83 миллиона на флешке: Кардер собрал команду что бы отомстить

[Cloned Boy]

Добро пожаловать в цепочку историй из мира даркнета. Здесь вы найдете отчеты о хакерах, кардерах, escrocs и других киберпреступниках, чьи действия не могут защитить ваши данные и знания. Мы исследуем тайны даркнета, исследуем закономерности финансового мошенничества, исследуем мир киберпреступности и узнаем, как работают социальные инженеры и системные манипуляторы. Эта цепочка — ваш путеводитель по пронумерованным теням, где за щелчком можно найти опасность.

Важно: Вся информация носит исключительно образовательный характер. Мы не пропагандируем и не поощряем какую-либо незаконную деятельность. Мы призываем всех читателей оставаться проявлять осмотрительность в Интернете.

Привет, друзья! Сегодня у меня для вас нечто по-настоящему эксклюзивное – серия постов с закрытого даркнет-форума Cypher Vault, которые вы больше нигде не найдёте. Материал настолько редкий, что даже мне пришлось использовать все свои связи, чтобы получить к нему доступ. Представьте себе обычный парень – профессионал в сфере кибербезопасности, всю жизнь защищавший цифровые активы богатых, в один момент теряет всё из-за своей честности.

Разрушенная карьера, потерянная репутация и трагическая смерть лучшего друга, ставшего жертвой криптовалютной пирамиды. Что происходит, когда человек, знающий все тайны цифровой безопасности, решает перейти на другую сторону? Элитная команда хакеров. Многомиллионная цель. Безупречный план. Но что, если всё идёт не по плану. И самое главное, чем заканчивается охота на цифровые сокровища? А может быть, эта история включить уведомления, эта история слишком хороша, чтобы пропустить хотя бы одну её часть.

А теперь устраивайтесь поудобнее, мы погружаемся в мир цифровых призраков и потерянных биткоинов.

Привет! Тут меня называют призрак, и я хочу, чтобы так и осталось в целях моей безопасности. К моменту, когда вы это читаете, я уже исчез с радаров. Этот пост – единственное свидетельство моего существования, и я делюсь им лишь потому, что некоторые истории должны быть рассказаны. До 2018 года я был одним из тех, кого вы бы назвали хорошими парнями.

В 38 лет я занимал должность старшего аналитика по кибербезопасности в Gibraltar Shield, конторе в Сан-Франциско, которая специализировалась на защите финансовых систем. Мой офис находился в стеклянной башне с видом на залив, а зарплата позволяла арендовать квартиру в Ричмонд-дистрикт. Обычная жизнь, казалось бы. Каждое утро я просыпался в 6.30, пробегал 5 миль по набережной и к 9 уже сидел за своим столом, просматривая логи безопасности.

Я защищал цифровые сейфы людей. О существовании которых вы даже не подозреваете. Мои клиенты хранили миллиарды долларов в криптовалюте. Когда ранние майнеры биткоина превратились из гиков в миллионеров, именно ко мне они приходили за защитой. Я не получал классического образования. В 17 лет я уехал из Чикаго с одним рюкзаком и старым ноутбуком. Родители хотели, чтобы я пошёл по стопам отца, стал инженером нефтяников.

Но цифровой код интересовал меня больше, чем чёрное золото. Так я оказался в Силиконовой долине в 1999-м как раз к буму даткомов. Самоучка с русскими корнями. Я пробивался наверх благодаря таланту и упорству. Через 20 лет работы я изучил всё от цифровой безопасности от шифрования до социальной инженерии.

Я знал, как люди защищают свои деньги и как эти защиты можно обойти. 15 октября 2018 года всё изменилось. В тот день я обнаружил странную активность в системах нашего клиента – криптовалютного фонда Helios Capital. Их алгоритмы выводили средства инвесторов на офшорные кошельки маленькими порциями, недостаточно большими, чтобы вызвать подозрения, но в сумме это было около 40 миллионов долларов.

Я собрал доказательства и представил их совету директоров Гибралтар Шилд, их реакция меня ошеломила. «Алекс, Хелиос – наш крупнейший клиент. Твоя задача – защищать их системы, а не следить за их бизнес-моделью». Через неделю я получил уведомление о нарушении корпоративной этики, через две меня уволили за несанкционированный доступ к данным клиента.

