2 Punkte von GN⁺ 2023-11-04 | 1 Kommentare | Auf WhatsApp teilen
  • Kitboga und sein Team bauten ein gefälschtes Bitcoin-Einlösungssystem, um so viele Betrüger zu beschäftigen, dass man ihnen nicht mehr direkt begegnen musste, und ließen sie glauben, sie könnten gestohlene Bitcoin erhalten
  • Die Falle nutzte gefälschte Geschenkkarten-, ATM-Belegcodes und QR-Codes als Köder und führte sie nacheinander durch CAPTCHAs, Ladebalken, Telefonwarteschlangen, Kundensupport-Menüs, Zeichenprüfungen und ein Labyrinth
  • Über mehrere Monate gingen Hunderte in die Falle und verbrauchten zusammen 60 Tage bzw. 1.440 Stunden; ein Betrüger nutzte es mehr als 5 Tage, ein anderer war 40 Tage am Stück eingeloggt
  • Als Betrüger echte Wallet-Adressen eingaben, kamen auch Wallets ans Licht, durch die Hunderttausende Dollar geflossen waren, und zusammen mit Krackens Fraud-Response-Team wurden Wallets untersucht, durch die mehr als 280 BTC gelaufen waren
  • Was als Scherz begann, führte schließlich zu echter Opferhilfe, sodass einer älteren Frau, die 6 Jahre lang betrogen worden war, und Dutzenden weiteren Opfern in den USA geholfen werden konnte

Ein gefälschtes Bitcoin-System, das Betrüger beschäftigt

  • Kitboga sah, dass es zu viele YouTube-Kommentare, Anrufe und sogar Betrüger gab, die sich als ihn ausgaben, um ihnen direkt begegnen zu können, und baute deshalb mit seinem Team eine automatisierte Falle, die Betrüger dauerhaft beschäftigt
  • Gibt man einem Betrüger eine gefälschte Bitcoin-Geschenkkarte oder einen Beleg, glaubt er, den Code leicht einlösen zu können
  • Die eigentliche Website ist eine gefälschte Plattform im Bitcoin-Stil und protokolliert jede Interaktion
    • welche Support-Tickets sie öffnen wollen
    • welche CAPTCHAs sie lösen
    • auf welche Ladebalken sie warten
    • welche Telefonabläufe sie zu durchlaufen versuchen
  • Die Betrüger können bis zum Schluss keine Bitcoin erhalten, und diese Bitcoin existieren von Anfang an gar nicht

CAPTCHAs, Ladebalken und Telefonwarteschlangen als Zeitfresser

  • Eines der ersten Hindernisse ist ein KI-generiertes bildbasiertes Fake-CAPTCHA, bei dem die Richtigkeit der Antwort wie mit einer 50-%-Wahrscheinlichkeit behandelt wird
    • Es erscheinen offene Fragen wie die Anzahl der Nüsse, die Höhe der Wellen, das schnellste Auto oder die Augenzahl eines Würfels
    • Die Betrüger geben Antworten wie „uncountable“, „32 ft“, „beam balance“, „8“, „1,232“ und „1,322“ ein
  • Zwischen den CAPTCHAs werden absichtlich lange Ladebalken eingebaut, sodass schon vor dem Erreichen des Online-Dashboards leicht 10 bis 15 Minuten verschwendet werden
  • Gibt man eine Wallet-Adresse ein, tritt jedes Mal ein Fehler auf und man wird an den Kundensupport am Telefon weitergeleitet
    • Das Telefonmenü versteht Eingaben wie option five wiederholt nicht
    • Die Warteschlange meldet Dinge wie 10 bis 19 Minuten oder 13 wartende Personen, aber es gibt keinen echten Mitarbeiter
    • Während des Wartens müssen sie Wörter wie „colorful comrade“, „buttered bicycle“ und „purple pig“ nachsprechen, um zu prüfen, ob der Anrufer noch zuhört
  • Am Ende des Wartens folgen mehrere falsche Abschlüsse nacheinander
    • Es wirkt, als nehme ein Mitarbeiter ab, aber niemand antwortet
    • Man verweist an den E-Mail-Support, macht die Adresse aber schwer verständlich
    • Ein aufgezeichneter Mitarbeiter verwechselt Bestätigung und Abbruch und beendet den Anruf
    • Es geht zur Mailbox, doch diese ist voll, sodass keine Nachricht hinterlassen werden kann

