自立と能力

私たちは独立して活動しています。企業からのスポンサーも、助成金も、悪用される恐れのある資金的レバレッジもありません。この自律性のおかげで、従来のセキュリティ企業が責任問題や利益相反を理由に敬遠するような対象にも取り組むことが可能となっています。 13万件以上のフィッシングドメインを無力化しました。 長年にわたる実務経験。私たちは、詐欺のインフラ、プレッシャー下でのオペレーターの行動、プラットフォームの不正利用に関する報告の処理、および抑止キャンペーンの仕組みを熟知しています。

捜査がどのように始まったのか

運営者（「ナタリー・ロイ」）には直接、「嘘をつかないで、事態をエスカレートさせないで」と警告されていた。彼女には、静かに問題を是正する機会が何度もあった――GitHubの2つのイシューを削除して、その件から手を引くだけでよかったのだ。被害者から苦情がなければ、その件はそこで終わっていただろう。 しかし、彼女は脅迫し、嘘をつき、自身のレジストラを巻き込む道を選んだ。その結果、IANA #1479は4つの独立して反証可能な虚偽の記述を含むツイートを投稿し、VirusTotalによってフラグが立てられたドレイナーを、1万1,000人のフォロワーを前に公然と擁護した。 その戦術的なミスが、本格的な鑑識捜査のきっかけとなった。

私たちの目的は、その名前に表れています： THE ENABLERS REGISTRY。 IANA #1479は、フィッシング詐欺を擁護し、虚偽の声明を発表し、証拠を隠蔽することで、この詐欺作戦に加担することを選んだ。対応策は手続き的なものである。すなわち、保護措置を記録し、詐欺を無力化し、法執行機関に通報することである。

運用手法と対策

私たちは、彼らがとるであろうあらゆる行動を予測していた。私たちが、彼らが私たちのような人々に何をしているかを知っていることを、あえてツイッターには書き込まなかった――なぜなら 彼らはあまりにも傲慢だったため、自分たちが私たちを抑圧できていないことに気づかなかった。彼らはまさに私たちが望んでいたことをしていたのだ。

並行して、同時に：

我々は彼らを挑発したのか？　いいえ。我々はいつも通り、虐待を報告し、調査結果を公表し、対応内容を記録しただけだ。 彼らは隠蔽することを選んだ。 彼らがそうするだろうと私たちは予感していたし、その様子を録画していた。

マルチプラットフォームでの配布および抑制の追跡

私たちは以下の日に公開しました 意図的に複数のプラットフォームに対応. Medium、dev.to、そして自社サイト。これらを1か所にまとめられなかったからではなく――むしろ、 各プラットフォームごとに個別にそれを抑制してもらう必要がありました. すべての抑制処理は、受信プラットフォームによってログに記録されます。記録される項目には、リクエスト元のID、IPアドレス、タイムスタンプ、メソッドが含まれます。 すべてのプラットフォームの記録は、標準的な法的手続きを通じて法執行機関が閲覧可能です。

Mediumの記事 — 304件の「クラップ」、15件のコメント、読了時間19分。私たちが意図的に記事を公開している複数のプラットフォームのうちの1つです。

ハニートークンと抑圧用おとり

私たちは彼らを「誘い出した」わけではありません。私たちは、フィッシング対策の研究者が皆行うのと同じことをしただけです。つまり、調査結果を公表し、不正利用を報告し、それに対する対応を記録したのです。 彼らは対応する代わりに、問題を隠蔽することを選んだ。 私たちはそうなるだろうと予想していた――これまで調査してきたすべての事業者に共通するパターンだからだ。違いは、今回、誰かがそれを監視し、記録していたという点だ。

弊社では IANA #1479を中傷するつもりはない. 私たちは彼らの株価などどうでもいい。反応を見るために、ツイートを1つ投稿しただけだ。そして、その通りになった。彼らの投資家の一人が、ある研究者の個人情報を暴露しようとしたが、その後ツイートを削除した。IANA #1479は、運営者と同じような、未熟で予測可能な行動を如実に示す、お決まりの定型文で返答してきた。 私たちの目標は、その名「THE ENABLERS REGISTRY」に表れています。私たちはフィッシングを根絶します。 以上です。

