Общий доход от деятельности группы, в том числе от продвижения своих токенов через захваченные аккаунты и отмывания средств через разные блокчейны, превысил $14 млн.
Расследование выявило движение средств в пяти сетях: Solana, BNB Chain, Эфириум, Tron и Hyperliquid. Группа также причастна к фишинговой атаке 2024 года, в результате которой у жертвы похитили wstETH на $2,45 млн, предположил Specter.
Specter проанализировал атаку на аккаунт Гилла и выявил 11 кошельков, предположительно, принадлежащих злоумышленникам. Один из них получил $10 000 из BNB Chain с кошелька, который ранее использовался для комиссий за токен-клон Pepe, запущенный через bnbshare.fun во время взлома аккаунта Мэтта Фьюри 14 апреля.
Во время взлома аккаунта Фьюри неизвестный от имени владельца написал, что его «взломали какие‑то типы с Solana», и запустил токен Pepe в BNB Chain со встроенным механизмом автоматического сбора 2% от суммы каждой транзакции. Данные BscScan показывают: кошелек создателя токена пополнили со счета биржи KuCoin за 100 дней до атаки.
По той же схеме произошел взлом аккаунта архиватора файлов WinRAR 4 мая. Specter отследил, что еще один кошелек Tron (TGX2E), использованный при отмывании средств после взлома Гилла, связан с кошельком комиссий токена Pepe на Solana и с кошельком WinRAR для получения комиссий.
Платформа для запуска токенов в BNB Chain, bnbshare.fun, может быть ключевым элементом мошеннической схемы. Ее разработал пользователь Х под ником aliasbacardi, запустивший токен SHARE, комиссии от которого поступали на кошелек 0x4FC8…7257. Этот же адрес перевел $237 на кошелек Solana G9XSs…XBcD, который напрямую связан с кошельками хакеров, взломавших Гилла, объявил анонимный исследователь. Specter утверждает, что после проверки профиля aliasbacardi все посты были удалены, хотя ответы подтверждают активность в Х вплоть до 6 мая.
Specter установил, что кошелек Tron TK5Z, использованный при отмывании средств от взлома Гилла, в конце марта отправил $46 000 с Эфириума. Цепочка транзакций привела к кошелькам на Эфиририуме (0xE443…804c) и Solana (ERaq…GHBR) — они ранее использовались для развертывания и объединения токенов, включая USOR, VDOR, DROID, WCOR, UGOR. Все они были обесценены после накачки капитализации, сообщил аналитик.
Ранее другой анонимный криптодетектив ZachXBT выявил схему мошенничества с токеном проекта LAB.