The Cybercrime Underworld: The Crypto Thieves, Part 2

DREW>

嗯，Coinbase上的很多人都有数百万美元，所以这就是这个新浪潮的动力来源。他们使用数据库中的共性，进入Coinbase——这都是自动化的——然后他们得到他们的余额；然后他们用SIM卡号码切换进行攻击。巨大的获利。可以说，这是你现在能做的最有利可图的事情。

JACK>

现在，到了这一步，我们有足够的信息来确定SIM卡号码切换的目标。我们知道他们有一个Ledger钱包，我们知道他们有一个Coinbase账户，而且我们有他们的用户名和密码。现在需要的是控制他们的电话号码，这样我们就可以得到短信，从而可以登录。但是，虽然这可能足以启动SIM卡号码切换攻击，但大盗们更进一步，试图在SIM卡号码切换攻击之前就弄清账户里有多少钱。

DREW>

不知道你会不会相信，但我要告诉你，Coinbase有一个漏洞可以被利用，大约持续了一个月，可以用来检查任何有效登录账号的余额。除了用户名和密码，你不需要其它的。所以，你不需要通过SIM卡号码切换来查看他们的余额。所以，人们只是针对Coinbase进行数百万次combo list尝试，就能找到Coinbase上的百万富翁。

显然有数百万个这样的人。

JACK>

也就是说，如果你有一个有效的用户名和密码，你就可以看到用户的Coinbase账户里有多少钱。这使得谁会是获利丰厚的SIM卡号码切换的目标变得非常清楚。但你仍然需要2FA代码才能进入并转移资金。只是你暂时不需要它来查看余额。

现在，我已经证实了这一点；Bleeping Computer在2021年10月发表了一篇文章，说由于Coinbase的2FA系统存在缺陷，6000名Coinbase客户的加密货币钱包被盗。现在，我很确定这就是Drew刚才说的这个漏洞。确切地知道某人的账户里有多少钱，对于使你的SIM卡号码切换更加成功至关重要。

关于Coinbase还有最后一点。如果你有一个有效的用户名和密码，并且你登录了，你会看到该用户是否有短信2FA或类似Google Authenticator的东西，因为页面会告诉你如何找到验证码。绝大多数Coinbase用户都使用基于短信的2FA。

然而，如果不知道账户所有人的电话号码也不行。有些时候就是不知道。如果你要对某人进行SIM卡号码切换，你首先得知道他的电话号码，对吗？

不过，Coinbase的页面上会有一条线索——显示了电话号码的最后两位数字，并特别说明输入刚刚发送的七位数验证码到xxx-xxx-xx37（比如是37，或任何最后两位数字）。仅仅知道电话号码的最后两位数字，这一点线索就足以获得完整的电话号码。

DREW>

所以，你必须做的事叫做电话号码追查或ISP doxxing。所以，端点【不清楚这里的端点endpoint指的是什么】，端点会告诉你这个人的真实姓名，它会告诉你电话号码的最后两个数字。有了这些信息，你必须对这个人做一个BeenVerified或White Page搜索。通常情况下，开始是找到他们的名字，找到他们的大致位置，找到他们的电话号码。

有一百万种方法可以做到这一点。我最好的建议是--通过电子邮件，去找这些电子邮件的主人。他们的安全防范不是很好，否则他们就不会泄露密码了。你会找到他们的IP或其他东西，你可以用它来定位他们的位置，然后在White Page或BeenVerified上用他们的名字搜索该地区的人，然后你会发现他们的电话号码会与提示的最后两个相匹配。

JACK>

好的，所以这就是如今这些进行SIM卡号码切换攻击者们选择目标的方法。到这里，他们知道用户名、密码、电话号码，以及通过账户余额了解到这是否是一个获利丰富的猎物。哦，你还可以快速查询该电话号码属于哪种运营商，这样你就可以针对正确的运营商进行SIM卡号码切换。

但这是一个庞大的前期过程，只是为了确定SIM卡号码切换的目标。事实上，这是一个很大的工作，本身就是一个市场。仅仅是确定目标名单和出售这些信息就已经是一个大生意了。

因此，虽然它看起来工作量很大，但有人可以从这里开始介入，直接购买数据，然后去做SIM卡号码切换。

十分钟的remo行动

好，所以，现在我们准备好了SIM卡号码切换这个大事件。

你还记得这个过程是如何开始的，对吗？让一个人跑进T-Mobile商店，从商店经理的手中抢走了平板电脑，然后跑出去。这被称为remo，远程抢夺平板电脑。

但我们还没有准备好走到这一步。在你偷走经理的平板电脑之前，你还需要经理在平板电脑上的密码，对吗？

所以，你需要对商店进行侦察，找出关于经理的一切信息，以尝试对他们进行社会工程学攻击。

DREW>

就是打电话给这位经理，然后类似这样说：我是T-Mobile的EIT Help Desk的张三，能否请你处理一下这个工单？然后给他发一个假的网址，他在上面输入用户名和口令。

