Coinbase прослеживает путь около 1,1 млн долларов от фишингового сервиса EvilTokens

Coinbase проследила около 1,1 млн долларов выручки EvilTokens — фишингового сервиса на базе ИИ. Coinbase обнаружила эту выручку на четырех адресах в сети Tron в период с октября 2025 года по июнь 2026 года. Сервис получил более 1 000 депозитов с более чем 700 отдельных адресов. Выручка представляла собой платежи EvilTokens, а не средства, украденные у жертв фишинга. Microsoft и Coinbase помогли ликвидировать сервис. EvilTokens был связан с более чем 12 000 взломанных почтовых ящиков по всему миру. Microsoft заявила, что в течение нескольких месяцев после запуска сервис охватил более 10 000 организаций. Операция затронула финансовые услуги, недвижимость, здравоохранение, строительство и другие отрасли. Microsoft и ее партнеры изъяли 50 сайтов, использовавшихся EvilTokens. Они отключили более 150 связанных доменов. Полиция Великобритании 11 сентября арестовала двух мужчин по подозрению в правонарушениях, связанных с предполагаемой операцией. Позднее полиция освободила обоих мужчин под условный залог. EvilTokens продавал свои инструменты через Telegram в качестве сервиса по подписке. Microsoft заявила, что клиенты платили вступительный взнос в размере 1 500 долларов. Клиенты также платили регулярную абонентскую плату в размере 500 долларов. Сервис использовал процесс аутентификации Microsoft с помощью кодов устройств для получения доступа к почтовым ящикам. Злоумышленники отправляли коды аутентификации через фишинговые письма, замаскированные под счета или общие файлы. Пользователи, вводившие коды, одобряли сеансы, инициированные на устройствах злоумышленников. EvilTokens использовал инструменты ИИ для перевода и обобщения сообщений. Эти инструменты также выявляли доверенных контактов и сотрудников, имевших полномочия на проведение платежей. Microsoft заявила, что предустановленные запросы помогали выявлять сотрудников, контролирующих движение денежных средств в организации, и рекомендовать людей для выдачи себя за них. Следователи обнаружили свидетельства того, что инструменты для написания кода с помощью ИИ помогли создать отдельные компоненты EvilTokens. Coinbase объединила данные о транзакциях с записями продавцов, информацией об устройствах и разведданными из открытых источников, чтобы помочь установить связь сервиса с его предполагаемыми операторами. Coinbase передала информацию в столичную полицию Лондона. Биржа также передала правоохранительным органам дела, связанные с покупателями EvilTokens. Доказательства Coinbase способствовали подаче Microsoft гражданского иска против сервиса. Некоторые пользователи Coinbase отправляли криптовалюту на адреса, контролируемые мошенниками, после того как злоумышленники получили доступ к переписке по электронной почте. Учетные записи и учетные данные Coinbase взломаны не были. Coinbase заявила, что оператор планировал расширить набор инструментов на учетные записи Gmail и Okta. Microsoft предупредила, что удаление нынешней инфраструктуры не устранит этот метод. Microsoft рекомендует блокировать аутентификацию с помощью кодов устройств там, где она не требуется. Microsoft советует организациям ограничивать этот процесс там, где он необходим для работы. В случае предполагаемого взлома Microsoft рекомендует отзывать токены обновления и принудительно проводить повторную аутентификацию. Microsoft заявила, что стандартный отзыв сеансов может оставить существующие токены доступа действующими на срок до часа.