Làm thế nào một con cá voi tiền điện tử bị mất hàng triệu trong một vụ cướp chuyển động chậm 🐋💸

Ngày xửa ngày xưa, trong vùng nước âm u của đại dương tiền điện tử, đã sống một con cá voi già được gọi là Hồi Hex 19. Cá voi này, người đã tích lũy được một gia tài trong các mã thông báo hex, sắp trải qua một trận động đất tâm lý sẽ làm xáo trộn thế giới kỹ thuật số của anh ta. 🐳💥

Lúc đầu, có vẻ như Hex 19 chỉ đơn giản là rút tiền từ mã thông báo của mình. Nhưng ôi, cộng đồng đã sai làm sao! Đó là một thời gian dài trước khi họ nhận ra rằng đây không phải là một sự tự nguyện không ngừng, đó là một vụ hack di chuyển chậm đã rút cạn hex đã đặt cược của anh ta trong nhiều năm. 🕵

Cuộc tấn công mạng bắt đầu vào tháng 11 năm 2021, dệt qua nhiều ví lừa đảo và dẫn trở lại một thực thể trực tuyến được gọi là Kon Konpyl, một cái tên khiến các nhà điều tra tiền điện tử rùng mình. 🕷

Vi phạm này didn chỉ cần lắc giá mã thông báo; Nó đã phơi bày một mạng lưới các hoạt động gian lận gắn liền với Inferno Drainer và vụ lừa đảo ví Rabby giả mạo 1,6 triệu đô la khét tiếng vào tháng 2 năm 2024.

HEX tin tặc và web của các kết nối

Một điều tra viên blockchain, người đã nói chuyện với Cryptomoon với điều kiện giấu tên, đã tiết lộ, “Có sự tiếp xúc trực tiếp của đối tác với các ví được sử dụng trong vụ lừa đảo ứng dụng Rabby giả cũng như các quỹ của nạn nhân Hex19 chảy trực tiếp vào ví được sử dụng để rửa sạch các vụ lừa đảo.” 🕵

Lô dòng chính đầu tiên từ ví nạn nhân xảy ra vào tháng 11 năm 2021 và đã tiếp tục trong những năm qua khi tài sản bị khóa trong các cổ phần kéo dài hàng thập kỷ tiếp tục mở khóa, một số người đóng cửa sớm bởi hacker với các hình phạt. 🕰

Các nhà điều tra sâu hơn đã đào vào các ví gắn với vụ hack Hex19, càng rõ ràng rằng đây không phải là một lần đối với tin tặc. Các địa chỉ tương tự xuất hiện nhiều lần trên các chiến dịch lừa đảo, thoát nước ví và những con đường mòn rửa. 🕵

Ví được sử dụng bởi hacker hex19, lừa đảo ví Rabby giả và một số sơ đồ liên quan đến ống thoát nước Inferno, chia sẻ một địa chỉ chung: Konpyl. 🕵

Trong một cuộc điều tra vào tháng 10 năm 2024, Tạp chí Cryptomoon đã phân tích bằng chứng trên và ngoài hành vi được thu thập bởi một nhà điều tra và một cơ quan chính phủ Hoa Kỳ liên kết Konpyl với Konstantin Pylinskiy, một giám đốc điều hành của một công ty đầu tư có trụ sở tại Dubai, người sử dụng biệt danh trong các hoạt động trực tuyến của mình. Pylinskiy đã phủ nhận mọi liên quan đến lừa đảo. 🕵

Điều tra viên cho biết cuộc tấn công vào Hex19 là có thể vì nạn nhân đã lưu trữ các cụm từ hạt giống của mình trong đám mây. Hồ sơ giao dịch cho thấy các tin tặc sử dụng tiền nạn nhân để chuyển tiền ban đầu vào các tài khoản bất hợp pháp của họ, một đặc điểm chung của các chương trình liên kết với Konpyl. ☁

Họ nói, hacker HEX19 theo các mô hình tương tự từ các vụ lừa đảo khác của ‘Konpyl, họ nói. 🕵

Trong một báo cáo tháng 11 năm 2024, Cryptomoon đã biết rằng các ví liên kết với Konpyl có số lượng tương tác cao với các vụ lừa đảo liên quan đến Inferno Drainer, một diễn viên đe dọa lừa đảo như một dịch vụ. Fantasy, một chuyên gia pháp y và lãnh đạo điều tra tại công ty bảo hiểm Crypto Fairside Network, nói với Cryptomoon rằng Konpyl có thể có thể hoạt động ít hơn như một kẻ tấn công trực tiếp và nhiều hơn như là một ủy quyền rửa sạch. 🕵