JACK>

好，现在有了经理的密码来登录平板电脑，而且我们知道如何获得平板电脑。

但我告诉你，这是T-Mobile正在努力解决的一个重大问题，现在他们内部建立了备忘录，说明了如果商店发生这种情况应该怎么做。首先是立即打电话给IT Help Desk，要求立即禁用这台平板电脑，并锁定经理账户。因此，当这种情况发生时，平板电脑通常在十分钟内被禁用。

所以，我们必须再次获得支持，因为我们只有这10分钟的时间，你必须在这段时间内做所有的事情。所以，你需要做好准备，而我们还没有做好准备工作。

所以，你需要知道的是，这不是由一个人做的；抢平板电脑的只是这个游戏中的一个小卒。

DREW>

显然，在Telegram上的人不是那种会去跑到商店的人。他们会付钱给他们在现实生活中认识的某个二傻子，让他帮他们跑到商店里去。

JACK>

那个跑进去拿了东西就跑出来的人，在这里得到的报酬是最低的。

DREW>

可能会赚200美元，兄弟。我见过有人付给跑腿的人就这么点儿。

JACK>

所以，他们花200美元请人进去拿平板电脑，然后再拿出来给他们。

他们必须在附近设点，因为他们只有十分钟的时间，记得吗？

所以，最终将平板电脑拿在手里操作的人，对使用T-Mobile的软件进行SIM卡号码切换特别熟练。也许这是因为他们以前在商店工作过，或者他们看过关于如何完成的视频。

但是，真正在平板电脑上点击操作SIM卡号码切换的人并不是那个要从Coinbase用户那里偷取加密货币的人。

那是另一群人，他们收集了所有这些Coinbase的log，并等待着有人来做一个remo。

他们都在Telegram的群里面聚在一起，愿意付钱给一个人做remo交换，有时每个号码1万美元。

我只是想确认，当他们聚集在这个Telegram群里时，是不是有人就会说，比如，我希望今晚有人得到remo；我有三个账户，我真的想做。然后所以需要做的就是向做remo的人提供那个电话号码，对吗？

DREW>

完美，伙计。你现在听起来就像一个真正的内行。你在用我们的切口，remo。

JACK>

伙计，我是。有句名言，你可以像个英雄般死去，或是活得够久看到自己变成坏人。我认为这是真的。

DREW>

是的，这很有趣，但是...

JACK>

这是蝙蝠侠。

DREW>

你在使用这些术语。

JACK>

好的。

DRW>

是的，我知道。我听到了。我听到了......

JACK>

所以，待在Telegram上的人说，好吧，星期五晚上，还是星期六晚上。

然后有人说好吧，我想我们要试试。然后他会告诉大家；我要开车去那里，我要去试着抢到平板电脑。我都准备好了。

DRW>

到了非常紧张的时刻。

JACK>

是的，所有这些人都锁上了卧室的门。跟家里人说，类似，别进来爸爸，我今晚会很忙。不要进房间，不管你做什么。然后家里人答复说好吧，我们会给你一些个人时间。就像，你准备......[大笑]。

DREW>

哦，当然。我知道你在说什么。确实是这样。比如有人说，哦，我现在不能做。我得吃晚饭了。

JACK>

是。

DRW>

然后有人会说，兄弟，我们只有十分钟的时间来做这个。没有时间吃晚饭。要么吃饭，要么10万块钱。你选吧。

JACK>

是的。

DREW>

这真的是——不夸张——有时真的是这样的。我们remo时间太短了。

JACK>

这是那种我喜欢想象的场景，屏幕后面的真实人物，如果是一个少年，现在确实就是，那么可能一切随时都会出错，因为他们住在家里。他们还必须清理他们的房间。好吧，那么，不说这些。他们在Telegram中，他们收到了信息，好的，我得到了remo。

你说什么，每个号码1万美元？

DREW>

这样的，根据运营商的情况细分。

目前T-Mobile公司每个号码切换的费用大约是5000美元。如果他们是诈骗受害者，那么你要花费7500美元。欺诈受害者在他们的账户上有特殊的保护措施，但他们仍然是可以绕过的。

