YouTuber Kitboga nhốt 200 kẻ lừa đảo trong “mê cung bất khả thi” [video]

 (youtube.com)
2 điểm bởi GN⁺ 2023-11-04 | 1 bình luận | Chia sẻ qua WhatsApp
  • Kitboga và nhóm đã tạo một hệ thống hoàn Bitcoin giả để giữ chân nhiều kẻ lừa đảo đến mức khó có thể trực tiếp đối phó hết, khiến chúng tin rằng có thể nhận Bitcoin bị đánh cắp
  • Cái bẫy dùng mã và QR từ thẻ quà tặng/biên lai ATM giả làm mồi nhử, buộc chúng lần lượt vượt qua CAPTCHA, thanh tải, hàng chờ điện thoại, menu hỗ trợ khách hàng, xác minh bằng hình vẽ và mê cung
  • Trong vài tháng, hàng trăm người đã mắc bẫy, tiêu tốn tổng cộng 60 ngày, 1.440 giờ; một kẻ lừa đảo dùng hơn 5 ngày, còn một kẻ khác đăng nhập liên tục 40 ngày
  • Khi các kẻ lừa đảo nhập địa chỉ ví thật, những ví từng luân chuyển hàng trăm nghìn USD cũng bị lộ; cùng đội chống lừa đảo của Kraken, nhóm đã điều tra các ví từng đi qua hơn 280 BTC
  • Công cụ khởi đầu như một trò đùa đã dẫn đến hỗ trợ nạn nhân thực sự, giúp một phụ nữ lớn tuổi bị lừa suốt 6 năm và hàng chục nạn nhân tại Mỹ nhận được trợ giúp

Hệ thống Bitcoin giả để giữ chân kẻ lừa đảo

  • Kitboga nhận thấy có quá nhiều kẻ lừa đảo qua bình luận YouTube, điện thoại, thậm chí cả những kẻ mạo danh chính anh, đến mức khó tự mình xử lý, nên cùng nhóm tạo một cái bẫy tự động để liên tục giữ chân chúng
  • Khi đưa cho kẻ lừa đảo thẻ quà tặng Bitcoin hoặc biên lai giả, chúng tin rằng có thể nhập mã để hoàn đổi một cách dễ dàng
  • Website thực chất là một nền tảng giả mang chủ đề Bitcoin và ghi lại mọi tương tác
    • Chúng cố mở loại ticket hỗ trợ nào
    • Chúng giải CAPTCHA nào
    • Chúng chờ thanh tải nào
    • Chúng cố đi qua quy trình điện thoại nào
  • Kẻ lừa đảo không bao giờ có thể nhận được Bitcoin, và ngay từ đầu số Bitcoin đó cũng không tồn tại

CAPTCHA, thanh tải và hàng chờ điện thoại để đánh cắp thời gian

  • Một trong những chướng ngại đầu tiên là CAPTCHA giả dựa trên hình ảnh do AI tạo, với việc đúng sai hoạt động như xác suất 50%
    • Xuất hiện các câu hỏi mở như số lượng hạt, độ cao sóng, chiếc xe nhanh nhất, mặt xúc xắc
    • Kẻ lừa đảo nhập các câu trả lời như “uncountable”, “32 ft”, “beam balance”, “8”, “1,232”, “1,322”
  • Giữa các CAPTCHA, hệ thống cố ý chèn thanh tải dài, khiến chúng dễ dàng lãng phí 10–15 phút ngay cả trước khi tới được dashboard trực tuyến
  • Khi nhập địa chỉ ví, lần nào cũng báo lỗi và chuyển sang gọi hỗ trợ khách hàng
    • Menu điện thoại liên tục không hiểu các lựa chọn nhập vào như option five
    • Hàng chờ đưa ra thông báo như chờ 10–19 phút, có 13 người đang chờ, nhưng thực tế không có tư vấn viên nào
    • Trong lúc chờ, hệ thống yêu cầu lặp lại các cụm như “colorful comrade”, “buttered bicycle”, “purple pig” để kiểm tra người gọi có còn đang nghe hay không
  • Cuối hàng chờ là nhiều kết cục giả khác nhau
    • Có vẻ như tư vấn viên bắt máy nhưng không ai phản hồi
    • Hướng dẫn sang hỗ trợ qua email nhưng làm địa chỉ khó nghe rõ
    • Tư vấn viên ghi âm khiến người gọi nhầm lẫn giữa xác nhận và hủy rồi kết thúc cuộc gọi
    • Chuyển đến hộp thư thoại nhưng hộp thư đầy nên không thể để lại tin nhắn