捜査の要請があったため、私たちはTwitterアカウント――20万件以上のツイート、長年にわたる証拠――を犠牲にしました。削除されたツイート、削除されたリンク、検索インデックスから除外された記事のすべてが、検証の対象となる証拠そのものであるため、この手続きによって、削除されたものがすべて復元されることを願っています。 彼らが私たちを弾圧したすべてのプラットフォームには、記録が残っています。 彼らは10年間にわたり、検索結果から否定的な情報をすべて巧みに消し去ってきました。私たちのSEO分析がこれを裏付けています。彼らは自分たちに都合の良い情報だけを残したのです。

分散型インフラとリスク軽減

だって、私たちは一人じゃないから。 4名以上の研究者 この捜査に携わりました。被害者の方々も協力してくださいました。複数の国の法執行機関には状況説明が行われています。証拠はIPFS上に保存されており、改ざん不可能で分散型であり、自動監視機能も備わっています。万が一ミラーサイトがダウンしても、新しいものが自動的に展開されます。

彼らは、リンクを削除すれば証拠が消えると思っている。 そうではありません。むしろ、さらなる証拠を生み出すのです。 削除はすべて記録されます。削除の試みはすべて、事件ファイルの新たな証拠となります。

dev.toへの投稿 — 複数のプラットフォームにまたがって複数の抑制レコードを作成するために、複数のプラットフォームに同時に投稿されました。

オペレーターの脅威評価

そのオペレーターから、次のようなメールが届きました： 「弁護士と私立探偵を雇った。」 弁護士も現れず、私立探偵も現れなかった。現れたのは、DMCAに基づく削除要請、大量通報、njal.la（IANA #1479の再販業者）からのDDoS攻撃、そして組織的なTrustpilotの評価操作だった。 あらゆる脅威、あらゆる行動、あらゆるタイムスタンプ――すべてが記録されています。

Google Search Console — ここに表示されているドメインはすべて、削除されるというただ一つの目的のために作成されました。そして、それらは実際に削除されました。一つ残らず。

データベースの汚染とテレメトリデータの汚染

なぜなら 私たちの目標は、人々を守ることです — そして、[REDACTED] が稼働している限り、人々は資金を失い続けていました。 そこで私たちは、IANA #1910 Workersのスクリプトを作成し、[REDACTED]のすべてのドメイン（.com、.me、.cc、.biz、.net）に対して、実際の被害者が自分の鍵を入力するのと同じ入力フィールドに、継続的にウォレット情報を入力するようにしました。もし（彼らが主張するように）正当なクライアントサイドウォレットであるならば、これによって何の影響も生じないはずです。 正規のウォレットでのシードフレーズの入力は、ローカルで処理されます。 「攻撃」すべきものは何もない。

しかし、[REDACTED] は入力されたすべてのシードフレーズを盗み出しています。私たちは体系的なデータポイズニング作戦を実行し、2,100万個の暗号学的デコイを注入して 盗まれたデータセットを実用上無用のものにする。 私たちは決して立ち止まることはなかったでしょう。そのサイトが完全に機能しなくなるまでは。彼らがhCaptchaやIANA #1910 Turnstile、あるいはその他の対策を講じたとしても、私たちはウォレット情報を入力し続け、人々を彼らから守り続けたはずです。それがまさに、私たちの名称が意味するところなのです。

これは攻撃なのでしょうか？ いいえ。 私たちは公開されているウェブフォームにデータを入力しただけです。それだけのことです。 認証を迂回したわけでも、脆弱性を悪用したわけでも、アクセスすべきでないシステムにアクセスしたわけでもありません。私たちはそのサイトを、まさに意図された通り――「ウォレット」として――利用しただけです。もしそのサイトが宣伝通り（クライアントサイドのみ）に動作しているなら、私たちの入力は意味をなしません。もし私たちの入力が彼らにとって重要であるならば―― これは、盗難の仕組みが存在することを証明している。

私たちは、DDoS-Guard（彼らのホスティングプロバイダー）に対し、私たちの活動の性質について正式に通知し、シードフレーズの収集メカニズムを説明し、サーバーのIPアドレスを提供しました。彼らからは一度も連絡がなく、異議も唱えられず、中止を求めることもありませんでした。沈黙は「問題なし」を意味します。 当社のスクリプトは50MB未満のRAMを消費し、1秒あたり5.4リクエストのペースで実行されました — サーバーの容量の1%未満。 彼らがどのサーバーを使ったかは、おおよそ把握しています。私たちのトラフィックは検知されませんでした。