Verizon要花费你大概5万美元以上。Verizon的安全性非常好，但如果你有合适的设备，还是有可能的。

比如，你需要一个分行经理——这是一个非常高的职位——的登录账号。所以，你需要能够支付Verizon分行经理很多钱，而且你不能黑掉他们。你做不到——现在看来是这样。我可能是错的。也许我们会发现新的发现。但他们很--你真的只能有一个内线。你不能出卖他或对他做其它的事。

对于AT&T，我认为人们正在把价格降到4000美元，2000美元......2000到3000美元，因为他们的运维工具不是太安全。

JACK>

好的，所以这个做remo的人在几个小时前就让大家知道他们打算在那晚做remo。

DREW>

然后，Activator，激活者，是负责协调remo的。

JACK

所以，激活者在 Discord 频道中告诉大家他们已经得到了 remo，他们已经准备好接受订单了。随即，Telegram中的人开始向他提供信息，电话号码和ICC ID。这些信息他们需要用来将电话号码从客户的手机转移到Telegram中小偷的手机的。

这是一个紧张的10分钟。时间在流逝，在任何时候，那块平板电脑都会被停用，所以他们必须以最快的速度，在这段时间内切到尽可能多的号码。干得好的话，一个激活者一个晚上可以通过这样操作赚取超过10万美元。

DREW>

是的，到了这一步，你就去搞你的lick。

JACK>

又来黑话，lick，什么意思?

DREW>

lick是指，当你搞.....用更简单的语言说，lick是一个成功的log，我们的切口中log是指登录账号信息。所以，每当你击中一个lick，这意味着你提走了他们的余额。钱是你的了，你赢了。

所以，你可以用多种方式来使用这个词。你可以说，这个人看起来像个lick。换句话说，这个人看起来像一个容易搞的目标。你可以用我今天击中一个lick，意思是我在Coinbase账户上成功提款了。

JACK>

所以，现在这些人已经控制了目标的电话号码，这时候他们会以最快的速度操作。

DREW>

大汗淋漓。重置Yahoo的密码。使用目标所在位置附近的代理，登录他们的Yahoo，重置Yahoo的密码。因为大多数时候，这个密码和他们的Coinbase密码不一样。我们会收到Coinbase的设备认证链接。

一直大汗淋漓。

你的holder，持有人，应该在这会儿收到验证码；你大喊着，让你的holder人立即把验证码发给你否则你就不给他们钱。

JACK>

什么？对不起，Holder是谁来着？

DREW>

持有人Holder是指实际拿着接收验证码OTP的电话的那个人。所以，大多数时候，攻击目标账户和提取余额的人不会自己拿着手机，因为这对操作安全不利。

JACK>

天哪。

DREW>

他们有一个指定的holder，这些人只是拿着手机，这样实际操作人就不会被抓住。

JACK>

哦，天啊，所以这整件事也有一个holder参与。是的，holder会得到报酬，因为他们是买了手机并把号码换到手机上的人。

好吧，所以想搞lick的人可能首先会去受害者的电子邮件重置密码。在很多电子邮件供应商那里，为了重置密码，会向你发送一条短信。因此，电子邮件提供商发送短信，holder告诉操作者短信是什么，他们就能获得电子邮件账户的访问权，并从那里尝试登录Coinbase。

输入用户名和密码后，Coinbase向holder的手机发送一条短信，Holder必须把验证码给操作者。操作者现在登录到Coinbase。

但是，在Coinbase中通常会有一个检查，它说，嗯，我们不认识这个设备。我们会给你发一封电子邮件，以验证它是你。那么，这个人已经在他们的电子邮件账户中，所以他们只需要等待电子邮件，然后点击是的，是我，Coinbase就会让他们进入。

现在操作者进入到了某人的Coinbase账户中，该账户中可能有3万、10万，有时甚至超过100万美元。

DREW>

然后你把余额转Coinbase Pro，这样你就能提取资金，然后你把它提取到你的Exodus或MetaMask或Electrum钱包。

JACK>

他们把钱转到Coinbase Pro的原因是那里的每日提款限额更高。但那里也有一个安全检查。在你从Coinbase取款之前，还有一个2FA检查，所以你需要从Holder那里得到另一个短信验证码来启动转账。

但还有另一个安全障碍；Coinbase有一个最大的每日取款限额，有时人们会超过这个限额。但Drew说，这不是一个问题。

DREW>

是的，有一些变通办法。他们利用一个漏洞，我不能说是什么，但有办法提取25万美元或一百万美元。你可以提取巨额的钱。我可以对你说的是，大家都知道的一种方法。在一个论坛上有某个机器人，能够在短时发送大量垃圾请求，淹没对方，这样他们就可以提交并完成一大批小额提款请求。但也有其他方式，是更直接的利用。