Xác minh bằng hình vẽ và mê cung gần như bất khả thi

  • Gần đây, hệ thống bắt đầu yêu cầu kẻ lừa đảo vẽ hình để xác nhận là người thật
    • Chúng phải vẽ lại các hình như con rắn đội mũ, khối lập phương, con chuột, con quạ nâng tạ, robot
    • Kết quả đúng sai được quyết định với xác suất 50%
    • Một kẻ lừa đảo gửi tin nhắn rằng hoàn tất xác minh con người là điều bất khả thi theo đúng nghĩa đen
  • Hệ thống đặt ra bối cảnh rằng cần entropy ngẫu nhiên để tạo passphrase bảo mật, và để làm vậy chúng phải hoàn thành một mê cung
    • Mê cung khó đến mức chính Kitboga cũng thử khoảng 10 phút mà không hoàn thành được
    • Một kẻ lừa đảo thử mê cung 127 lần và hoàn thành, nhưng sau đó lại bị đặt lại và phải làm từ đầu
  • Với một số kẻ lừa đảo, hệ thống hướng dẫn chuyển điện thoại sang chế độ máy bay để rút tiền
    • Khi bật chế độ máy bay, cuộc gọi bị ngắt
    • Một kẻ lừa đảo đếm ngược từ 10 rồi cuộc gọi bị ngắt

Thời gian bị lãng phí và điều tra ví lừa đảo thật

  • Trong vài tháng, hệ thống đã giữ chân hàng trăm kẻ lừa đảo và tiêu tốn tổng cộng 60 ngày, tức 1.440 giờ
  • Một kẻ lừa đảo tin rằng có thể nhận Bitcoin giả và dùng website hơn 5 ngày
  • Một kẻ lừa đảo khác truy cập website liên tục trong 40 ngày
  • Cũng có trường hợp các kẻ lừa đảo tin hệ thống và nhập địa chỉ ví thật có giá trị
    • Một số ví có lịch sử luân chuyển hàng trăm nghìn USD
    • Nhóm hợp tác với đội chống lừa đảo của Kraken để điều tra ví và xem xét khả năng chặn
    • Trong các vụ lừa đảo bị can thiệp và báo cáo, số Bitcoin đi qua một số ví là hơn 280 BTC
  • Đội Kraken đã hỗ trợ xây dựng công cụ và tham gia với vai trò đối tác giúp điều tra ví lừa đảo cũng như kẻ lừa đảo

Kết quả từ trò đùa đến hỗ trợ nạn nhân

  • Một ngày nọ, đội hỗ trợ Kraken báo cho Kitboga rằng có người hỏi về “Bitcoin stock” và trông có vẻ bối rối
  • Người phụ nữ đó đã gửi cho Kraken địa chỉ email và tên người dùng của Kitboga; sau đó, kẻ lừa đảo bảo bà gọi vào đường dây nóng Bitcoin giả, nhờ vậy hai bên được kết nối
  • Người phụ nữ này là một nạn nhân lớn tuổi bị lừa đảo suốt 6 năm, và phía Kitboga đã giải thích tình hình rồi hướng dẫn để bà nhận được sự trợ giúp cần thiết
  • Sau đó, hàng chục nạn nhân tại Mỹ đã gọi vào hệ thống này, được giải thích về tình huống lừa đảo và được kết nối với những người cần thiết tại địa phương
  • Ban đầu đây là một ý tưởng thú vị nhằm lãng phí thời gian của kẻ lừa đảo, nhưng đã trở thành một dự án dẫn tới điều tra ví thật và hỗ trợ nạn nhân