Кто-то подделал логи, из которых следовало, что я копировал конфиденциальную информацию для личной выгоды. В тот вечер я сидел на пирсе 39, глядя на Алькатрас. Моя карьера была разрушена, репутация уничтожена. Я понял жестокую правду. Система не защищает честных людей, она защищает тех, у кого есть деньги. Но настоящий удар пришёл 22 ноября 2018 года. Мой лучший друг Джек Торнтон, программист из Бостона, с которым мы познакомились ещё в 2000-х, покончил с собой.

Он потерял все свои сбережения – 780 тысяч долларов – вложив их в криптовалютную пирамиду Битконект, которая рухнула в начале 2018 года. В предсмертной записке он написал «Они украли не только деньги, но и мечту. Я больше не вижу выхода». Стоя у его могилы на кладбище Форест-Хиллз в Бостоне под холодным декабрьским дождем, я принял решение, которое изменило мою жизнь.

Я больше не буду защищать систему. Я заставлю её заплатить. В тот вечер я купил новый ноутбук за наличные, создал зашифрованный имейл и вошёл в Даркнет впервые не как защитник, а как хищник. Мне было 38 лет за плечами. 20 лет опыта в кибербезопасности. А впереди новая миссия. У меня был план.

Я знал, что тысячи биткоинов лежат в мёртвых кошельках, потерянных, забытых, брошенных. Биткоины ранних майнеров, купленные пациентом, теперь стоили миллионы. И я знал, как их найти. Но для этого мне нужна была команда. Элитная группа специалистов, каждый лучший в своём деле. Найти хороших хакеров – не проблема.

Найти хакеров, которым можно доверить свою жизнь – практически невозможно. Но я знал, где искать. В январе 2019 года я арендовал квартиру в Дейли-Сити, пригороде Сан-Франциско. Анонимно, за наличные. Именно там я создал свою цифровую крепость. Шесть мониторов, выделенная линия, оборудование за 30 тысяч долларов. Я назвал её Нора. Первым делом я вышел на даркнет-форум The Basement – место, о котором знал ещё из своей прошлой работы.

Это была глубоко запрятанная платформа, доступная только по приглашениям, где специалисты по кибербезопасности и хакеры обменивались информацией. Я использовал свой старый псевдоним «Блэксван». Никто не знал, что за ним скрывается бывший защитник корпораций. 3 февраля 2019 года я опубликовал зашифрованное сообщение Ищу охотников за сокровищами.

Нужны. Голос, код, тень. Оплата 10% каждому, только лучшие. Через 24 часа я получил первый ответ от пользователя Мефистофель. Он написал на безупречном английском. Я могу стать любым человеком по телефону. От CEO до твоей матери. Берлин, 15 февраля, кафе «Эйнштейн» на Унтерден-Линден. Столик у окна, 14.00. Если ты настоящий, я узнаю.

Я вылетел в Берлин 14 февраля. Сидя в историческом кафе, я наблюдал за посетителями. Ровно в 14.00 за мой столик сел мужчина лет 35 в идеально сидящем костюме. Он назвал моё настоящее имя с лёгким немецким акцентом. «Меня зовут Мефисто». Я понял, что это от его ника Мефистофель на форуме.

«Я просмотрел ваше резюме в LinkedIn, впечатляющая карьера в Гибралтер Шилд, жаль, что она закончилась так неудачно. Я не публиковал своё настоящее имя нигде, и уж точно не на форуме». Мефисто улыбнулся, заметив моё удивление. «Это была проверка. Если бы вы запаниковали, я бы ушёл. Но вы сохранили хладнокровие, вы прошли». Мефисто оказался бывшим сотрудником Федеральной разведывательной службы Германии.

Его специальность – социальная инженерия. Он мог убедить кого угодно в чём угодно по телефону или при личной встрече. Он уволился после того, как правительство использовало его навыки против политических оппонентов, а не террористов. «Мне надоело быть пешкой», – сказал он, – «твоя охота на биткоины звучит интереснее». Второго члена команды я нашёл через Мефисто.

Пятого марта 2019 года мы встретились в московском ресторане «Белый кролик» с человеком, известным в узких кругах как Кронос, математический гений, выпускник МГУ. Он мог взломать практически любую систему шифрования. «Я слышал, ты ищешь потерянные биткоины», – сказал Кронос на безупречном английском, потягивая водку. Забавно. Я писал алгоритмы для восстановления приватных ключей ещё в 2006 году, но мне никогда не разрешали использовать их официально.