Zeichenprüfung und ein nahezu unmögliches Labyrinth

  • In jüngerer Zeit lässt man Betrüger zeichnen, um zu bestätigen, dass sie Menschen sind
    • Sie müssen Bilder wie eine Schlange mit Hut, einen Würfel, eine Maus, eine Hantel stemmende Krähe oder einen Roboter nachzeichnen
    • Ob die Antwort richtig ist, wird mit 50-%-Wahrscheinlichkeit entschieden
    • Ein Betrüger schrieb, dass es buchstäblich unmöglich sei, die menschliche Verifizierung abzuschließen
  • Um eine Sicherheits-Passphrase zu erstellen, werde angeblich zufällige Entropie benötigt, und dafür müssen sie ein Labyrinth absolvieren
    • Selbst Kitboga versuchte es etwa 10 Minuten lang, ohne es abschließen zu können, so schwierig war das Labyrinth
    • Ein Betrüger schaffte das Labyrinth nach 127 Versuchen, wurde danach aber erneut zurückgesetzt und musste wieder von vorn beginnen
  • Einige Betrüger werden für die Auszahlung angewiesen, ihr Handy in den Flugmodus zu versetzen
    • Im Flugmodus wird der Anruf unterbrochen
    • Ein Betrüger zählte von 10 herunter, bevor die Verbindung abriss

Verschwendete Zeit und Untersuchung echter Betrugs-Wallets

  • Über mehrere Monate hielt das System Hunderte Betrüger fest und kostete sie zusammen 60 Tage, also 1.440 Stunden
  • Ein Betrüger nutzte die Website über 5 Tage lang in dem Glauben, die gefälschten Bitcoin erhalten zu können
  • Ein weiterer Betrüger war 40 Tage am Stück auf der Website eingeloggt
  • Weil die Betrüger dem System vertrauten, gaben sie teils echte, wertvolle Wallet-Adressen ein
    • Bei einigen Wallets waren Bewegungen in Höhe von Hunderttausenden Dollar zu sehen
    • Gemeinsam mit Krackens Fraud-Response-Team wurden die Wallets untersucht und Möglichkeiten zur Sperrung geprüft
    • Durch einige Wallets aus gestörten und gemeldeten Betrugsfällen waren mehr als 280 BTC geflossen
  • Das Kraken-Team unterstützte den Aufbau des Tools und beteiligte sich als Partner bei der Untersuchung von Betrugs-Wallets und Betrügern

Vom Scherz zur Opferhilfe

  • Eines Tages informierte das Kraken-Support-Team Kitboga darüber, dass jemand wegen „Bitcoin stock“ angefragt habe und verwirrt wirkte
  • Die Frau gab Kraken Kitbogas E-Mail-Adresse und Benutzernamen, worauf eine Verbindung zustande kam, nachdem ein Betrüger sie dazu gebracht hatte, bei einer gefälschten Bitcoin-Hotline anzurufen
  • Bei der Frau handelte es sich um ein älteres Opfer, das 6 Jahre lang betrogen worden war; Kitbogas Team erklärte die Lage und half ihr, die nötige Unterstützung zu bekommen
  • Danach riefen Dutzende Opfer in den USA dieses System an, erhielten eine Erklärung ihrer Betrugssituation und wurden vor Ort mit den richtigen Anlaufstellen verbunden
  • Was zunächst eine unterhaltsame Idee war, um die Zeit von Betrügern zu verschwenden, entwickelte sich zu einem Projekt, das bis zur Untersuchung realer Wallets und zur Unterstützung von Opfern führte

