Устранение сети клонов протокола DeFi
Скоординированная сеть из 27 клонированных каналов, имитирующих крупный протокол DeFi, вывела около 340 000 $ у пользователей за 6 недель до нейтрализации.
Ландшафт угрозы
Сложный злоумышленник развернул 27 клонированных каналов Telegram в 5 различных вариациях username, каждый из которых зеркалировал официальный брендинг проекта, закреплённые сообщения и список администраторов. Клоны были организованы в многоуровневую воронку: каналы первого уровня транслировали фейковые анонсы airdrop, боты поддержки второго уровня собирали одобрения кошельков, а частные группы третьего уровня размещали платные скам-схемы "whitelist". Менеджеры сообщества протокола были заблокированы в официальном канале через SIM-swap-атаку на основной аккаунт администратора.
График поручения
День 1
Приём и триаж
Получен брифинг клиента. Полностью составлена карта сети клонов через межканальный анализ упоминаний и сбор метаданных.
Дни 2-3
Картирование инфраструктуры
Выявлено 5 C2-аккаунтов Telegram для координации, 3 связанных аккаунта Fragment и управляемый VPS, хостирующий бот-инфраструктуру.
Дни 4-6
Многовекторная нейтрализация
Проведён скоординированный массовый репортинг с пакетами доказательств. Эскалация в Telegram через доверенный канал репортёров. Развёрнуты автоматические боты-ответчики для перехвата новых участников.
Дни 7-10
Верификация и передача
Все 27 каналов подтверждены как нейтрализованные. Доступ администратора восстановлен для исходной команды. Запущен послеоперационный мониторинг на 30 дней.
Использованные тактики
Результаты
Назад к кейсам