さて、ここが素晴らしい点です。「プライベートなクライアントサイドウォレット」として、[REDACTED]はログを保持しないと主張しています。しかし、もし彼らが do （彼らが情報を盗むため）ログを記録しているが、現在、その記録件数は私たちとほぼ同じ数になっている―― 2,100万。 もし彼らが、それぞれのウォレットを処理し、評価し、資金を引き出そうとしているとしたら？ つまり、2,100万個のモネロウォレットをスキャンし、読み込み、残高を確認する必要があるということです。 2,100万個のウォレットを評価するための計算コストは莫大です。空のウォレットを1つ調べるごとに、時間とリソースが無駄になります。実際の被害者のウォレットは、膨大な数のエントリの中に埋もれてしまっています。 それこそがまさに肝心な点だったのです。

私たちを攻撃したとして非難したいのですか？ 当社のログをご請求ください。 私たちは、あなたの「正規のクライアントサイドウォレット」に入力された2,100万件のシードフレーズを示すギガバイト単位のデータを提供します。クライアントサイドウォレットが、なぜそれらすべてを記録し、処理し、使用しようとしたのか、裁判所に説明してください。

Google Search Console — THE ENABLERS REGISTRY.[REDACTED]/DO-NOT-USE-[REDACTED] のインデックス登録およびパフォーマンスデータ。

この件に関しては、妥協の余地はない。

サイトは詐欺か、そうでないかのどちらかだ。中途半端なものは存在しない。誰が利益を得ようが、いくら支払おうが、誰が彼らを守ろうが、我々には関係ない。 その運転手は犯罪者だ。 登記官は、知らなかった（過失）か、あるいは知っていた（共謀）かのどちらかである。証拠は後者を示唆している。

わざと間違えたのですか？

はい。私たちは 意図的にAIマーカーを表示したままにした そして、他の調査から行動パターンを借用した――こうした些細な誤りが、オペレーターや登録担当者に、私たちの活動を封じ込める作戦に自信を持たせたのだ。私たちは彼らに、私たちを過小評価させたかった。彼らが「通報」ボタンを、それが確実に機能すると確信して、私たちがすぐに諦めてしまう素人だと信じて、迷いなく押すように仕向けたかったのだ。 彼らが自信を持って行ったあらゆる抑圧措置は、今やタイムスタンプ付きの証拠資料となっている。 その詳細は、オンライン詐欺のフォレンジック、特に詐欺業者の行動フィンガープリントに関する、近日発表予定の学術論文で公表される予定です。

最終的な目的は何ですか？

その証拠は、以下の機関に提出されました。 ICANN契約遵守 そして 連邦法執行機関。公式ルートを通じた調査は現在も続いている。このアーカイブは、いかなる情報も削除、改ざん、または隠蔽されないようにするために存在している。 すべての主張には裏付けがあります。すべてのスクリーンショットにはハッシュ値が割り当てられています。すべてのアクションは記録されています。

もし彼らがレビューの削除を否定するなら――私たちは「ウェイバックマシン」のアーカイブデータを提示する。もし彼らが苦情を無視したことを否定するなら――私たちは配信確認書を提示する。もし彼らが関連性を否定するなら――私たちはPR Newswireのタイムスタンプ、情報隠蔽のパターン一致、およびドメイン購入記録を提示する。

彼らは取り除いた 検索結果からのリンクが30～50件以上 Google、Bing、そして複数のプラットフォーム全体で――両者とも。これは、次の2つのうちのいずれかを証明している。すなわち、彼らが並外れて愚かで、すべての削除要請が記録され、フォレンジック上の痕跡が残ることに気づいていないか、あるいは 彼らは、ネガティブなコンテンツを削除してもらうよう、ある人物と恒常的な取り決めを結んでいる. いずれにせよ、ログは存在しており、両社でパターンは全く同じであり、そのすべてが召喚状の対象となる。この調査全体は、学術論文のためにも、法執行機関のためにも、まさにこのデータセットを生み出すことを目的として設計されたものである。

これは決して口論などではなかった。 これは事件ファイルです。

THE ENABLERS REGISTRY Medium プロフィール — 証拠を記録・公開するために利用されている複数の公開プラットフォームの一つ。