0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 - 2+ ETH 0x48f05443ba142f599d645b6a175ffc8db2405c89 - 5.5 ETH 0x4c52ba4d0f6eedb0768aa83df37562fc3245b067 - 81 ETH 0x424c8D183991492D4915e46dE6951c8446773660 - 10 ETH 0x4a1f8278ad8b1b171ef7ba164ca9becb7ae6e767 - 21 ETH 0x28f6be650e593edd1b38d5bebf8fe399538b0b35 - 33 ETH Это одни из множества кошельков, которые подверглись бруту со стороны команды, во главе которой стоял Cthulhu (balaclavv). Если для вас это большая сумма - смею предупредить, что это сущие копейки, в сравнении с тем, сколько они по правде зарабатывали. Человек, что стоит за подбором паролей - некий deadcloud (crystalmeth) (подробнее в статье https://telegra.ph/Cthulhu-team---deadcloud-crystalmeth-06-19) 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 0x4a1f8278ad8b1b171ef7ba164ca9becb7ae6e767 Два этих кошелька оставили самый жирный информационный след, от чего даже надобность в проверке остальных адресов не имеет смысла. Я решил просмотреть пути, по которым средства с этих кошельков были высланы и получил следующее, на примере одного из кошельков: 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 - 0x14b50b15c932ef9565ffaf5c55a638f239c0e225 - 0x5c221727ed7151bcd1b5319e10a5650c6a18e5c4 - 0x112fd4ad955a6f56712d3754f58df0f27a33a40a - 0xf7858da8a6617f7c6d0ff2bcafdb6d2eedf64840 - 0x4b9957198f0459921f41584667c82aef2c781f04 - 0x28c6c06298d514db089934071355e5743bf21d60 - 0x1d66e01da46d4cfe0d18df5f325dbd7c603508fa - 0xbf94f0ac752c739f623c463b5210a7fb2cbb420b - 0xf9052ed4174671eaf38ffa26e4fb290382a15f95 В конечном итоге кошелек 0xf9052ed4174671eaf38ffa26e4fb290382a15f95 имел леджер, а его владелец пользуется им по сей день. Это означало, что я уже был близок к достоверным данным владельца кошелька. Я проверил также транзакции на этом кошельке и увидел будто что-то невозможное - судя по всему, у владельца кошелька случилось чрезвычайное происшествие, и ему было необходимо вывести 948$. Он выслал эти деньги на адрес 0x2f7effe70c230194a9af66aeb846d1d9d5ad6caf, затем переслал их на 0x559432e18b281731c054cd703d4b49872be4ed53, после чего обменник, которым он воспользовался, любезно предоставил мне данные по адресу, а именно практически всю информацию, которую он вписывал при заполнении анкеты. ФИО, что были получены в последствие - Жуков Егор Павлович. Теперь снова к форуму LolzTeam. Никнейм брутера - crystalmeth666, но основным ником был deadcloud. Он не скрывал свои отношения с Cthulhu и открыто заявлял на форуме о их сотрудничестве. На форуме проходит частая процедура - бан пользователей за мультиакккаунты, если те были прежде забанены за мошенничество. Такая история произошла с deadcloud, и его твинком оказался аккаунт alivecloud. Путем некоторых махинаций, мне удалось достать из аккаунта alivecloud IP адрес брутера, а аккаунт deadcloud дал наводку на аккаунт ВКонтакте. 85.140.18.38 - тот самый IP. После получения IP, я прогнал его по доступным утилитам и вышел на почту egoriy26112004@gmail.com. К почте было подвязано 3 номера телефона, но я в итоге выяснил самый актуальный - +79935116094. Он же подвязан к аккаунту ВК, но скрыт в базе. Сам вк - vk.com/id210632346, бывший ID VK - deadcloud3, как раз тот самый никнейм с Лолза. Номер привязан к человеку под ФИО Жуков Егор Павлович 26.11.2004 г.р. Тот-же номер +7993 привязан к инстаграму rockinchristiandior, а инстаграм привязан к телеграму @rockinchristiandior1. Недавно я списывался напрямую с Егором, предупредил о публикации, но он твёрдо стоял на том что не знает о чем речь. Я занял его username в телеграм, чтобы создать переходник на эту публикацию, после чего я заметил странные движения на кошельке 0xf9052ed4174671eaf38ffa26e4fb290382a15f95 - с него резко начали выводиться все средства. Также канал, который вёл Егор по крипте, неожиданно был удалён и переименован. ---------------------------------------------------------------------------------- deadcloud: IP - 85.140.18.38 Жуков Егор Павлович 26.11.2004 (Zhukov Egor Pavlovich) +79935116094 (+79194011609, +79678601996) t.me/letspourmud (7033763283) vk.com/id210632346 egoriy26112004@gmail.com deadcloud192@gmail.com deadcloud3 INST, TT - rockinchristiandior t.me/psychodiary555 Отец - Жуков Павел Викторович 30.03.1979 +79090901901 (+79028945589) bugsssy@ya.ru Мать - Жукова Елена Владимировна 19.09.1979 +79090901909 t.me/kruosanchik_lena (885090931) https://vk.com/id276417547 jukova_elena@mail.ru aleona.zukova1979@gmail.com Отчим - Жуков Артем Сергеевич 02.07.1992 +79514789840 https://vk.com/id62697925 (telegram 1156334172) sonrisor@mail.ru 174zhukov@mail.ru Сестра - Сестра - Жукова Валерия Павловна 20.12.