JACK>

天啊，这些孩子真有决心。当他们有可能从中获得一百万美元的收益时，他们为什么不呢？

DREW>

新一代的针对加密货币大盗，我个人可能至少认识10个百万富翁，他们都在16岁以下。我知道他们没说谎，因为能看到他们现场发送交易，能看到他们现场击中百万美元lick。

至于老一代人，那些极早期的搞到疯狂的2000万美元的像Michael Turpin这样的目标，他们有1500万美元，1000万美元。他们在进入新的泡沫，如NFTs和网络钓鱼。真正高级的东西。

JACK>

好的，Michael Turpin是一个加密货币投资者，在这个领域还拥有一些初创公司，比如Transform Group和BitAngels。

2300万美元被盗案

2018年1月，有人按照你刚才听到的步骤，黑进了Turpin的加密货币钱包，并从里面偷走了价值2300万美元的加密货币。2300万美元在一个晚上被盗。

你知道，一旦这个人得到了这些，他们就必须向所有帮助他们达到目的的人付钱。在这个案子中，是在AT&T工作的内部人员帮助做到了这一点。

偷了2300万美元的这个人，得手之后仍然不高兴。他发推特说，偷了2300万美元，还是离不开毒品。偷了2千3百万美元，还不能把我的事情搞清楚。

Michael Turpin当然报了警。警察开始调查，并能够找到一些相当可靠的证据，使他们找到一个叫Nicholas Truglia的人，21岁，住在曼哈顿，还有Joel Ortiz，18岁，在波士顿跟他的父母住。他们逮捕了这两个年轻人。

Joel Ortiz被判处十年监禁。

Nicholas Truglia，法庭记录显示，在被捕时拥有超过7000万美元的资产。他认罪，目前仍在审理之中，等待宣判。

至于Michael Turpin，他真的很生气，因为他损失了2300万美元，当然会很生气。他还有另外五十个加密货币账户，都还安全。所以我不知道他的加密货币资金被盗的比例是多少，但他还是很生气，同时起诉了Nicholas和AT&T。

他起诉AT&T要求赔偿2亿美元，声称与他通电话的人说他的电话号码是安全的，不能被SIM卡切换号码，然而事实上就是SIM卡被号码切换了。他希望AT&T承认，他们是他的钱被盗的最大原因。然而，法官驳回了此案。

Turpin也起诉了黑客Nicholas，他赢得了这场诉讼。法官倾向于站在Turpin一边，判给他7500万美元赔偿。因此，虽然特平损失了2400万美元，但他最终得到了7500万美元的赔偿。

疯狂。

DREW>

一个重要的建议给那些加密货币投资者或有Coinbase账户人，这对你来说会非常有用。

用一个专门的邮件地址来处理做这方面的事情。我想说的是，将你的个人电子邮件与你的加密货币投资使用的电子邮件分开。

JACK>

是的，这么说很合理。

我们现在已经从不要重复使用密码发展到不要重复使用高知名度账户的电子邮件。

如果你有一个电子邮件地址，只是用于你的加密货币交易所，而且你在其他任何地方都使用它，那么就很难发现这个电子邮件地址并试图破解它，因为毕竟，你需要一个用户名和密码来进入这些地方，所以为什么不使用户名真的很难找到？如果你的用户名是你做任何事都用的同一个电子邮件地址，那就等于把你一半的登录信息给了和你聊天的人。

个人信息就是攻击弹药

现在，我们刚刚目睹了SIM卡号码切换和窃取他们所有资金的100多个步骤，但我想现在我们来退一步看一看这个问题。

这并非一个快速和简单的方法。

找到一个好的攻击目标要做大量的研究，这一点很重要。

人们总是问我这样的问题：哦，如果我把我的出生日期放在我的Facebook个人资料上，会有什么真正的危险？他们期待着黑客能用某种快速而简单的方式来对付他们，但不是这样的。如果这类犯罪分子嗅到了你有他们想要的东西，他们会把你的生活案例化，并建立一个关于你的大量报告，这样他们就可以完全拥有你的数字生活，成为你。

他们能得到的关于你的每一点额外信息都有可能意味着他们能获得巨额的报酬。如果你的某个不起眼的网站账户被攻破，他们得到了你使用的密码，而你又在其他地方重复使用这个密码，这就为他们打开了大门。显然，获取你的电子邮件和电话号码对他们来说很有价值，所以如果你公开发布这些信息，他们会非常喜欢。还有一些小事情；你在哪个城市，你用什么浏览器，你喜欢什么东西，你喜欢在哪里喝咖啡，以及你的家庭成员是谁。所有这些事情都可以被进一步利用。