1 Kommentare

 
GN⁺ 2023-11-04
Hacker-News-Kommentare
  • Der Teil, in dem man nach langem Warten endlich verbunden wird und dann bei einer automatischen Ansage landet, die sagt: "Das Postfach ist voll", war erschreckend realistisch.
    Ich weiß, dass das hier absichtlich so gebaut wurde, aber ich habe vor Kurzem bei einem tatsächlich wichtigen staatlichen System genau dasselbe erlebt.
    Ich habe bei der California EDD angerufen, um ausstehende Zahlungen für den bezahlten Familienurlaub des Bundesstaats zu bekommen; online ließ sich das nicht erledigen, man musste zwingend anrufen.
    Zweimal habe ich eine Stunde gewartet, dann klingelte es, ich wurde zur Mailbox weitergeleitet, bekam gesagt, dass das Postfach voll sei, und die Verbindung wurde getrennt; und überhaupt überhaupt erst in die Warteschlange zu kommen klappt vielleicht bei einem von hundert Versuchen, was einen wirklich wahnsinnig macht.

    • Als ich vor ein paar Jahren die EDD kontaktieren musste, ging über die Hauptnummer gar nichts, und am Ende kam ich über eine Fremdsprachennummer durch.
      Dort war das Verhältnis wohl besser, weil im Vergleich zur Zahl der Sprecher dieser Sprache mehr Mitarbeitende eingesetzt wurden; soweit ich mich erinnere, war die vietnamesische Nummer am besten, aber das kann inzwischen anders sein.
      Wenn man die Sprache nicht spricht, ist es schwierig, durch das automatische Menü zu kommen, aber sobald man bei einem Menschen landet, ist die Person am anderen Ende zweisprachig und spricht vollkommen fließend Englisch.
    • Wenn man den Comcast-Kundendienst anruft, passiert fast genau das.
      Wenn man immer wieder nach einem Mitarbeitenden fragt, legen sie irgendwann auf, und die einzige verlässliche Methode, mit einem Menschen verbunden zu werden, war zu sagen: "Ich möchte mit jemandem sprechen, um mein Konto zu kündigen."
      Ich habe Angst, dass es mit LLMs oder besserer AI irgendwann wirklich unmöglich wird, mit einem Menschen zu telefonieren.
    • 98 % der Welt kennen die Abkürzungen vermutlich nicht, daher ausgeschrieben: EDD steht für Employment Development Department und wirkt wie eine Behörde zur Unterstützung von Arbeitssuchenden, und PFL steht für Paid Family Leave und entspricht eher Elternzeit oder Pflegeurlaub.
    • Beim California-EDD-Problem ist es am besten, das Büro des Abgeordneten im Parlament des Bundesstaats anzurufen und um Hilfe zu bitten.
    • Die Geschichten über die EDD sind absolut nachvollziehbar.
      Wegen pandemiebedingter Entlassungen stehen mir noch immer mehrere Tausend Dollar an Arbeitslosengeld zu, aber ich habe etwas sehr Ähnliches erlebt und schließlich aufgegeben.
  • Ich kenne Kit über einen Freund und habe sogar einmal mit ihm Magic: The Gathering gespielt.
    Er wirkte wie jemand, dessen On-Air-Persona und tatsächlicher Charakter praktisch identisch sind, als sei er genau für diese Arbeit gemacht; wirklich ein guter Mensch, und seine Frau und Kinder waren auch toll.
    Ursprünglich hat er als Webentwickler angefangen, und die Fake-Banking-Websites hat er alle selbst gebaut.
    Es ist eine sehr clevere Arbeit, bei der er paradoxerweise Phishing-Techniken nutzt, um Phisher zu fangen.

    • Dass er Programmierer war, hätte ich wirklich nicht gedacht.
  • Ich mag Kitboga-Videos.
    Jedes Mal, wenn ich sie sehe, bin ich erstaunt, wie arrogant und selbstgefällig die Betrüger sind und wie sehr sie in ihrer eigenen Rolle aufgehen.
    Sie glauben wirklich, dass sie unglaublich schlau sind, und haben keinerlei Hemmungen, ältere Menschen am Telefon zu verspotten.
    Danke an Kitboga, dass er diesen guten Kampf führt, und es ist großartig zu sehen, wie Banken und Krypto-Börsen Konten sofort einfrieren, die Kitboga gemeldet hat.