Bài viết liên quan

1 bình luận

 
GN⁺ 2023-11-04
Các ý kiến trên Hacker News

  • Đoạn phải chờ hàng dài mới kết nối được, rồi bị chuyển sang trả lời tự động “hộp thư đã đầy” quá là thực tế
    Tôi biết đó là một chi tiết được cố ý dựng lên, nhưng gần đây tôi đã gặp đúng chuyện y hệt với một hệ thống quan trọng của chính phủ
    Tôi gọi cho California EDD để nhận phần còn thiếu của khoản nghỉ phép gia đình có lương của tiểu bang, nhưng không có cách nào xử lý online và bắt buộc phải gọi điện
    Có hai lần sau khi chờ một tiếng thì điện thoại đổ chuông, chuyển sang hộp thư thoại, báo hộp thư đã đầy rồi cúp máy; mà ngay từ đầu cơ hội vào được hàng chờ cũng chỉ khoảng 1/100 nên thật sự phát điên

    • Vài năm trước khi tôi phải liên hệ EDD, gọi số tổng đài chính hoàn toàn không được, cuối cùng lại kết nối được qua số dành cho ngoại ngữ
      Thường thì tỷ lệ tốt hơn vì có nhiều tư vấn viên hơn so với số người dùng ngôn ngữ đó; theo tôi nhớ thì số tiếng Việt là tốt nhất, nhưng giờ có thể đã khác
      Nếu không biết ngôn ngữ đó thì vượt qua menu trả lời tự động hơi khó, nhưng chỉ cần gặp được người thật thì tư vấn viên đều song ngữ và nói tiếng Anh hoàn toàn trôi chảy
    • Gọi hỗ trợ khách hàng của Comcast thì gần như sẽ gặp chuyện như vậy
      Nếu cứ yêu cầu gặp tư vấn viên thì họ sẽ cúp máy, và cách duy nhất ổn định để nói chuyện với người thật là nói “tôi muốn nói chuyện với tư vấn viên để hủy tài khoản”
      Tôi sợ rằng khi họ bắt đầu đưa LLM hoặc AI tốt hơn vào, việc nói chuyện với người thật sẽ trở nên thật sự bất khả thi
    • Vì 98% người trên thế giới chắc không biết các chữ viết tắt này, viết đầy đủ ra thì EDD là Employment Development Department, nghe như cơ quan hỗ trợ người tìm việc, còn PFL là Paid Family Leave, gần với nghỉ sinh con, nuôi con hoặc chăm sóc người thân có lương
    • Với vấn đề của California EDD, tốt nhất là gọi cho văn phòng dân biểu tiểu bang của bạn để nhờ giúp đỡ
    • Tôi đồng cảm với chuyện EDD
      Tôi vẫn còn vài nghìn đô tiền trợ cấp thất nghiệp đáng lẽ được nhận vì bị sa thải trong đại dịch, nhưng cũng gặp chuyện tương tự và cuối cùng bỏ cuộc

  • Tôi biết Kit qua một người bạn, và từng chơi Magic: The Gathering cùng một lần
    Anh ấy có vẻ là người sinh ra để làm đúng việc này: persona trên sóng và tính cách ngoài đời không khác nhau mấy, thật sự là người rất tốt, vợ con anh ấy cũng vậy
    Ban đầu anh ấy là lập trình viên web, và toàn bộ các website ngân hàng giả đều do anh ấy tự làm
    Đây là một công việc rất thông minh: trớ trêu thay lại dùng kỹ thuật phishing để bắt những kẻ phishing

    • Tôi thật sự không ngờ anh ấy từng là lập trình viên

  • Tôi thích các video của Kitboga
    Mỗi lần xem tôi đều ngạc nhiên vì bọn lừa đảo kiêu ngạo và vênh váo đến mức nào, tự say mê bản thân ra sao
    Chúng thật sự tin rằng mình cực kỳ thông minh, và không hề ngần ngại chế giễu những người già đang nói chuyện điện thoại với chúng
    Cảm ơn Kitboga vì đã chiến đấu một cuộc chiến chính nghĩa, và thật vui khi thấy các ngân hàng cùng sàn giao dịch tiền mã hóa lập tức đóng băng những tài khoản mà Kitboga báo cáo

