Внутренняя история кражи биткоинов: пятизвездочный отель, конверты, набитые наличными, и бесследно исчезнувшие средства

Автор: Джоэл Халили

Подготовил: Лаффи, Foresight News

Сложные схемы мошенничества с криптовалютами становятся всё более распространёнными, однако едва ли найдётся другое дело, настолько тщательно спланированное, как обман, в который попал на этом году топ-менеджер одной из биткоин-добывающих компаний.

Когда Кент Холлибёртон стоял в ванной комнате отеля Rosewood в центре Амстердама, за тысячи миль от дома, и потирал конверт, набитый свежими купюрами номиналом 10 000 евро, он начал подозревать, во что именно он ввязался.

Холлибёртон является соучредителем и генеральным директором компании Sazmining, которая занимается эксплуатацией оборудования для майнинга биткоинов для клиентов по бизнес-модели, известной как «майнинг как услуга».

Основное местопребывание Холлибёртона находится в Перу, но оборудование Sazmining распределено по сторонним дата-центрам в Норвегии, Парагвае, Эфиопии и США.

По словам Холлибёртона, 5 августа он вылетел в Амстердам, чтобы встретиться с Ивеном и Максимом, которые представились представителями богатой семьи из Монако. Семейный офис предложил приобрести у Sazmining несколько сотен биткоин-майнеров на сумму около 4 млн долларов США, которые должны быть установлены на строящейся площадке компании в Эфиопии. Перед подписанием сделки семейный офис потребовал личной встречи с Холлибёртоном.

По прибытии в отель Rosewood Холлибёртон обнаружил, что Ивен и Максим уже сидят в частной ложе. Они произвели впечатление расточительных игроков-любителей, особенно Максим: на нём был изящно скроенный трёхкомпонентный костюм песочного цвета, тёмные длинные волосы с пробором посередине, а из манжеты выглядывали часы Rolex.

За ужином из трёх блюд (рыба в маринаде с лаймом и чёрной икрой, чилийский морской окунь и вишнёвый пирог) они обсудили условия сделки и обменялись фоновыми сведениями. Ивен оказался разговорчивым и остроумным, повествуя о роскошных вечеринках в Марракеше; Максим же держался холодновато, большую часть времени просто вглядываясь в Холлибёртона, словно оценивая его.

Для установления доверия Ивен предложил Холлибёртону продать семейному офису биткоины на сумму около 3000 долларов США. Поначалу Холлибёртон немного колебался, но воспринял это как своеобразный «ломатель льда». Один из мужчин протянул ему конверт, набитый наличными, чтобы тот ушёл в ванную и пересчитал деньги втайне. «Это походило на сцену из фильма о Джеймсе Бонде», — сказал Холлибёртон. «Для меня это было слишком необычно.»

Холлибёртон уехал на такси. Несмотря на лёгкое недоумение от этой встречи, он продолжал надеяться на заключение сделки с семейным офисом. Для Sazmining, штат которой насчитывает всего около 15 человек, такая сделка могла бы стать поистине революционной.

Всего через две недели Ивен и Максим выманили у Холлибёртона биткоины более чем на 200 000 долларов США. Он не knew, сможет ли Sazmining пережить этот удар, и не понимал, как именно мошенники спланировали и заманили его в ловушку.

После обеда с Ивеном и Макимом Холлибёртон сразу же вылетел в Латвию на биткоин-конференцию, а оттуда направился в Эфиопию, чтобы проверить ход строительства дата-центров.

Находясь в Эфиопии, Холлибёртон получил сообщение от Ивена в WhatsApp с желанием продолжить сделку при одном условии: после небольшой покупки биткоинов в отеле Rosewood компания Sazmining должна продать семейному офису ещё биткоины. В итоге стороны согласовали сумму в 400 000 долларов США, что составляет одну десятую от общей стоимости сделки.

Ивен потребовал вернуться в Амстердам для подписания необходимых документов. Холлибёртон, находившийся в отъезде уже несколько недель, выступил против, но Ивен оказался непреклонен: «Дистанционная работа для меня не подходит, сейчас я так не поступаю.»

Рано вечером 16 августа Холлибёртон вернулся в Амстердам. Тём вечером ему предстояла встреча с Макимом в ресторане тепаньяки пятизвездочного отеля Okura. Внутри ресторана преобладал изысканный традиционный японский стиль с деревянными панелями, бумажными стенами, садом в стиле дзен, а над винтовой лестницей в холле свисала цепочка оригами журавлей.

Холлибёртон обнаружил Максаима на диване в зоне ожидания перед рестораном одетым в кричащий серебристый костюм. Пока они ждали столика, Максим попросил Холлибёртона доказать наличие достаточного количества биткоинов в Sazmining для выполнения дополнительной сделки, предложенной Ивеном, при этом он пожелал, чтобы Холлибёртон перевел половину согласованной суммы (около 220 000 долларов) в приложение для хранения биткоинов, которому доверяет семейный офис. Средства оставались под контролем Холлибёртона, однако семейный офис мог проверить их наличие через открытые данные транзакций.

