في الآونة الأخيرة، أبلغ العديد من المستخدمين أن أصولهم قد سُرقت. في البداية، لم يكونوا متأكدين من كيفية سرقة أموالهم، ولكن بعد الفحص الدقيق، اكتشفنا أن هذا كان نوعًا جديدًا من عمليات احتيال الإسقاط الجوي.

تم إسقاط العديد من عناوين الضحايا باستمرار بكميات صغيرة من الرموز المميزة (0.01 USDT، 0.001 USDT، وما إلى ذلك)، ومن المرجح أن يتم استهدافهم لأن عناوينهم كانت متضمنة في معاملات عالية القيمة وحجم تجارة. الأرقام القليلة الأخيرة من عنوان المهاجم مطابقة تقريبًا للأرقام القليلة الأخيرة من عنوان المستخدم. يتم ذلك لخداع المستخدم لنسخ العنوان الخاطئ عن طريق الخطأ من سجل المعاملات وإرسال الأموال إلى العنوان غير الصحيح.

معلومات ذات صلة

عنوان المهاجم 1: TX…dWfKz

عنوان المستخدم 1: TW…dWfKz

عنوان المهاجم 2: TK…Qw5oH

عنوان المستخدم 2: TW…Qw5oH

تحليل MistTrack

لنبدأ بإعطاء نظرة عامة على عنواني المهاجمين:

إن عنوان المهاجم (TX…..dWfKz) وعنوان المستخدم (TW…..dWfKz) كلاهما ينتهيان بـ dWfKz. وحتى بعد أن قام المستخدم عن طريق الخطأ بإرسال 115,193 USDT إلى العنوان الخاطئ، استمر المهاجم في إرسال 0.01 USDT و0.001 USDT إلى عنوان الضحية عبر عنوانين جديدين ينتهيان أيضًا بـ dWfKz.

حدث الأمر ذاته مع ضحية ثانية لدينا. عنوان المهاجم (TK…. .Qw5oH) وعنوان المستخدم ( (TW…. .Qw5oH) كلاهما ينتهيان بـ Qw5oH. قام الضحية عن طريق الخطأ بإرسال 345,940 USDT إلى العنوان الخاطئ، ويواصل المهاجم إرسال 0.01 USDT إلى الضحية باستخدام عنوان جديد ينتهي أيضًا بـ Qw5oH.

بعد ذلك، سنقوم بفحص عنوان المهاجم 1 باستخدام منصة AML الخاصة بنا MistTrack (tx.. .dWfKz). كما هو موضح في الشكل أدناه، يقوم عنوان المهاجم 1 بإرسال 0.01 USDT و0.02 USDT إلى عناوين مستهدفة مختلفة، وكلها تفاعلت مع العنوان الذي ينتهي بـ dWfKz.

بالنظر إلى الوراء، يمكننا أن نرى أن التحويلات الأولية لهذه الإرساليات جاءت من العنوان TF…. J5Jo8 في 10 أكتوبر، عندما تم تحويل 0.5 USDT إليه.

تحليل أولي لـ TF… .J5Jo8:

لقد أرسل هذا العنوان 0.5 USDT إلى ما يقرب من 3300 عنوان، ما يشير إلى أن كل عنوان من عناوين الاستلام هذه قد يكون عنوانًا يستخدمه المهاجم لإرسال مبالغ صغيرة. لذلك قررنا اختيار عنوان واحد عشوائيًا للتحقق من فرضيتنا.

تم استخدام MistTrack لتحليل آخر عنوان في المخطط أعلاه، TX…..4yBmC. كما هو موضح في الشكل أدناه، يستخدم عنوان TX….4yBmC بواسطة المهاجم لإرسال 0.01 USDT إلى عناوين متعددة تنتهي بـ 4yBmC.

لنلقِ نظرة على عنوان المهاجم 2 (TK…. .Qw5oH): تم إرسال 0.01 USDT إلى عدة عناوين، كما تم إرسال التمويل الأولي البالغ 0.6 USDT من TD…. .psxmk.

كما يمكنك أن ترى من الرسم البياني أدناه، أرسل المهاجم 0.06 USDT إلى TD…. .kXbFq وتفاعل أيضًا مع عنوان إيداع مستخدم من FTX ينتهي بـ Qw5oH.

لذا دعونا نعكس العملية ونرى ما إذا كانت هناك عناوين أخرى قد تفاعلت مع TD… .kXbFq. هل توجد عناوين أخرى لها نفس الأحرف الختامية مثل تلك التي تم إرسال الإرساليات الصغيرة إليها؟

مرة أخرى، سنختار عنوانين بشكل عشوائي ونختبر فرضيتنا. (على سبيل المثال، عنوان إيداع Kraken TU… .hhcWoT وعنوان إيداع Binance TM…. .QM7me).

للأسف، تمكن المحتال من خداع بعض المستخدمين غير المنتبهين لإرسال أموالهم إليه.

ملخص

يركّز هذا المقال على كيفية استغلال المحتالين للمستخدمين الذين يقومون بنسخ العنوان من سجل المعاملات دون التحقق من العنوان بالكامل. يتم ذلك عن طريق إنشاء عنوان مشابه ينتهي بنفس الطريقة التي ينتهي بها عنوان المستخدم، ثم يقوم المحتال بإرسال مبالغ صغيرة من الأموال إلى عنوان المستخدم بشكل منتظم. يتم كل ذلك على أمل أن يقوم المستخدمون بنسخ العنوان المزيف وإرسال أموالهم إلى المحتال في المرة التالية.

ترغب شركة SlowMist في تذكير الجميع بأنه وبسبب عدم قابلية تكنولوجيا البلوك تشين للتغيير وعدم إمكانية عكس العمليات التي تتم على السلسلة، يُرجى التحقق من العنوان مرة أخرى قبل المتابعة. كما يُنصح المستخدمون باستخدام ميزة دفتر العناوين داخل محافظهم بحيث لا يحتاجون إلى نسخ العنوان في كل مرة.