    • Sự kiêu ngạo đó có thể là thái độ chúng cần để ngủ được ban đêm
      Chắc chúng phải tự biện minh kiểu “phương Tây đã ăn cắp từ các nước đang phát triển nên giờ chúng ta lấy lại”, hoặc “đằng nào tên ngu này cũng sẽ bị ai đó lừa, nên mình lấy cũng được”
      Nhưng tôi không biết cái nào có trước, gà hay trứng; cũng có thể ngay từ đầu những kẻ bị hút vào công việc ở các call center lừa đảo như vậy đã là loại rác rưởi đó
      Ngược lại, người bình thường khi vào một call center như thế cũng có thể rơi vào tình huống kiểu Stanford Prison Experiment và dễ bị thao túng
    • Tôi thật sự căm ghét bọn lừa đảo này sau khi chúng lừa dì tôi
      Từ đó về sau, mỗi khi nhận cuộc gọi, tôi cố giữ chúng càng lâu càng tốt để ít nhất chúng không lừa được thêm một người khác
      Tôi đã giữ chân được ba người đủ lâu để hỏi “tại sao lại đi lừa một bà cụ nghèo?”, và cả ba đều trả lời giống nhau
      “Người phương Tây giàu có và không xứng đáng với số tiền đó”
    • Bạn đang nhìn quan hệ nhân quả ngược rồi
      Nhìn chung, con người dễ nghe theo người nói một cách tự tin hơn, nên để tăng tỷ lệ thành công, kẻ lừa đảo phải nói bằng giọng đầy chắc chắn
      Kẻ lừa đảo muốn khiến đối phương không nghi ngờ năng lực của mình, mà thay vào đó liên tục nghi ngờ chính phán đoán của họ
    • Với người này thì trông có vẻ kiêu ngạo và xấc xược, nhưng với người khác lại có thể trông như một người tự tin
    • Để tối đa hóa xác suất thành công, kẻ lừa đảo phải đe dọa, la hét và dồn ép
      Những nạn nhân dễ tổn thương nhất sẽ phản ứng với cách đó
      Nếu chúng thận trọng và tử tế, cuộc gọi có lẽ đã kết thúc bằng “tôi sẽ kiểm tra với ngân hàng rồi liên hệ lại, cảm ơn”

  • Cú đảo ngược cuối cùng xuất sắc ở nhiều khía cạnh
    Kitboga đã tình cờ hoàn toàn cứu trực tiếp một người khỏi một vụ lừa đảo dài hạn, và hơn nữa có thể còn tình cờ phát hiện ra một kỹ thuật mới để giúp nạn nhân
    Nếu dụ được kẻ lừa đảo đưa số của Kitboga cho nạn nhân, anh ấy có thể trực tiếp giúp họ

    • Tôi không hiểu rõ tình huống này lắm
      Không phải Kitboga và đội của anh ấy đang đóng vai bên bị lừa sao?
      Tôi không biết người phụ nữ đó liên quan gì đến biên nhận Bitcoin hay mã QR

  • Mọi người đều đang cười, nhưng tôi từng gặp một CAPTCHA bất khả thi khi cố đăng nhập vào tài khoản OpenAI
    Đó là tài khoản trả 20 USD/tháng, vậy mà phải bấm giải câu đố tới 80 lần, và chỉ cần sai một lần là phải làm lại từ đầu
    Chẳng buồn cười chút nào nên tôi đã hủy đăng ký; dù sao thì Phind cũng nhanh hơn và chất lượng tốt hơn