Bên trong hex hack

Lô tiền đầu tiên bắt đầu chuyển ra khỏi ví vào ngày 21 tháng 11 năm 2021, nhưng hồ sơ blockchain cho thấy ví có thể đã bị xâm phạm sớm nhất là vào ngày 3 tháng 11, vì ví nạn nhân (0x97E, 7 🕵

Vào ngày 21 tháng 11, HEX19 đã bị rút cạn gần 4 triệu đô la trong chín giao dịch riêng biệt. Phần lớn các tổn thất là trong các mã thông báo hex. Điểm đến chính là địa chỉ 0xcfe, 8a11d, chúng tôi sẽ gọi Hex Hacker 1 (HH1).
Cùng ngày hôm đó, HH1 bắt đầu phân chia các khoản tiền bị đánh cắp. Nó đã gửi 2,64 triệu đô la (12,33 triệu hex) đến ví thứ hai 0xA30, 2EA17, hoặc hex hacker 2 (HH2).
Một giao dịch tiếp theo vào ngày 10 tháng 12 năm 2021, đã gửi thêm 616.700 hex (trị giá khoảng 86.700 đô la vào thời điểm đó) từ HH1 đến HH2.
Sau đó, vào ngày 18 tháng 2 năm 2022, HH1 đã chuyển 5,2 triệu hex (trị giá khoảng 1 triệu đô la vào thời điểm đó) và một số ether sang một địa chỉ khác: 0x719a … 4BD0C, nơi các khoản tiền vẫn đỗ cho đến ngày nay.

Ví HH2 xuất hiện trung tâm của những nỗ lực rửa sạch.

Từ tháng 12 năm 2021 đến tháng 3 năm 2022, HH2 đã gửi hơn 1 triệu đô la cho Tornado Cash, giao thức ẩn danh nổi tiếng nhất của Ethereum.

HH2 cũng đã chuyển 106.758 đô la vào DAI sang ví trung gian, 0x837, 2BA9B, được sử dụng để tương tác với các nền tảng DEFI như 1inch để che khuất hoặc hoán đổi các quỹ.
Các trung gian tương tác với 0x7bf, C4EAA, một ví nhận dòng chảy trực tiếp từ Konpyl (một nhân vật trực tuyến đã xuất hiện trong nhiều hoạt động lừa đảo và thoát nước).
Chuỗi rửa HH2, cũng giao nhau với ví có nguy cơ cao-0x909, E4371-được gắn cờ cho hơn 70 giao dịch đáng ngờ.

On May 16, 2024, a third wallet Hex Hacker (HH3) wallet 0xdCe…4f0d8 began withdrawing funds from the compromised HEX19 address.

HH3 has received around $108,000 in HEX from the victim’s account.
HH3 connects to 0x87B…53d92, an address previously CryptoMoon’s November investigation as part of an Inferno Drainer-linked scam. That same wallet shares a commingling address (0xF2F…6a608) with Konpyl, which connects a March 2024 Inferno-linked scam and the Rabby wallet phishing incident.

Finally, a fourth wallet 0x7cc…59ee2 — HEX Hacker 4 (HH4) — enters the picture. Beginning on Jan. 12, 2024, HH4 began siphoning funds from the HEX19 wallet through March.

This wallet interacts with 0x4E9…c71C2, which is a known address used by the fake Rabby wallet scammer.

Lessons from the HEX19 Hack

HEX19, the retired tech veteran has been through booms and busts before — just not ones that emptied millions of dollars from his digital wallet in a single day.

He filed police reports and exchanges couldn’t do much to help, he said. The remaining staked funds, including 10-year HEX locks, became ticking time bombs. He knew the hackers had access, and they were just waiting to extract more.

CryptoMoon has found at least 180 suspicious transactions from November 2021 to October 2024, totaling over $4.5 million. The victim’s wallet still has nine active stakes remaining, though their values aren’t as significant as those prematurely closed and withdrawn by the thieves.

“We’re retired. We live without debt. We live very simply. We have a great family, awesome daughters, granddaughters,” he said in the 2021 community interview. “There’s more to life than money.”

While he doesn’t expect to recover the funds, he does hope his experience helps others think twice before storing their seed phrases online.

2025-04-11 14:10