    • Diese Arroganz könnte die Haltung sein, die sie brauchen, um nachts schlafen zu können.
      Wahrscheinlich müssen sie sich mit etwas rechtfertigen wie: "Der Westen hat Entwicklungsländer bestohlen, also holen wir uns nur etwas zurück", oder: "Dieser Idiot wird sowieso von jemandem betrogen, also kann ich das Geld auch nehmen."
      Ich weiß nur nicht, ob das die Ursache oder die Folge ist; vielleicht zieht diese Art Job in betrügerischen Callcentern von vornherein genau solchen Müll an.
      Andererseits könnten auch ganz normale Leute, wenn sie in so einem Callcenter landen, in einer Art Stanford-Prison-Experiment-Situation leicht manipulierbar werden.
    • Ich hasse diese Betrüger wirklich, seit sie meine Tante hereingelegt haben.
      Seitdem halte ich sie, wenn ich einen solchen Anruf bekomme, so lange wie möglich in der Leitung, damit sie zumindest niemand anderen in der Zeit betrügen können.
      Bei dreien habe ich es lange genug geschafft, um zu fragen: "Warum betrügt ihr arme alte Frauen?", und alle drei gaben dieselbe Antwort:
      "Westliche Menschen sind reich und verdienen es nicht."
    • Ihr verwechselt Ursache und Wirkung.
      Menschen folgen im Allgemeinen eher jemandem, der selbstbewusst spricht, deshalb muss ein Betrüger überzeugte Sicherheit ausstrahlen, um die Erfolgsquote zu erhöhen.
      Ein Betrüger will verhindern, dass das Gegenüber an seinen Fähigkeiten zweifelt, und stattdessen erreichen, dass das Gegenüber fortwährend an seinem eigenen Urteilsvermögen zweifelt.
    • Was auf manche arrogant und überheblich wirkt, kann auf andere einfach wie Selbstbewusstsein wirken.
    • Um die Erfolgschance zu maximieren, muss ein Betrüger drohen, schreien und Druck machen.
      Die verletzlichsten Opfer reagieren auf genau diese Art.
      Wären sie vorsichtig und freundlich, würde das Gespräch vermutlich mit "Ich frage erst bei meiner Bank nach und melde mich dann wieder, danke" enden.
  • Der letzte Twist war in mehrfacher Hinsicht großartig.
    Durch einen völligen Zufall hat Kitboga jemanden direkt vor einem langfristigen Betrug bewahrt und dabei vielleicht sogar zufällig eine neue Methode entdeckt, um Opfern zu helfen.
    Wenn man den Betrüger dazu bringt, dem Opfer Kitbogas Nummer zu geben, kann er dem Opfer direkt helfen.

    • Diese Situation habe ich nicht ganz verstanden.
      Haben Kitboga und sein Team nicht die Betrogenen gespielt?
      Ich habe nicht verstanden, was die Frau mit dem Bitcoin-Beleg oder dem QR-Code zu tun hatte.
  • Alle lachen, aber ich bin bei dem Versuch, mich in mein OpenAI-Konto einzuloggen, auf ein unmögliches CAPTCHA gestoßen
    Es ist ein Konto, für das ich 20 Dollar im Monat zahle, aber ich musste 80-mal auf ein Puzzle klicken, und bei einem einzigen Fehler musste ich wieder von vorn anfangen
    Überhaupt nicht lustig, also habe ich das Abo gekündigt, und Phind ist ohnehin schneller und qualitativ besser