Кронос работал на российскую технологическую компанию, разрабатывая системы защиты для банков. Но втайне создавал алгоритмы для взлома криптокошельков. В его глазах я видел то же разочарование, что и в своих. «Система забирает у людей всё», – сказал он. «Я хочу забрать что-то у системы».

Третьего члена команды мы искали дольше всего. Нам нужен был эксперт по даркнету – человек, знающий все потайные уголки цифрового подполья. Мы нашли его в Барселоне в апреле 2019 года. Паук. Работал администратором крупной испанской криптобиржи. По ночам он вёл теневую жизнь, как Эль Фантомас. Призрак даркнета, посредник в сделках, о которых не говорят вслух. «Мы встретились в маленьком баре в готическом квартале».

«Вы ищите потерянные монеты?» – спросил он, рассматривая бокал с сангреей. «Я знаю каждый уголок сети, где говорят о криптовалюте. Знаю истории о людях, которые купили тысячи биткоинов по несколько центов и забыли о них. Или умерли, не оставив паролей». 15 апреля 2019 года мы впервые собрались вместе, в зашифрованном чате, созданном специально для нас.

Алекс, специалист по кибербезопасности, Мефисто, мастер убеждения, Кронос, гений кода, Рамон, тень Даркнета. Джентльмены, написал я, у нас есть навыки, контакты и мотивация. «Теперь нам нужна цель. Не просто любой богатый кошелёк. Мы будем охотиться за определённым типом добычи, за теми, кто заслуживает потерять свои деньги».

«И у меня есть идеальная первая цель», – добавил Рамон. Человек, купивший 8 тысяч биткоинов за 100 долларов в 2011 году. «Сейчас это целое состояние. И судя по моим источникам, он не самый честный человек в мире. Это был момент, когда родилась наша охота. Мы назвали себя фантомы, призраки цифрового мира. И наша первая операция началась. Охота на цифровые сокровища требует терпения.

Этому меня научили 20 лет в кибербезопасности. Успешные атаки планируются месяцами, а не часами. В мае 2019 года мы приступили к сбору информации о нашей первой цели. Паук предоставил нам имя раннего инвестора в биткоин, который купил 8000 биткоинов в 2011 году за 100 долларов. По текущему курсу – более 280 миллионов долларов. Дальше буду называть его Кит.

«Как ты узнал о нём?» – спросил я Рамона во время зашифрованного видеозвонка. «В даркнете ходят легенды о ранних Китах», – ответил он, попивая кофе в своей квартире. В 2011 году этот тип хвастался на форуме Bitcoin Talk о своей покупке. Потом исчез на годы. Вернулся в 2017-м во время бума, начал переводить небольшие суммы на биржи. Кронос мгновенно нашёл эти посты в архиве.

Кит использовал один и тот же ник. Это уже ошибка. Следующие две недели мы изучали цифровой след. Кит был не просто ранним инвестором, он был одним из создателей печально известной биржи Cryptoflex, которая в 2017 году закрылась без предупреждения, забрав депозиты тысяч клиентов. «Это то, что я искал», – сказал я команде 1 июня 2019 года.

Не просто богатый человек. Мошенник, который разрушил жизни других. Мы разработали план из трёх частей – разведка, инфильтрация, простыми словами, проникновение и экстракция, то есть нападение. Фаза разведки началась 5 июня. Мефисто взял на себя сбор информации о личной жизни нашей жертвы. «Он живет в Остине, Техас», – докладывал Мефисто через неделю.

Купил особняк стоимостью 12 миллионов долларов в районе Уэстлейк. 45 лет разведён двое детей от разных браков. Обсессивно-компульсивное расстройство, судя по его распорядку дня. Мефисто был мастером. Он позвонил бывшей жене так называемого Кита, представившись журналистом, пишущим статью о успешных криптоинвесторах. За 15 минут разговора он узнал больше, чем мы могли бы выяснить за месяц цифровой разведки.

«Наш Кит никогда не запоминает пароли», – сказал Мефисто, зачитывая свои записи. Хранит их в зашифрованном файле. Файл защищён фразой, связанной с его детством в Портленде. Тем временем Кронос изучал транзакции. Его основной кошелёк не трогался с 2013 года, сообщил он 20 июня. Но есть цепочка малых транзакций, ведущая к Киту, он использует мультиподпись.