не_помню +79193345342 t.me/Obosrishen (6233681986) https://vk.com/id1079277994 Общие адреса семьи: г. Трехгорный, ул. Строителей, д. 6, кв. 65 г. Трехгорный, ул. Строителей, д. 8, кв. 52 г Трехгорный, ул Карла Маркса, д 39, кв 4 Актуальный адрес Егора из Екатеринбурга вы можете запросить лично у t.me/aimlabs ---------------------------------------------------------------------------------- Translated version: 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 - 2+ ETH 0x48f05443ba142f599d645b6a175ffc8db2405c89 - 5.5 ETH 0x4c52ba4d0f6eedb0768aa83df37562fc3245b067 - 81 ETH 0x424c8D183991492D4915e46dE6951c8446773660 - 10 ETH 0x4a1f8278ad8b1b171ef7ba164ca9becb7ae6e767 - 21 ETH 0x28f6be650e593edd1b38d5bebf8fe399538b0b35 - 33 ETH These are just a few of the many wallets that were subjected to a bruteforce attack by a team led by Cthulhu (balaclavv). If this seems like a large sum to you, let me warn you that its mere pocket change compared to how much they were actually making. The person behind the password cracking is someone named deadcloud (crystalmeth) (for more details, see the article at https://telegra.ph/Cthulhu-team---deadcloud-crystalmeth-06-19) 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 0x4a1f8278ad8b1b171ef7ba164ca9becb7ae6e767 These two wallets left the most significant digital trail, which makes it pointless to even check the other addresses. I decided to look into the routes through which funds were sent from these wallets and found the following, using one of the wallets as an example: 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 - 0x14b50b15c932ef9565ffaf5c55a638f239c0e225 - 0x5c221727ed7151bcd1b5319e10a5650c6a18e5c4 - 0x112fd4ad955a6f56712d3754f58df0f27a33a40a - 0xf7858da8a6617f7c6d0ff2bcafdb6d2eedf64840 - 0x4b9957198f0459921f41584667c82aef2c781f04 - 0x28c6c06298d514db089934071355e5743bf21d60 - 0x1d66e01da46d4cfe0d18df5f325dbd7c603508fa - 0xbf94f0ac752c739f623c463b5210a7fb2cbb420b - 0xf9052ed4174671eaf38ffa26e4fb290382a15f95 The wallet with the address 0xf9052ed4174671eaf38ffa26e4fb290382a15f95 had a Ledger and its owner is still using it to this day. This meant that I was already close to obtaining reliable information about the wallets owner. I also checked the transactions on this wallet and saw something that seemed impossible - apparently, the wallet owner had experienced an emergency and needed to withdraw 948$. He sent the money to the address 0x2f7effe70c230194a9af66aeb846d1d9d5ad6caf, then forwarded it to 0x559432e18b281731c054cd703d4b49872be4ed53, after which the exchange service he used kindly provided me with the details for that address - specifically, the information he had entered when filling out the form - Zhukov Egor Pavlovich Now back to the LolzTeam forum. The bruters nickname was crystalmeth666, but his main username was deadcloud. He made no secret of his relationship with Cthulhu and openly discussed their collaboration on the forum. The forum frequently bans users for having multiple accounts if they had previously been banned for scam. This is what happened to deadcloud, and his alt account turned out to be alivecloud. Through some shenanigans, I managed to extract his IP address from the alivecloud account, and the deadcloud account led me to a VKontakte account. 85.140.18.38 - thats the IP address. After getting the IP address, I ran it through the available tools and found the email address egoriy26112004@gmail.com. Three phone numbers were linked to the email account, but I eventually figured out the most current one: +79935116094. It’s also linked to a VK account, but its hidden in the database. The VK account is vk.com/id210632346. the former VK ID is deadcloud3 - the very same nickname from Lolz. The number is linked to a person named Egor Pavlovich Zhukov, born November 26 2004. That same number, +7993, is linked to the Instagram account rockinchristiandior, and that Instagram account is linked to the Telegram account @rockinchristiandior1. I recently messaged Egor directly to warn him about the post, but he insisted he had no idea what I was talking about. I took over his Telegram username to create a link to this post, after which I noticed strange activity on the wallet 0xf9052ed4174671eaf38ffa26e4fb290382a15f95 - all funds suddenly began to be withdrawn from it.