Rimozione di una Rete di Clone di un Protocollo DeFi
Una rete coordinata di 27 canali clone che impersonavano un importante protocollo DeFi, prosciugando circa $ 340.000 dagli utenti in 6 settimane prima della neutralizzazione.
Panorama della Minaccia
Un attore malintenzionato sofisticato aveva dispiegato 27 canali clone Telegram in 5 varianti distinte di nome utente, ciascuno rispecchiando il branding del progetto ufficiale, i messaggi pinzati e l'elenco degli amministratori. I clone erano organizzati in un imbuto a più livelli: i canali di livello 1 trasmettevano falsi annunci di airdrop, i bot di supporto di livello 2 raccoglievano approvazioni di wallet e i gruppi privati di livello 3 ospitavano truffe 'whitelist' a pagamento. I community manager del protocollo sono stati bloccati dal canale ufficiale tramite un attacco SIM-swap sull'account amministratore principale.
Cronologia dell'Incarico
Giorno 1
Accoglienza e Triage
Ricevuto il briefing del cliente. Mappatura completa della rete di clone tramite analisi delle menzioni tra canali e scraping dei metadati.
Giorno 2-3
Mappatura dell'Infrastruttura
Identificati 5 account Telegram C2 utilizzati per il coordinamento, 3 account Fragment collegati e un VPS gestito che ospita l'infrastruttura dei bot.
Giorno 4-6
Rimozione Multi-Vettore
Segnalazione massiccia coordinata eseguita con pacchetti di prove. Escalation a Telegram tramite canale di segnalatore fidato. Bot di risposta automatizzati dispiegati per intercettare i nuovi arrivati.
Giorno 7-10
Verifica e Consegna
Tutti i 27 canali confermati neutralizzati. Accesso amministratore ripristinato per il team originale. Monitoraggio post-operazione avviato per 30 giorni.
Tattiche Utilizzate
Risultati
Torna ai Casi Studio