- Kitboga und sein Team bauten ein gefälschtes Bitcoin-Einlösungssystem, um so viele Betrüger zu beschäftigen, dass man ihnen nicht mehr direkt begegnen musste, und ließen sie glauben, sie könnten gestohlene Bitcoin erhalten
- Die Falle nutzte gefälschte Geschenkkarten-, ATM-Belegcodes und QR-Codes als Köder und führte sie nacheinander durch CAPTCHAs, Ladebalken, Telefonwarteschlangen, Kundensupport-Menüs, Zeichenprüfungen und ein Labyrinth
- Über mehrere Monate gingen Hunderte in die Falle und verbrauchten zusammen 60 Tage bzw. 1.440 Stunden; ein Betrüger nutzte es mehr als 5 Tage, ein anderer war 40 Tage am Stück eingeloggt
- Als Betrüger echte Wallet-Adressen eingaben, kamen auch Wallets ans Licht, durch die Hunderttausende Dollar geflossen waren, und zusammen mit Krackens Fraud-Response-Team wurden Wallets untersucht, durch die mehr als 280 BTC gelaufen waren
- Was als Scherz begann, führte schließlich zu echter Opferhilfe, sodass einer älteren Frau, die 6 Jahre lang betrogen worden war, und Dutzenden weiteren Opfern in den USA geholfen werden konnte
Ein gefälschtes Bitcoin-System, das Betrüger beschäftigt
- Kitboga sah, dass es zu viele YouTube-Kommentare, Anrufe und sogar Betrüger gab, die sich als ihn ausgaben, um ihnen direkt begegnen zu können, und baute deshalb mit seinem Team eine automatisierte Falle, die Betrüger dauerhaft beschäftigt
- Gibt man einem Betrüger eine gefälschte Bitcoin-Geschenkkarte oder einen Beleg, glaubt er, den Code leicht einlösen zu können
- Die eigentliche Website ist eine gefälschte Plattform im Bitcoin-Stil und protokolliert jede Interaktion
- welche Support-Tickets sie öffnen wollen
- welche CAPTCHAs sie lösen
- auf welche Ladebalken sie warten
- welche Telefonabläufe sie zu durchlaufen versuchen
- Die Betrüger können bis zum Schluss keine Bitcoin erhalten, und diese Bitcoin existieren von Anfang an gar nicht
CAPTCHAs, Ladebalken und Telefonwarteschlangen als Zeitfresser
- Eines der ersten Hindernisse ist ein KI-generiertes bildbasiertes Fake-CAPTCHA, bei dem die Richtigkeit der Antwort wie mit einer 50-%-Wahrscheinlichkeit behandelt wird
- Es erscheinen offene Fragen wie die Anzahl der Nüsse, die Höhe der Wellen, das schnellste Auto oder die Augenzahl eines Würfels
- Die Betrüger geben Antworten wie „uncountable“, „32 ft“, „beam balance“, „8“, „1,232“ und „1,322“ ein
- Zwischen den CAPTCHAs werden absichtlich lange Ladebalken eingebaut, sodass schon vor dem Erreichen des Online-Dashboards leicht 10 bis 15 Minuten verschwendet werden
- Gibt man eine Wallet-Adresse ein, tritt jedes Mal ein Fehler auf und man wird an den Kundensupport am Telefon weitergeleitet
- Das Telefonmenü versteht Eingaben wie option five wiederholt nicht
- Die Warteschlange meldet Dinge wie 10 bis 19 Minuten oder 13 wartende Personen, aber es gibt keinen echten Mitarbeiter
- Während des Wartens müssen sie Wörter wie „colorful comrade“, „buttered bicycle“ und „purple pig“ nachsprechen, um zu prüfen, ob der Anrufer noch zuhört
- Am Ende des Wartens folgen mehrere falsche Abschlüsse nacheinander
- Es wirkt, als nehme ein Mitarbeiter ab, aber niemand antwortet
- Man verweist an den E-Mail-Support, macht die Adresse aber schwer verständlich
- Ein aufgezeichneter Mitarbeiter verwechselt Bestätigung und Abbruch und beendet den Anruf
- Es geht zur Mailbox, doch diese ist voll, sodass keine Nachricht hinterlassen werden kann
Zeichenprüfung und ein nahezu unmögliches Labyrinth