    • Das war auch mein erster Gedanke
      Alle hier finden es lustig, aber ich sehe darin nur die Mühe von Leuten, die ein Internet-Erlebnis schaffen, das man täglich ertragen muss
      Würde perfekt zum AI- und CAPTCHA-Team passen /s
      Dass man trotz eines 20-Dollar-Monatsabos noch lange Puzzle-Matrizen serviert bekommt, ist ziemlich absurd
      Manchmal muss man einfach zu viele viel zu schwere Puzzles lösen und gibt dann einfach auf, und an anderen Tagen hofft man, dass es nur ein paar wenige sind
      Ich habe abonniert, um es sofort nutzen zu können und dem SEO-Müllhaufen zu entgehen, aber am Ende verliere ich trotzdem noch Zeit und zahle auch noch dafür, unbezahlte Arbeit für das Modelltraining zu leisten
    • Es ist lustig, wenn es bösen Menschen passiert, aber das Traurige ist, dass ihre Kundensupport-Erfahrung gar nicht so unnormal ist
      Wäre sie unnormal, hätten die meisten wohl sofort erkannt, dass es fake ist
      Die Nüsse auf dem Bild zählen zu müssen, ist etwas übertrieben, aber wir sind inzwischen so an miese CAPTCHAs gewöhnt, dass es plausibel wirkt
      Bei Telefonmenüs ist es genauso
    • Ich frage mich, welches Betriebssystem und welchen Browser er benutzt
      Gib mir ein paar Minuten, dann lasse ich ChatGPT ein Skript schreiben, das das erledigt
    • Ich bin auch kurz davor zu kündigen, nachdem ich in der Proton VPN Desktop-App minutenlang mit CAPTCHA gequält wurde
    • Ich hatte nicht einmal die Chance, es richtig zu benutzen
      Über anderthalb Wochen hinweg habe ich nicht einmal 10 Prompts geschrieben und jedes Mal nur die Antwort bekommen: „Im System wurde verdächtige Aktivität erkannt, bitte versuchen Sie es später erneut“
      Scheint kein seltenes Problem zu sein, unabhängig davon, ob man abonniert hat oder nicht
  • Ich frage mich, ob sich noch jemand an den Telefonbot zur Scammer-Abwehr erinnert, der früher so tat, als wäre er ein dementer alter Mensch
    Ich meine, er hieß „Lemmy“ oder so, und wartete immer, bis der Scammer aufhörte zu reden, bevor er eine Frage stellte oder eine lange wirre Geschichte begann
    Es war lustig, aber auch extrem ausgefeilt gebaut, damit das Gespräch weiterlief, sodass es sich über Stunden hinziehen konnte, und sobald sich die Wiederholungen häuften, explodierten die Scammer oft
    Ein bisschen klüger als dieser schöne Scam war er deshalb, weil der Gesprächsfluss sehr natürlich war und er ausnutzte, dass Scammer gern reden, wenn man ihnen nur die Gelegenheit gibt
    Klingt nach einer guten Idee für die nächste Version

  • Das wirklich Traurige ist, dass man vieles davon auch regelmäßig erlebt, wenn man mit „echten“ Unternehmen telefoniert
    Die Stimme wird absichtlich auf eine Qualität heruntergezogen, als würde man ein Walkie-Talkie in einem Propellerflugzeug hören, die grauenhafte Wartemusik ist auf maximale Lautstärke gebracht und zusätzlich heruntergesampelt und im Pegel verstärkt, sodass es körperlich wehtut, Gespräche werden zufällig getrennt, und man landet in Weiterleitungsschleifen
    Und das alles passiert sogar dann, wenn man zu dem armen Support-Mitarbeiter, der den ganzen Tag bei so einer Firma arbeiten muss, höflich und geduldig bleibt

  • Den letzten Teil habe ich nicht verstanden.
    Das Anti-Scam-Team von Kraken hat wohl herausgefunden, dass eine Person, die sie als Betrugsopfer einstuften, die sie aber nicht erreichen konnten, bei seinem Gauntlet angerufen hat, und danach konnten sie dieser Frau und anderen Opfern helfen, die im Gauntlet gelandet waren.