如果他们知道你在哪个城市，他们可以在你的位置使用一个代理，使他们的流量看起来像是来自离你很近的地方。如果他们知道你使用什么浏览器，这将帮助他们在试图访问你的账户时看起来更像你，如果他们知道你喜欢什么东西，这可能会告诉他们你生活中的一些其他区域，让他们去查看，如果他们知道你喜欢去哪里喝咖啡，这可能会导致他们在那里与你见面，在你排队买拿铁咖啡时扒你的口袋。

如果他们有关于你的家庭成员的信息，这些家庭成员可能会成为目标。

Drew告诉我一个故事，说有一次他们想进入某个人的账户，他们冒充丈夫给妻子发短信，让她通过短信念出双因素认证码。

他们掌握的关于你的信息越多，他们的攻击就越容易。

想象一下，他们完全可以进入你的银行账户，并决定把所有的钱转出去，但你的银行认为，等等，有些东西似乎不对，他们对转账提出质疑，并说嗯，只是为了确保是你，你的生日是什么？现在，那份你认为是无辜的公开分享的数据，如果你不把它发布到Facebook上，可能就是你的救星。

我希望你现在被说服了，永远不要在公共网站上分享你的私人和个人数据。

你怎么称呼这个，group？

DREW>

有几个不同的词。我们称它为com，首先。我相信你已经听说过com，但我们只是含糊地称自己为com。

JACK>

Com，拼写为C-O-M；它是社区community的简称，这个说法对我来说是新的。在我那个年代，我们把它叫做圈子scene。现在我猜它是社区community。

DREW>

是的，我们只是叫它com，不过。然后我们称——有SIMing com，有cracking com，有Roblox com，有......我在想。哦，还有Twitch com。有Vanilla com。还有infosec com。

JACK>

嗯，我对infosec com不熟，但我听了Drew的解释。他的说法是，在IT安全领域有一些人想成为infosec Twitter的一部分，并作为优秀的安全研究人员受人尊重，但也想做一些非法或不道德的事情，有点像同时扮演无辜的白帽子和阴暗的黑帽子，比如Ryan Phobia Stevenson。这个人报告了他在电信公司发现的几个bug，并因此获得了奖励。但后来他利用这些漏洞从电信公司抓取客户数据并在地下市场上出售。这家伙是在搞双重欺诈。

听起来，每一个小的重点领域都有com，人们可以在其中赚钱。

但所有这些的共同点是，它们都是不道德的com，这就是为什么我称它们为脏com。这些都是恶意的社区。

转战NFT骗局

让我们来谈谈NFTs。所以，每天在新闻中我都能看到对NFTs的攻击，比如有人从无聊猿Bored Ape那里骗取钱财......

DREW>

是的，当然。

JACK>

还有呢...

DREW>

经典的...

Jack>

好的请继续。你看到过。是你们com的人在干这些事情吗？

DREW>

嗯，是的。好吧。最初都来自我提到的真的真的非常有钱的SIM com。所以，那些最初的富有的搞SIM卡切换的人都不在目前的SIM com混了，他们现在偷NFTs。有一个值得注意的群体，我知道 - 我不会说他们的名字，但基本上就是那些去Discords的人。有人在Discord频道里说需要NFT方面的帮助， 他们给这些人需要帮助的人留言，发给他们一些链接。

JACK>

嗯，我这周就亲眼目睹了这一点。我当时在一个NFT的讨论区。

哦，如果你不知道我们这里说的NFT是什么，简单解释下，它就是一些可以买卖的数字艺术品，价格大概每件几千美元，有时甚至几十万美元一个。

在Discord，我收到一条私信，说我被选入这些NFT投放的预售名单中，我必须现在就买。当然，我没有点击这个链接。但频道里有人点了，网站上说为了铸造NFT，你只需要连接你的MetaMask加密货币钱包，并输入你的24个字的种子短语。

这24个字的种子短语是你永远不应该分享的东西。

这基本上是你的加密货币钱包的私人密码，如果你把它交给别人，你基本上把整个加密货币钱包的控制权交给了他们。

这个人把他们的种子短语输入了假网站，他们刚输入完，小偷就进入了他们的加密货币钱包，拿走了他们所有宝贵的NFT，并以半价出售。

小偷在5分钟内赚取了约4万美元的以太坊。

看着这个人的账户在我眼前被吸干，而任何人都无法阻止，这绝对是一件疯狂的事情。

被数字化地抢劫，加密货币和NFT钱包被盗的故事，真是不要太多。

我认为是这些加密货币钱包持有大量的钱，而钱包只是一个浏览器的插件。

如果你把你的加密货币钱包连接到错误的网站，那就完了，而且很容易把它连接到错误的网站。这有点像你把你的银行账户作为一个插件在浏览器中直接访问，而你访问的所有网站都想看一看它。