    • Tôi cũng nghĩ ngay đến chuyện này
      Ở đây mọi người thấy vui, nhưng với tôi chỉ thấy nỗ lực của những người tạo ra trải nghiệm Internet mà ta phải chịu hằng ngày
      Chắc rất hợp với đội AI và CAPTCHA /mỉa mai
      Khá vô lý khi trả phí thuê bao 20 USD/tháng mà vẫn bị bắt giải cả một hàng dài câu đố
      Đôi khi phải giải quá nhiều câu đố quá khó đến mức tôi bỏ cuộc, rồi ngày khác lại hy vọng chỉ có vài cái thôi
      Tôi đăng ký để dùng được ngay và tránh bãi rác SEO, nhưng rốt cuộc vẫn mất thời gian và còn trả tiền để làm lao động miễn phí cho việc huấn luyện mô hình
    • Khi chuyện đó xảy ra với kẻ xấu thì buồn cười, nhưng điều đáng buồn là trải nghiệm hỗ trợ khách hàng của chúng không hề bất thường đến thế
      Nếu bất thường thì hầu hết đã nhận ra ngay là giả
      Bắt đếm số hạt trong ảnh thì hơi quá, nhưng giờ chúng ta đã quá quen với CAPTCHA tệ hại nên nó lại có vẻ hợp lý
      Menu điện thoại cũng vậy
    • Tôi tò mò không biết bạn dùng hệ điều hành và trình duyệt nào
      Cho tôi vài phút là tôi có thể nhờ ChatGPT viết một script xử lý việc đó
    • Tôi cũng định hủy đăng ký sau khi bị CAPTCHA hành vài phút ngay trong ứng dụng desktop Proton VPN
    • Tôi thậm chí còn chưa có cơ hội dùng cho ra hồn
      Trong nửa tuần, tôi dùng chưa đến 10 prompt mà lần nào cũng chỉ nhận được câu “Hệ thống đã phát hiện hoạt động đáng ngờ, vui lòng thử lại sau”
      Có vẻ đây không phải vấn đề hiếm gặp, bất kể có đăng ký hay không

  • Không biết có ai còn nhớ bot điện thoại chống lừa đảo từng giả làm một cụ già bị sa sút trí tuệ không
    Hình như tên là ‘Lemmy’, nó chờ đến khi kẻ lừa đảo ngừng nói rồi ném ra một câu hỏi hoặc một câu chuyện dài dòng lảm nhảm
    Vừa buồn cười vừa được làm rất tinh vi để giữ cuộc trò chuyện tiếp diễn hàng giờ, rồi khi bắt đầu lặp lại thì kẻ lừa đảo thường nổi điên
    Thứ đó thông minh hơn trò lừa tuyệt đẹp này một chút vì luồng đối thoại rất tự nhiên, và nó tận dụng việc kẻ lừa đảo rất thích nói nếu có cơ hội
    Có vẻ là ý tưởng hay cho phiên bản tiếp theo

  • Điều thật sự đáng buồn là nhiều thứ trong số này tôi vẫn thường xuyên gặp khi gọi cho các công ty “thật”
    Họ cố tình làm chất lượng âm thanh tệ đến mức như nghe bộ đàm trong máy bay cánh quạt, nhạc chờ kinh khủng thì mở hết cỡ, bị downsample và boost âm lượng đến mức đau tai thật sự, cuộc gọi bị ngắt ngẫu nhiên, rồi còn có chuyển hướng vòng lặp
    Tất cả những chuyện đó vẫn xảy ra dù bạn lịch sự và kiên nhẫn với những tổng đài viên tội nghiệp phải làm việc cả ngày ở các công ty như vậy

  • Tôi không hiểu phần cuối
    Đội ứng phó lừa đảo của Kraken phát hiện ra rằng một người mà họ xem là nạn nhân lừa đảo nhưng chưa liên lạc được đã gọi vào Gauntlet của anh ấy, và sau đó họ có thể giúp người phụ nữ đó cùng những nạn nhân khác đã vào Gauntlet