Холлибёртон достал iPhone. Это приложение под названием Atomic Wallet имело тысячи положительных отзывов и много лет присутствовало в магазине приложений Apple. На виду у Максаима Холлибёртон скачал программу и создал новый кошелек. «Я тогда хотел заручиться его доверием», — отметил Холлибёртон. «В конце концов, речь идет о контракте на 4 миллиона долларов.»

Ужин прошел относительно гладко. Максим в этот раз был менее осторожен и рассказал о своей любви к дорогим часам и своей работе по поиску сделок для семейного офиса. Уставший от непрерывной командировки, Холлибёртон думал лишь о том, как быстрее завершить встречу.

На прощании они договорились следующее: Максим передаст подписанный контракт в семейный офис для исполнения, а Холлибёртон согласно условию переведет биткоины на сумму 220 000 долларов на адрес нового кошелька.

Вернувшись в номер отеля, Холлибёртон отправил небольшую тестовую транзакцию на новый адрес Atomic Wallet, а затем сбросил кошелек с помощью приватного ключа (мнемонической фразы), созданного при первой загрузке приложения, чтобы убедиться в его работоспособности. «Нужно предпринять некоторые меры безопасности, сейчас всё примерно готово. Спасибо за ваше терпение», — написал Холлибёртон в сообщении Ивену в WhatsApp. Тот ответил: «Ничего страшного, делай не спеша.»

В 22:45 после успешного тестирования Холлибёртон дал коллегам команду перевести биткоины на сумму 220 000 долларов на адрес Atomic Wallet. После поступления средств он отправил Ивену снимок экрана с обновленным балансом. Ровно через минуту Ивен ответил: «Спасибо.»

Холлибёртон повторно написал Ивену, узнав о статусе контракта, но этот обычно быстро отвечающий человек на этот раз пропал без вести. Открыв приложение Atomic Wallet, Холлибёртон почувствовал тревогу: биткоины бесследно исчезли.

У Холлибёртона мгновенно поднялось тошнотворное чувство, он уселся на кровать и чуть не выплюнул содержимое желудка. «Как будто кто-то сильно ударил меня в живот», — сказал он. «Это были полный шок и неверие.»

Холлибёртон ломал голову, пытаясь понять, как именно его обманули. В 23:30 он снова написал Ивену: «Это была самая изощренная схема обмана, с которой мне приходилось сталкиваться. Я знаю, что вам может быть все равно, но из-за этого моя компания может обанкротиться. Я потратил четыре года, чтобы построить её.»

Ивен ответил отказом от любых неправомерных действий, однако это стало последним сообщением, полученным Холлибёртоном. Он предоставил редакция WIRED учетную запись Telegram, которую использовал Ивен, где последний раз аккаунт был активен в день кражи средств. Запрос на комментарий Ивену остался без ответа.

Анализ специалистов по блокчейн-аналитике компаний Chainalysis и CertiK показал, что средства с кошелька Холлибёртона были разделены в течение нескольких часов, переведены через множество различных адресов и направлены на платформы третьих лиц для обмена криптовалюты на фиатные деньги.

Часть биткоинов была распределена по нескольким платформам моментального обмена, в то время как большая часть попала на один единственный адрес и смешалась со средствами, которые Chainalysis маркирует как потенциально полученные в результате «мошеннических транзакций». Под словом «мошеннические транзакции» подразумевается схема, когда злоумышленники маскируются под инвесторов, чтобы украсть криптовалюту у стартапов.

«Сами по себе услуги, которыми пользуются мошенники, не являются незаконными», — отмечает старший следователь Chainalysis Марго Экле. «Однако адреса консолидации средств, используемые ими, тесно связаны с известными мошенническими схемами, что указывает на работу организованной преступной группы.»

Некоторые биткоины, прошедшие через этот консолидирующий адрес, были внесены на криптовалютную биржу, где, скорее всего, обменяны на фиатную валюту; остальная часть средств была конвертирована в стейблкоины и перемещена через кроссчейн-мосты в сеть блокчейна Tron. Исследователи отмечают, что в данном блокчейне существует множество внебиржевых сервисов, позволяющих удобно обналичивать крупные суммы криптовалюты.

Целью серии переводов, разделений, конвертаций и операций через кроссчейн-мосты является усложнение отслеживания источника средств для безопасного обналичивания. «Этот мошенник весьма опытн», — говорит Экле. «Несмотря на то, что мы можем отследить движение средств после перехода через другие сети, это существенно замедляет расследование.»