但这只是一个开始。几乎每天都有这种情况发生。有这么多骗子试图进入人们的加密货币钱包，里面可能有加密货币，或者是一个NFT。如果你在这个领域玩，这里有大量骗局，而且发生地极快，从各个角度向你袭来。

例如，我前几天看到的另一个大骗局是，一个NFT刚要推出他们的项目，推出日会是一个大日子。每个想参与的人都准备急于铸造他们的代币，并希望它能涨价。所以，在这种时候都很狂热，因为供应有限，你不希望被错过购买。所以，已经发生的是，当人们急着买东西的时候，他们很容易犯错误。通常急切的买家会在该NFT的Discord聊天室里观看发生的事情。但是，这里面有一大堆事情可能出错。

首先，聊天室的主人可能会被黑客攻击，我们看看这种事是怎么发生的。

DREW>

他们通过朋友建立起自己的信誉。总是这样的。

嘿，我的朋友说我应该和你谈谈。最终，他会发送了某种文件，文件里面是Discord令牌。

JACK>

如果你使用Discord，你大概不会在每次访问Discord网站或打开Discord程序时都输入你的用户名和密码。这是因为一旦你进行了认证，在你的电脑上就会有一个小小的认证令牌存在，它能让你保持登录状态。但如果你能拿到某人的认证令牌，那么你就可以作为那个人登录，而不需要密码。

认证令牌包括了所有的认证的需要东西。是的，如果你能让别人安装你的恶意软件，恶意软件可以偷取令牌。好吧，如果你能进入一个流行的Discord频道的版主账户，该频道即将推出NFT，那么你可以赚一大笔钱。你需要做的就是复制这个NFT的官方网站，这很容易，然后做一个类似的URL，但有一个字母不同，并改变有人购买NFT时的资金去向。这些资金并没有去NFT制作者那里，而是进了你的钱包。所以，现在你需要做的就是引导人们到你的页面，由于你是频道版主，你可以做到。

DREW>

发布一条主要信息【假的官网网址】，炮火连天【代币像子弹一样冲进你的钱包】。我们会这么说。

JACK>

信息可能是这样的："Minting现在上线了，向公众开放，但要抓紧时间，我们将在10分钟内关闭。”

有些 Discord 频道有超过 50,000 人在那里，准备购买。你可以想象，如果50,000人看到这样的消息，项目已经上线，他们已经准备铸币，他们就会涌向网站购买他们的NFT。我已经看到这种情况一次又一次地发生。骗子们正在感染Discord，并在十分钟内通过这种方式赚取超过10万美元。

还有其他的骗局，在 Discord上也在进行。

DREW>

有些人实际上是在购买NFT Discords，大家甚至没有意识到这一点。这些人使用“增长服务”来培育NFT Discords频道。他们从Instagram上的人那里得到shout-out包，验证用户。他们培育NFT Discords频道只是为了让骗局退出，或者只是为了把它们卖给那些会做骗局然后推出的人。

JACK>

哦，是的，我也看到过这种情况。

如果你发现一个NFT项目在Twitter上有10万个粉丝，在Discord上有8万个成员，你就会认为那是一个热门的NFT项目，并对它更加兴奋。但这些数字都是假的。这是一个上周刚买的Discord频道，里面已经有8万名成员，但他们都是机器人。因此，它创造了一个虚假的繁荣景象，然后推出一个项目，人们付款购买，然而除了在Fiverr上由某人制作的一些廉价艺术品外，什么也没得到。创作者只是拿了钱就走了。

如果做得好，这样的骗局可以让人赚到10多万美元。

这些当然是相当复杂的骗局。它需要很长的时间。你必须建立一个网站，购买一个NFT服务器，创建所有的艺术品。这并不容易，需要一些真正的技巧。

但是，如果NFT骗局还不够多的话，还有大V骗局正在发生。

DREW>

他们会找一个有名望的人在前期站台。他们有钱，是加密货币领域的大V，能让很多人信服，然后掉入他们的陷阱。他们说服他们的朋友落入NFT骗局，而为他们设圈套的人就是那么以前做SIM卡号码切换如今百万身价的人。很可怕。

JACK>

天哪，在NFT这个领域你连自己的朋友都不能相信。他们可能是被骗子收买来骗你的。我曾经涉足过这些NFTs，我告诉你，它不适合初学者。

这里充满了地雷、黑客、小偷、骗子、罪犯等等，对我来说，看到周围发生的疯狂行为很有趣。这里并不适合所有人。这里有些人正极力想伸手进入你的加密货币钱包，榨干你的资产。他们可以肆无忌惮地做这件事，因为要追踪加密货币盗窃案是非常困难的。