Нужны три ключа для доступа. Паук погрузился в даркнет, собирая слухи о методах которые использовал Кит. «Он параноик», – сказал Паук во время нашей видеоконференции 25 июня. Один ключ на зашифрованной флешке, которую он носит с собой. Второй – на домашнем компьютере. Третий, по слухам, в банковской ячейке в Швейцарии. Я координировал работу из своей норы в Дейли-Сити.

Стены были покрыты схемами, графиками и фотографиями. К июлю 2019 года мы знали о жертве почти всё – его распорядок дня, привычки, слабости, систему защиты. Но нам нужен был способ проникнуть в его цифровую крепость. 10 июля Мефисто предложил решение. «Наша жертва ищет нового системного администратора для своего домашнего офиса. Он размещает вакансию через эксклюзивное агентство.

Я могу убедить их, что у меня есть идеальный кандидат». Этим кандидатом стал я. Мефисто создал мне новую личность – Дэвид Чен.

Специалист по ИТ-безопасности с впечатляющим резюме. Паук обеспечил поддельные рекомендации от известных технологических компаний. Кронос взломал базу данных агентства, чтобы моя кандидатура появилась в их системе. 1 августа 2019 года я прошёл первое собеседование по видеосвязи. 5 августа – второе с самой жертвой.

«Господин Чен, ваше резюме впечатляет», – сказал Кит, изучая меня через экран. «Но мне нужен человек, понимающий важность безопасности на глубинном уровне». Я ответил именно так, как нужно было. «Безопасность – это не технология. Это образ мышления, параноик спит спокойнее всех». Он улыбнулся. 10 августа мне предложили работу, тем временем Кронос разработал специальную программу для восстановления приватных ключей.

Он назвал её «Сиреной». Она могла перебирать миллиарды возможных комбинаций, используя контекстную информацию для сужения поиска. «Если мы получим доступ к его компьютеру и флешке», — объяснил Кронос, — «Сирена сможет восстановить полный ключ примерно за 24 часа». 15 августа 2019 года я переехал в Остин.

Снял квартиру недалеко от дома нашего кита. Места. Купил подходящую одежду, изучил местные места, стал частью пейзажа. 20 августа я приступил к работе в качестве системного администратора. Получил доступ к его домашней сети, увидел его защитные системы изнутри. Мефисто работал над социальной стороной. Он звонил в банк Кита в Цюрихе, притворяясь им, собирая информацию о процедурах доступа к ячейке. Паук создал анонимные кошельки и маршруты вывода через цепочку миксеров и обменников.

К первому сентября 2019 года всё было готово. Мы планировали действовать в выходные, когда Кит улетал на свой ежемесячный отдых на Гавайи. «Осталось три дня», написал я команде в нашем зашифрованном чате второго сентября. Никто из нас не знал, что на следующий день произойдёт событие, которое полностью изменит наш план и поставит всю операцию под угрозу.

3 сентября 2019 года всё чуть не рухнуло. Мой новый работодатель, которого мы называем просто Кит, неожиданно отменил свою поездку на Гавайи. «Давид, нужно обновить защиту немедленно», — сказал он мне в 7.30 утра, когда я ещё не успел выпить свой кофе. «Была атака на одну известную биржу. Я хочу быть уверен, что мои активы в безопасности».

Кит был параноиком, как и большинство криптовалютных китов. Я знал это из нашей разведки, но теперь... Видел вблизи. Он менял пароли каждые две недели, использовал трехфакторную аутентификацию и никогда не держал все доступы в одном месте. Я немедленно сообщил команде через наш защищённый канал. План откладывается, птица осталась в гнезде. Паук, наш эксперт по даркнету, ответил первым.

«Это может быть возможностью. Стресс делает людей небрежными. Он был прав. Паника из-за взлома биржи означала, что Кит будет проверять свои активы. А это значит использовать ключи. Той ночью мы провели экстренное совещание. Нам нужно адаптироваться, сказал я. Мефисто, наш мастер социальной инженерии, предложил новый подход. Пусть он сам даст нам ключи.

Я могу убедить его, что его швейцарский банк был скомпрометирован. Кронос, наш гений кода, покачал головой. «Слишком рискованно. Предлагаю другое. Я модифицирую сирену. Если он введёт хотя бы один из ключей на компьютере, к которому у «Призрака» есть доступ, мы сможем захватить частичный отпечаток и реконструировать остальное». Паук кивнул. «Это может сработать. Но нам нужно действовать быстро. В течение следующих сорока 8 часов Кронос сработал без остановки, создавая то, что он назвал «Химерой» — модифицированную версию программы для перехвата следов ключа.

