Аналитики Insikt Group (группы угрозового анализа компании Recorded Future) раскрыли детали крупной киберпреступной операции, специализирующейся на краже криптовалюты. Группа под названием Rublevka Team с 2023 года заработала более $10 млн, используя фишинговые сценарии для опустошения криптокошельков жертв. Её модель, напоминающая услуги по принципу ransomware-as-a-service, демонстрирует переход к масштабируемым сервисным схемам киберпреступности, представляющим растущую угрозу для криптоплатформ и пользователей.
Описание
Группа действует как «traffer team» - сеть из тысяч специалистов по социальной инженерии, которые направляют трафик потенциальных жертв на вредоносные страницы. В отличие от традиционных групп, таких как Marko Polo или CrazyEvil, которые распространяли инфостилеры (программы-похитители данных), Rublevka Team использует кастомные JavaScript-скрипты, внедряемые на поддельных посадочных страницах. Эти страницы имитируют легитимные криптосервисы, включая Phantom, Bitget и Jito, и обманом вынуждают пользователей подключить свои кошельки и подписать мошенническую транзакцию, которая переводит все их активы злоумышленникам.
Инфраструктура группы полностью автоматизирована и масштабируема, что позволяет ей быстро расти. Через Telegram-бота и специализированные каналы Rublevka Team предоставляет аффилиатам (партнерам-исполнителям) инструменты для генерации посадочных страниц, отслеживания кампаний, обхода блокировок и защиты от DDoS-атак. «Осушитель» (drainer) кошельков совместим более чем с 90 типами кошельков в сети Solana (SOL), на которую группа переключилась весной 2025 года из-за низких комиссий и высокой скорости транзакций.
Модель мошенничества типична: аффилиат создает привлекательное предложение, например, информацию о раздаче токенов (airdrop), и распространяет ссылку через социальные сети. Жертва, перейдя на поддельную страницу, подключает кошелек и подписывает транзакцию, после чего все её активы незаметно выводятся. Основной частный Telegram-канал группы «[RublevkaTeam] Profits» содержит более 240 000 сообщений об успешных операциях, что указывает на как минимум такое же количество пострадавших кошельков. Суммы отдельных краж варьируются от $0,16 до свыше $20 000.
Эксперты отмечают, что подобная сервисная модель значительно снижает технический порог входа в криминальную деятельность, создавая обширную экосистему аффилиатов по всему миру. Это представляет серьезную угрозу для репутации криптобирж, финтех-компаний и брендов, которые активно имитируются мошенниками. Даже если компрометация происходит за пределами официальной платформы компании, её могут привлечь к ответственности из-за неспособности выявлять поддельные страницы или защищать клиентов.
Операционная устойчивость группы подкрепляется использованием постоянно сменяемых доменов, продвинутых функций маскировки (cloaking) и эксплуатацией API удаленного вызова процедур (Remote Procedure Call, RPC) блокчейна Solana для проведения транзакций. Эти методы затрудняют традиционное обнаружение мошенничества и процедуры изъятия (takedown) вредоносных доменов.
По данным аналитиков, с декабря 2025 года группа столкнулась с перебоями в работе части своей инфраструктуры, но её модель остается жизнеспособной. В будущем ожидается распространение подобных схем на другие блокчейн-экосистемы, что потребует от компаний проактивного мониторинга, сотрудничества по изъятию вредоносных ресурсов и усиления проверок пользователей для противодействия социальной инженерии. Успех Rublevka Team подтверждает общий тренд: масштабируемые сервисы на основе социальной инженерии становятся не менее опасным инструментом кражи цифровых активов, чем классическое вредоносное ПО.
Индикаторы компрометации