DREW>

那些人，都是为了赚钱，绝大部分，比如Joel Ortiz, Nicholas Truglia, Xavier Clemente。

JACK>

你为什么要在这里指名道姓？

DREW>

我的意思是，他们都是公开的名字，都被捕了。

JACK>

哦，好吧。哦，他们——这些人都被逮捕过？

DREW>

这些可能是被逮捕的最有名几个SIM卡号码切换玩家——PlugWalkJoe，又名Joseph，James O'Connor，等等。

JACK>

好的，我得查查这些人做了什么。

落网的少年大盗

Joel Ortiz因SIM卡切换被捕。事实上，他是有史以来第一个因SIM卡切换被定罪的人。很疯狂。2019年是第一次有SIM卡切换者被定罪。如果只有三年前是第一次有人被定罪，这才是真正的现代犯罪的定义。Joel Ortiz21岁，来自波士顿，根据警方的说法，他骗了40个人，总共偷了700万美元通过SIM卡号码切换。他被逮捕，并因此被判入狱十年。

我们已经谈过的Nicholas Truglia，正在等待判刑，但Drew也提到了Xavier Clemente。这家伙因SIM卡切换被捕时只有19岁。警方说他偷了超过一百万美元的加密货币。

然后是PlugWalkJoe，名叫James O'Connor。他22岁，住在英国，当时他因SIM卡切换被捕。当局说他这样做偷了70多万美元。

这个名单还在继续。

Yousef Selassie，一个来自布鲁克林的19岁少年，因偷窃一百万美元的加密货币而被捕。

有一个人，绰号是Baby Al Capone。他偷了2000万美元的加密货币。这家伙被捕时只有15岁。

还有两个人，Ahmad Hared和Ahmad Hared。他们因合作进行SIM卡切换和偷窃一些加密货币而面临指控，

还有Eric Meigs，一个因SIM卡切换而被捕的家伙；他偷了50多万美元。

Declan Harrington因进行SIM卡切换攻击而认罪。

暗网日记第106期Podcast提到过Shane Sonderman因SIM卡切换而被捕，目前他正在监狱中，刑期五年。

还有Corey De Rose，一个来自英国的22岁的年轻人，他被指控偷了100个比特币，现在正面临入狱。

哦，顺便说一下，警方没收的物品令人难以置信；豪华手表，豪华汽车，顶层公寓。这些孩子们造钱的速度和得到这些钱一样快，几乎所有的人都有赌瘾，他们会把一些钱放在网上的赌场里，转动轮子，试图博个更大的。他们有点喜欢在直播中展示他们愿意下的赌注，以便其他人可以看到他们有多少钱。疯狂。

DREW>

所以，在他们的Telegram频道上，他们会主动发布目标人物的截图，以及账户里面有多少钱，并刚刚从他获取了数百万美元。你可以证实这一点，因为他们真的会给你看链上交易数据TxIDs和他们的比特币钱包，里面装满了数百万美元。他们每天都给出数千美元的赠品。他们只是用他们的钱做一些可笑的疯狂的事情，因为他们是孩子。

JACK>

这个名单还在不断增加。很多未满18岁的人被逮捕，因此，我们从未在新闻中看到他们的名字。他们中的一些人被抓后，只是被迫归还偷来的加密货币或NFT，得到一个严厉的警告。

我不知道你怎么想的，但这一切让我大为吃惊。

在这之前，我不知道这个地下社区是什么样子的。但现在我觉得我的眼睛已经适应了，我可以在黑暗中看到。你也有这种感觉吗？现在我觉得互联网上是一个全面开展的战场。

是的，我们每天都听到另一家公司受到勒索软件或数据泄露的打击，但所有这些都没在我的后院。

但这些，就是在我的后院，以普通人为目标的青少年。他们的绰号并不是巧合。一个人叫 Baby Al Capone，另一个叫 Billy the Kid。Billy the Kid以前里曾在火车上抢劫。他只是随便找个人向他们要钱，看来这里也有同样的事情发生。如果你公开提到你有大量的加密货币，你可能会想到有人会想从你这里偷走这些钱。