    1. Ngay từ đầu tôi không hiểu nạn nhân lừa đảo vào Gauntlet bằng cách nào
      Tôi cứ nghĩ toàn bộ quy trình là Kitboga và nhóm của anh ấy đóng vai mục tiêu rồi gửi mã QR giả cho kẻ lừa đảo
    2. Nếu kẻ lừa đảo đang điều khiển nạn nhân để giải Gauntlet, thì thái độ của chúng ta khi tận hưởng sự bực bội của “kẻ lừa đảo” cũng trở thành vấn đề đáng hỏi
      Nếu một số người bị làm cho bực bội là người vô tội bị kẻ lừa đảo điều khiển, thì phép tính đạo đức sẽ phức tạp hơn
    3. Tôi cũng tò mò họ đã nhận diện những người không phải kẻ lừa đảo đã vào nền tảng như thế nào
      Nếu có câu trả lời chắc chắn cho điều này thì có thể giảm bớt lo ngại ở mục 2, nhưng trừ khi đó không phải một phương pháp tốn nhiều lao động đến mức làm giảm tính hữu dụng của hệ thống tự động, còn không thì khó tin
      Nhìn chung video rất thú vị, và khi nghĩ tới trải nghiệm cây trả lời tự động qua điện thoại thì nó thực tế đến mức buồn cười, nhưng những điều trên khiến tôi khó ủng hộ hoàn toàn việc anh ấy đang làm
    • Đồng ý
      Điều có khả năng xảy ra nhiều trong hệ thống này trông khá giống cách các phần mềm bot từng làm để vượt CAPTCHA
      Họ cũng có thể thuê những người khó khăn để giải hộ
      Video thì buồn cười, nhưng nó cũng khiến tôi ý thức rất rõ rằng mình ở vị thế đặc quyền đến mức nào khi không sinh ra trong một môi trường buộc phải trở thành một trong những “kẻ bị nguyền rủa” như vậy, dù là kẻ lừa đảo hay nạn nhân
    • Video tiếp theo được đăng sau bình luận này có nhiều chi tiết hơn
      https://youtu.be/tzXRb8PdmJo
    • Những câu hỏi này rất xác đáng
      Rốt cuộc những kẻ lừa đảo này là những kẻ săn mồi, những người xuất hiện trong video chỉ là phần nổi của tảng băng, và các vụ lừa đảo nhắm vào người phương Tây giàu có là một ngành công nghiệp hàng chục tỷ đô la
      Nhưng đồng thời họ cũng là nạn nhân của cấu trúc tưởng thưởng bất cân xứng của chủ nghĩa tư bản toàn cầu và chủ nghĩa thực dân; cụ thể hơn, nhiều người trong số họ là nạn nhân buôn người bị ép thực hiện các vụ lừa đảo này
      https://www.csis.org/analysis/cyber-scamming-new-destination...
      Lúc nãy tôi đọc trang của Kitboga và thấy có câu “làm cho một tình huống u ám trở nên nhẹ nhàng hơn một chút”, đó là cách tóm tắt khá hay

  • Scammers vs Impossible Password Game cũng đáng xem
    [1] https://www.youtube.com/watch?v=knhQ2f8anT8

    • Tắt lửa đi! Anh giết con gà rồi!!
      Không thể tin nổi
      Tôi suýt cười đến mức phổi muốn văng ra ngoài
    • Cái này là dàn dựng đúng không? Đúng không??

  • “Sao anh lại dùng nó mất rồi?!”
    Kitboga là báu vật quốc gia của YouTube

    • Có những câu chỉ cần đọc thôi là đã nghe thấy giọng của một người cụ thể nói theo một cách cụ thể
      Thường thì đó là lời thoại phim, nhưng giờ câu một kẻ lừa đảo hét lên “Sao anh lại làm chuyện đó?!?!?!” đã ghim chặt trong đầu tôi
    • Troll tốt vì mục đích tốt đem lại cảm giác rất đã
    • Hệ thống Google Play cũ của anh ấy thật xuất sắc
      Các chữ số ở vị trí cụ thể sẽ báo cho cửa hàng Google Play giả biết số tiền mà người đó đã dùng
    • Nhờ anh ấy mà tôi biết được rất nhiều câu chửi bằng tiếng nước ngoài
    • sir sir sir siR sIR SIR SIR SIR