    1. Ich verstehe schon grundsätzlich nicht, wie ein Betrugsopfer überhaupt ins Gauntlet kommt.
      Ich dachte, der gesamte Ablauf sei, dass Kitboga und sein Team die Zielperson spielen und den Betrügern einen gefälschten QR-Code schicken.
    2. Falls die Betrüger aber Opfer dazu bringen, das Gauntlet für sie zu lösen, wirft das auch Fragen zu unserer Haltung auf, wenn wir uns an der Frustration der „Betrüger“ erfreuen.
      Wenn einige der Frustrierten in Wirklichkeit unschuldige Menschen sind, die von Betrügern gesteuert werden, wird die moralische Rechnung deutlich komplizierter.
    3. Ich frage mich auch, wie sie Nicht-Betrüger identifiziert haben, die auf der Plattform gelandet sind.
      Wenn es darauf eine belastbare Antwort gibt, würde das die Sorge aus Punkt 2 verringern, aber ich fände es schwer zu glauben, sofern es sich nicht um eine so arbeitsintensive Methode handelt, dass der Nutzen eines automatisierten Systems darunter leidet.
      Insgesamt war das Video unterhaltsam, und wenn ich an Erfahrungen mit automatisierten Telefonmenüs denke, war es so realistisch, dass es schon wieder lustig war, aber die obigen Punkte halten mich davon ab, seine Arbeit vorbehaltlos zu unterstützen.
    • Stimme zu.
      Was in diesem System leicht häufig passieren könnte, sieht dem sehr ähnlich, was Bot-Software früher gemacht hat, um CAPTCHAs zu umgehen.
      Man könnte Menschen in schwierigen Lebenslagen dafür bezahlen, sie zu lösen.
      Das Video war lustig, aber es hat mir auch sehr bewusst gemacht, in welch privilegierter Position ich bin, weil ich nicht in eine Umgebung hineingeboren wurde, in der man zwangsläufig zu einem dieser „Verdammten“ wird, ob als Betrüger oder als Opfer.
    • Im nächsten Video, das nach diesem Kommentar veröffentlicht wurde, gibt es mehr Details dazu.
      https://youtu.be/tzXRb8PdmJo
    • Das sind wirklich gute Fragen.
      Letztlich sind solche Betrüger Raubtiere, und die im Video gezeigten sind nur die Spitze des Eisbergs; Betrug gegen wohlhabende Westler ist eine Milliardenindustrie.
      Gleichzeitig sind auch sie Opfer der asymmetrischen Belohnungsstrukturen des globalen Kapitalismus und Kolonialismus, und konkreter noch werden viele von ihnen als Opfer von Menschenhandel zu solchen Betrügereien gezwungen.
      https://www.csis.org/analysis/cyber-scamming-new-destination...
      Ich habe vorhin die Kitboga-Website gelesen, dort stand, man mache „eine düstere Situation ein wenig leichter“, und das fasst es ziemlich gut zusammen.
  • Scammers vs Impossible Password Game ist ebenfalls sehenswert.
    [1] https://www.youtube.com/watch?v=knhQ2f8anT8

    • Mach das Licht aus! Du hast das Huhn getötet!!
      Ich kann es nicht glauben.
      Ich hätte mich fast totgelacht.
    • Das ist doch inszeniert, oder? Oder??
  • „Warum haben Sie das denn benutzt?!“
    Kitboga ist ein nationales Kulturgut von YouTube.

    • Manche Sätze muss man nur lesen und man hört sofort, wie eine bestimmte Person sie auf eine bestimmte Weise sagt.
      Meistens sind das Filmzitate, aber inzwischen hat sich das Gebrüll eines Betrügers — „Warum haben Sie so etwas getan?!?!?!“ — in mein Gehirn eingebrannt.
    • Gutes Trolling für einen guten Zweck ist sehr befriedigend.
    • Sein früheres Google-Play-System war großartig.
      Dabei zeigte eine Zahl an einer bestimmten Stelle im gefälschten Google Play Store den jeweils ausgegebenen Betrag an.
    • Dadurch habe ich wirklich viele Schimpfwörter in Fremdsprachen gelernt.
    • sir sir sir siR sIR SIR SIR SIR