如何在战场中自保

这不是世界上最容易保持安全的事情，真的很棘手。

因此，如果你持有加密货币，我强烈建议你不要把你所有的东西放在一个地址里。把它分成不同的钱包，因为如果有东西被泄露，你不希望他们把整个存钱罐都拿走。

电话公司也许应该加强他们的安全。听起来他们在努力增加难度，这就是为什么今天每个SIM卡号码切换要价1万美元的原因。但是当有内部人士作为区域经理参与其中的时候，他们怎么能消除这种情况呢？他们可能通过帮助一个SIM卡切换者做一个百万美元的lick来获得相当于一整年的工资。对于真正需要钱的人来说，这可能是一件很难拒绝的事情。也许答案是不要再使用SIM卡，只需在口袋里放一个Wi-Fi热点，当你需要给别人打电话时，把你的手机取出来。

我也不知道。

像Coinbase这样的交易所在使犯罪分子很难进入某人的账户方面做得相当好。事实上，Drew说的那个让人在没有2FA的情况下检查账户余额的漏洞，我想Coinbase已经补偿了所有中了那个漏洞的人，他们也在继续改进。

但也许他们应该强迫每个人使用Google Authenticator。这将使这些人更难，或者也许让你选择在网站上有第二个密码，只用于转账。问题是，他们越是让罪犯更难偷东西，就越是让用户更难使用该网站。因此，这成为一个困难的平衡。

除此之外，我确信朝鲜一直在攻击Coinbase，试图在某个地方找到一个热钱包并偷走它。所以，他们真的有一个沉重的负担，他们必须抵御。没有压力，对吗？

至少在我看来，很明显的是，即使你解决了其中的一些问题，这些肮脏的com中的人也只是找到另一种方式来做。

随着互联网的快速发展，软件和网站并不总是把安全放在第一位。这会导致一些后果。

就像我一开始说的，没有很多智慧被代代相传，告诉人们互联网的危险是什么，无论是对网站的用户还是对试图入侵他们的青少年。我认为，在变得更好之前，情况会变得更糟。

甚至可能要再过四十年，我们才能看到一个人们以安全、负责任的方式上网的世界，用户重视自己的隐私和安全高于一切，知道不要安装让你的隐私处于危险之中的应用程序或购买那么暴露隐私的设备，并对外面的数字危险有强烈的认识，做一些事情来保护自己。

这就是为什么我认为这一集对你来说很重要，你可以听一听。

现在你对为什么有人会以你为目标，以及他们如何做攻击这一点有了更清晰的认识，也许你以前甚至从未想过你是目标。这就是像Defcon这样的会议存在的原因，这是一个黑客去炫耀他们所学到的所有新的黑客方法的会议。那里的主要重点是分享进攻性黑客技术，而分享这些技术可以说使安全变得更好，因为如果人们不分享这些技术，那么我们就不知道问题的存在，你也就无法做一些事情来防御它。

真正的罪犯和民族国家行为者不公开分享他们的技术，因为他们不希望它被修复。

我们不能简单地忽视并希望安全问题以某种方式神奇地得到解决。我的希望是，现在你已经听到了所有这些技术，你现在会比以前更认真地对待你的数字生活。我想象着这样一个世界：用户受到了很好的安全教育，以至于他们自觉地过度保护自己，因为他们已经被坏人打击了太多次，或者只是被正确地教导如何实践安全的互联网使用。

电视剧《Mr. Robot》中有这样一段：黑客Elliot进入一栋办公楼，他想使用某人的电脑，他环顾四周，试图找到一个好人进行社会工程学攻击，让他们从电脑前站起来，以便他可以使用他们的终端。他看到一位年长的女士，他想，好吧，这位年长的女士肯定是被说服让Elliot使用她的电脑的最佳人选。场景是下面这样的。

ELIIOT: 嗨，Edie。我是信息技术部的Henry。

EDIE：你好。

ELLIOT： 我们发现你使用了一些未经授权的远程访问软件，从家里连接到你的电脑工作站。

EDIE：哦，天哪。这不可能。

ELLIOT：别担心，我只是要看看你的机器，进行评估，以确保你没有安装未经授权的桌面共享服务。

EDIE：我必须质疑这一点。我对我的系统进行了比标准配置更进一步的加固，包括一个限制性的基于主机的防火墙规则集和白名单，以阻止未经授权的应用程序运行。

ELLIOT：我可能选错了人选。

JACK>

这不是很美吗？那位女士对她的数字环境如此了解，并采取了如此多的安全防范措施。这让我热泪盈眶。想象一下，在这个世界上，普通的互联网用户都受过这样的教育，对他们的数字安全非常重视。但我们需要很长的时间才能达到这个目标。有时候，事情需要在突破之前就已经崩溃了。外面的数字世界是一个战场。要小心，但要勇敢。坚持住。你能做到。认真对待你自己的数字安全。养好良好的数字卫生习惯。祝你好运躲过子弹。