«5 сентября я установил «Химеру» на домашний сервер Кита под видом обновления безопасности. Это новейшая система мониторинга», — объяснил я ему. Она отслеживает любые попытки несанкционированного доступа в режиме реального времени.

Кит был впечатлён. Он даже не подозревал, что я только что установил самую совершенную программу Keylogger в его систему. Седьмого сентября произошло то, на что мы рассчитывали. Кит решил проверить свой основной кошелёк. Я наблюдал удалённо, как Химера тихо собирает данные. Он использовал первый ключ, хранившийся на его компьютере. Затем подключил защищённую флешку для второго. «У нас есть частичные отпечатки двух ключей», — сообщил я команде.

Кронос немедленно приступил к анализу. Мне нужно время. Третий ключ всё ещё проблема. Мефисто предложил решение. Я могу убедить его, что для максимальной безопасности ему стоит проверить и третий ключ. 10 сентября Мефисто позвонил Киту, представившись сотрудником швейцарского банка. С безупречным швейцарским акцентом он объяснил, что банк проводит аудит безопасности депозитных ячеек и рекомендует клиентам проверить сохранность своих ценностей.

Это сработало. 12 сентября Кит сообщил мне, что улетает в Цюрих на два дня. «Дэвид, присмотри за системой», – сказал он. «Я буду на связи». Как только его самолёт взлетел, мы приступили к финальной фазе. Кронос уже восстановил структуру первых двух ключей и работал над алгоритмом для предсказания третьего. «Мне нужен доступ к его основному компьютеру», Сказал Кронос.

Неудаленно. Физически. В ту ночь я вошел в дом Кита, используя свои официальные ключи доступа. Подключил специальное устройство напрямую к его домашнему серверу. Кронос работал через него, получая доступ к зашифрованным данным. К рассвету 13 сентября он прислал сообщение. «У меня есть всё, что нужно. Возвращайся». Следующие 36 часов Кронос не спал, работая над восстановлением полной структуры ключей.

Паук подготовил маршрут для вывода средств. Сложную цепочку из анонимных кошельков, миксеров и обменников. 14 сентября, в 19 часов 45 минут по времени Остина, Кронос написал в наш чат одно слово. «Готово». Мы собрались в зашифрованной видеоконференции. На экране Кронос показал восстановленные ключи. «У нас есть доступ к кошельку», сказал он.

Восемь тысяч двадцать шесть биткоинов. По курсу на тот момент. Около восьмидесяти трёх миллионов долларов. Мы молчали, осознавая масштаб момента. «Приступаем к экстракции», – сказал я наконец. Процесс перевода средств должен был занять несколько часов. Мы не могли вывести всё сразу. Это создало бы слишком большую волну на блокчейне привлекло внимание.

Паук создал 20 промежуточных кошельков. Переводы шли маленькими партиями, не более 50 биткоинов за раз. Каждый перевод проходил через миксер, затем разделялся на еще более мелкие суммы, проходил через еще один миксер и только потом отправлялся на конечные кошельки, контролируемые каждым из нас. К 4 утра 15 сентября операция была завершена. Средства были извлечены, следы запутаны.

На кошельке Кита осталось двадцать шесть биткоинов. Достаточно, чтобы он не сразу заметил пропажу, но обнаружил её только при следующей проверке. «Две тысячи биткоинов для каждого», – сказал Ян. «Как договаривались?» Для меня это была не просто добыча. Это было возмездие. За Джека, за тысячи других людей, чьи жизни были разрушены криптовалютными мошенниками вроде так называемого Кита.

«Что теперь?» – спросил Мефисто. «Исчезаем», – ответил я. «Сегодня я увольняюсь по семейным обстоятельствам. Через неделю Кит вернётся и обнаружит пропажу. К тому времени нас уже не должно быть на радарах». Мы все понимали риски. За такую сумму Кит поднимет на уши не только ФБР, но и частных детективов.

Он будет искать нас годами. Наш последний разговор был коротким. Мы удалили все каналы связи, стерли все следы нашего сотрудничества, каждый ушел своей дорогой, с цифровым богатством и обещанием никогда не связываться друг с другом. Я думал, что на этом история закончится. Но она только начиналась.