史以来记录在案的最大规模的诈骗联盟身份信息泄露事件之一。
连接图
证据链非常清晰：《TheProject》负责培训其附属成员。这些附属成员在Gambler、LuxardGambling和Olympus平台开展活动。共享的凭据（lancerbuy777@project.com)，重叠的域名以及泄露的数据库都证明，这些行动并非独立的——它们是 TheProject 培训 Pipeline 的下游产品. 关闭一个 Gambler 节点后，TheProject 又部署了十名毕业生。
“他们建了一所学校，教成千上万的人如何偷窃。”
— PhishDestroy 研究评估
证据与情报来源
本调查中的所有发现均以保存在 PhishDestroy 的 ScamIntelLogs 存储库中的原始证据为依据。以下入侵指标（IOC）和证据痕迹均已公开，可供核查。
IOC关键数据表
| 指标 | 类型 | 值 |
|---|
| Telegram 机器人 | 机器人 ID | @TheProject_inbot (7291050577) |
| 论坛帖子 | URL | lolz.live/threads/4826265/ |
| 泄露的凭据 | 电子邮箱/密码 | lancerbuy777@project.com / holabol1337 |
| 超级账户 | 关键词 | ximerawork |
| 优惠码（顶部） | 跟踪代码 | DREAM（115名受害者） |
| 优惠码 | 跟踪代码 | LRX774（61名遇难者） |
| 赌场组件 | 面板名称 | OFEDREX / WinSystems |
| OFEDREX受害者 | 计数 | 383例确诊 |
| OFEDREX 域名 | 计数 | 22 个有效域名 |
证据库
必须切断供应
“TheProject”并非单一威胁——它是大规模制造威胁的温床。
在不拆解导师培养Pipeline的情况下单独关闭各个小组，是一种行不通的策略。
证据已公开。关联方已查明。基础设施已绘制出图。
#TheProject#ScamMentorship#CryptoFraud#Investigation#MLM
相关研究
“The Project”诈骗帝国——金字塔式层级结构与运营者角色 