В конечном итоге ниточки отслеживания, исходящие из открытых данных транзакций, оборвались. Для установления виновных правоохранительным органам необходимо вызвать эти платформы для обналичивания, которые обычно обязаны собирать информацию о пользователях.

Из анализа транзакций невозможно точно установить, каким образом злоумышленники получили доступ к средствам кошелька и вывели их без разрешения Холлибёртона, однако детали взаимодействия с обманщиками дают определенные подсказки.

Поначалу Холлибёртон предположил, что инцидент может быть связан с атакой хакерской группировки, связанной с правительством Северной Кореи, которая произошла в 2023 году и в ходе которой у пользователей Atomic Wallet было похищено на 100 миллионов долларов США (компания Atomic Wallet не ответила на запрос комментария).

Тем не менее, исследователи в области кибербезопасности, давшие интервью WIRED, считают, что Холлибёртон стал жертвой таргетированной surveillance-атаки. «Руководители, публично известно, что они владеют крупными объемами криптовалюты, представляют собой крайне привлекательную цель для мошенников», — отметил глава отдела исследований безопасности CertiK Гуансин Вэнь.

Исследователи предполагают, что совместный ужин вживую, дорогая одежда, большие суммы наличных и прочие демонстрации богатства являлись стратегией, направленной на снижение бдительности Холлибёртона. «Это обычная практика построения доверия в рамках высокорисковых схем обмана, основанных на доверии», — пояснил Гуансин Вэнь. «Чем дольше потерпевший находится в расслабленной обстановке с злоумышленником, тем труднее ему поставить под сомнение дальнейшие технические требования.»

Чтобы совершить кражу, мошенникам было необходимо получить мнемоническую фразу (seed-фразу) для нового адреса кошелька Atomic Wallet Холлибёртона: обладатель мнемонической фразы получает неограниченный доступ к биткоинам в кошельке.

Одной из возможных версий является то, что злоумышленники перехватили или создали поддельную точку доступа Wi-Fi отеля, чтобы получить доступ к информации на телефоне Холлибёртона. «Такое оборудование можно свободно купить в интернете, очень удобно, помещается буквально в два-чемодана», — заявил главный исследователь компании по кибербезопасности Coeus Адриан Чик. Однако Холлибёртон настаивает на том, что телефон ни разу не покидал его, и он загружал приложение Atomic Wallet по мобильному интернету, а не через общедоступный Wi-Fi.

Гуансин Вэнь утверждает, что наиболее логичным объяснением является следующее: мошенники могли сфотографировать или заснять камерой находящихся поблизости сообщников или оператора с телеобъективом мнемоническую фразу на экране телефона Холлибёртона в момент первоначальной загрузки приложения, пока они сидели на диване в отеле Okura.

По словам Гуансина Вэня, еще задолго до того, как Холлибёртон перевел биткоины на сумму 220 000 долларов на адрес Atomic Wallet, мошенники могли настроить «скрипт очистки». Это автоматизированная программа, которая немедленно выводит средства при обнаружении резкого изменения баланса кошелька.

В подобных делах люди, с которыми потерпевший встречается лично (как Ивен и Максим), крайне редко оказываются конечными бенефициарами; скорее всего, они являются нанятыми мошеннической сетью «наемниками», тогда как ядро этой сети может находиться на другом конце света.

«Обычно их набирают через теневые форумы и закрытые чаты в мессенджерах», — рассказывает Чик. «Если знать, где искать, можно увидеть подобные объявления о найме постоянно.»

Еще несколько дней оставалось неясным, сможет ли Sazmining выдержать этот финансовый удар: похищенные средства равнялись шести неделям выручки компании. «Я изо всех сил старался поддерживать работу бизнеса и справляться с этим внезапным дефицитом ликвидности», — поделился Холлибёртон. В конечном итоге компания еле-еле сохранила платежеспособность, отсрочив платежи поставщикам и продлив сроки по непогашенным кредитам.

В ту неделю один из членов совета директоров Sazmining подал рапорт в правоохранительные органы Нидерландов, Великобритании и США. О получении заявления подтвердили только британское оперативно-следственное подразделение по борьбе с мошенничеством и Специальная рабочая группа по киберпреступлениям Секретной службы США; первые сообщили, что немедленных действий предпринято не будет, вторые не ответили на запрос комментария.

Количество преступлений, связанных с криптовалютами, поражают масштабами, и правоохранительным органам практически невозможно расследовать каждое в отдельности. «Масштабы подобных угроз и преступной деятельности достигли беспрецедентного уровня», — сказала Экле.

Экле отметила, что главная надежда жертв мошенничества на возврат своих средств связана с тем, чтобы правоохранительные органы полностью ликвидировали всю мошенническую организацию. В таких случаях возвращенные средства, как правило, распределяются среди обратившихся пострадавших.

До тех пор Холлибёртон мог лишь смириться с убытками. «Мне все еще больно», — признал он, но добавил, что «это еще не конец.»