Listy wypełnione wrażliwymi informacjami o uczestnikach wydarzeń związanych z przemysłem kryptowalutowym są sprzedawane pod pretekstem „marketingu, promowania i znajdowania klientów”, co stanowi potencjalną kopalnię danych dla oszustów i złych aktorów.
Listy mogą zawierać informacje takie jak pełne imiona, numery telefonów, narodowości, role zawodowe i firmy, wraz z osobistymi i biznesowymi linkami do mediów społecznościowych.
Niektóre z nich zawierają nawet datę zakupu biletu uczestników, typ biletu, system operacyjny używany do zakupu, liczby obserwujących w mediach społecznościowych, adresy portfeli kryptowalutowych oraz wiadomości wpisane w polu tekstowym wysłanym do organizatorów wydarzenia.
Informacje takie jak te są zazwyczaj zbierane za pomocą formularzy rejestracyjnych wydarzeń na konferencjach lub wydarzeniach towarzyszących. Ostatnio wydarzenia korzystające z platform takich jak lu.ma do wydawania biletów często wymagają linków do konkretnych kont w mediach społecznościowych przed zaakceptowaniem aplikacji.
Ocenzurowana próbka jednej z list udostępnionych Cointelegraph zawierała dane kontaktowe uczestników na Telegramie. Źródło: Elias Ahonen/Cointelegraph
Cointelegraph uzyskał „próbki” takich list od sprzedawcy przez Telegram, które zawierały cztery listy około 60 do 100 uczestników, które wydawały się pochodzić z różnych wydarzeń, a każda z nich zawierała różne punkty danych dotyczące uczestników.
Wydarzenia wydają się odbywać głównie jesienią 2024 roku, a numery telefonów uczestników sugerują, że wydarzenia miały miejsce w różnych krajach — głównie w Azji Południowo-Wschodniej i Indiach.
Pojedynczy sprzedawca mający dostęp do list z wielu krajów sugeruje, że zamiast być izolowanym przypadkiem, istnieje zorganizowany międzynarodowy handel danymi uczestników wydarzeń blockchain.
Handlarz danymi uczestników wydarzenia wyjaśnia, co znajduje się na listach. Źródło: Elias Ahonen/Cointelegraph
Listy wydają się być czubkiem góry lodowej — również udostępniono obrazy dodatkowych próbek, które rzekomo były powiązane z Blockchain Fest i Devcon.
Cointelegraph nie sugeruje, że organizatorzy lub pracownicy dużych wydarzeń są zaangażowani w ten handel, ponieważ setki wydarzeń towarzyszących na konferencjach również zbierają podobne szczegóły.
Szczególną wartość miała widoczna lista 1 700 uczestników konferencji AIBC w listopadzie 2024 roku w Malcie. Cena wywoławcza za listę, którą sprzedawca powiedział, że zostanie rozdzielona „tylko dla kilku osób”, wynosiła prawie 4 000 USD, ale później została obniżona do 650 USD po kilku dniach.
„Te dane to bardzo poufne i ekskluzywne informacje.”
Sprzedawca twierdził, że dochody ze sprzedaży zostaną wykorzystane do zakupu dodatkowych list z innych wydarzeń, mianowicie z Coinfest i DevCon, dla których udostępnili zrzuty ekranu bazy danych.
Sprzedawca najwyraźniej działał jako odsprzedawca danych, a choć anonimowy, zarówno sprzedawca, jak i kompilator danych wydają się być Rosjanami — czego dowodem jest jedna z zakładek zestawu próbek danych zatytułowana „List2” w języku rosyjskim oraz analiza AI pisma sprzedawcy wskazująca na osobę mówiącą po rosyjsku.
Sprzedawca nawet próbuje uzasadnić sprzedaż „nieujawnionych” danych, twierdząc, że nie są to „dane wrażliwe” i że „większość ludzi jest otwarta na tego rodzaju marketing.”
Informacje te mogą znacząco pomóc oszustom zajmującym się inżynierią społeczną w celowaniu w osoby z list z złośliwymi linkami i próbami phishingu w celu opróżnienia ich portfeli kryptowalutowych.
Broker danych twierdzi, że wrażliwe dane osobowe są „tylko do celów marketingowych.” Źródło: Elias Ahonen/Cointelegraph
Założyciel AIBC, Eman Pulis, chciał wiedzieć, jak duża była lista, gdy Cointelegraph poprosił o komentarz i powiedział, że wydarzenie ma „bardzo surowe protokoły przeciwko naruszeniom danych.” Pulis dodał, że wiele podobnych baz danych jest oszukańczych i że „cały czas dostajemy oferty baz danych naszych konkurentów.”
Pełna baza danych nie może być zweryfikowana, ale sprzedawca zaoferował sprawdzenie swoich danych w porównaniu do znanych uczestników AIBC.
„AIBC, jeśli znasz kogoś, kto tam był, mogę udowodnić rzeczywistość, podaj mi nazwisko, a znajdę tę osobę.”
Choć nie jest jasne, skąd pochodzą dane, jasne jest, że tego typu listy są poszukiwane przez nieuczciwych aktorów, a uczestnicy powinni być świadomi ryzyka wprowadzania danych osobowych w formularzach online.
Magazyn: Kwestie prawne dotyczące tworzenia przez FBI fałszywych tokenów kryptograficznych.