- In jüngerer Zeit lässt man Betrüger zeichnen, um zu bestätigen, dass sie Menschen sind
- Sie müssen Bilder wie eine Schlange mit Hut, einen Würfel, eine Maus, eine Hantel stemmende Krähe oder einen Roboter nachzeichnen
- Ob die Antwort richtig ist, wird mit 50-%-Wahrscheinlichkeit entschieden
- Ein Betrüger schrieb, dass es buchstäblich unmöglich sei, die menschliche Verifizierung abzuschließen
- Um eine Sicherheits-Passphrase zu erstellen, werde angeblich zufällige Entropie benötigt, und dafür müssen sie ein Labyrinth absolvieren
- Selbst Kitboga versuchte es etwa 10 Minuten lang, ohne es abschließen zu können, so schwierig war das Labyrinth
- Ein Betrüger schaffte das Labyrinth nach 127 Versuchen, wurde danach aber erneut zurückgesetzt und musste wieder von vorn beginnen
- Einige Betrüger werden für die Auszahlung angewiesen, ihr Handy in den Flugmodus zu versetzen
- Im Flugmodus wird der Anruf unterbrochen
- Ein Betrüger zählte von 10 herunter, bevor die Verbindung abriss
Verschwendete Zeit und Untersuchung echter Betrugs-Wallets
- Über mehrere Monate hielt das System Hunderte Betrüger fest und kostete sie zusammen 60 Tage, also 1.440 Stunden
- Ein Betrüger nutzte die Website über 5 Tage lang in dem Glauben, die gefälschten Bitcoin erhalten zu können
- Ein weiterer Betrüger war 40 Tage am Stück auf der Website eingeloggt
- Weil die Betrüger dem System vertrauten, gaben sie teils echte, wertvolle Wallet-Adressen ein
- Bei einigen Wallets waren Bewegungen in Höhe von Hunderttausenden Dollar zu sehen
- Gemeinsam mit Krackens Fraud-Response-Team wurden die Wallets untersucht und Möglichkeiten zur Sperrung geprüft
- Durch einige Wallets aus gestörten und gemeldeten Betrugsfällen waren mehr als 280 BTC geflossen
- Das Kraken-Team unterstützte den Aufbau des Tools und beteiligte sich als Partner bei der Untersuchung von Betrugs-Wallets und Betrügern
Vom Scherz zur Opferhilfe
- Eines Tages informierte das Kraken-Support-Team Kitboga darüber, dass jemand wegen „Bitcoin stock“ angefragt habe und verwirrt wirkte
- Die Frau gab Kraken Kitbogas E-Mail-Adresse und Benutzernamen, worauf eine Verbindung zustande kam, nachdem ein Betrüger sie dazu gebracht hatte, bei einer gefälschten Bitcoin-Hotline anzurufen
- Bei der Frau handelte es sich um ein älteres Opfer, das 6 Jahre lang betrogen worden war; Kitbogas Team erklärte die Lage und half ihr, die nötige Unterstützung zu bekommen
- Danach riefen Dutzende Opfer in den USA dieses System an, erhielten eine Erklärung ihrer Betrugssituation und wurden vor Ort mit den richtigen Anlaufstellen verbunden
- Was zunächst eine unterhaltsame Idee war, um die Zeit von Betrügern zu verschwenden, entwickelte sich zu einem Projekt, das bis zur Untersuchung realer Wallets und zur Unterstützung von Opfern führte
1 Kommentare
Hacker-News-Kommentare
Der Teil, in dem man nach langem Warten endlich verbunden wird und dann bei einer automatischen Ansage landet, die sagt: "Das Postfach ist voll", war erschreckend realistisch.
Ich weiß, dass das hier absichtlich so gebaut wurde, aber ich habe vor Kurzem bei einem tatsächlich wichtigen staatlichen System genau dasselbe erlebt.
Ich habe bei der California EDD angerufen, um ausstehende Zahlungen für den bezahlten Familienurlaub des Bundesstaats zu bekommen; online ließ sich das nicht erledigen, man musste zwingend anrufen.
Zweimal habe ich eine Stunde gewartet, dann klingelte es, ich wurde zur Mailbox weitergeleitet, bekam gesagt, dass das Postfach voll sei, und die Verbindung wurde getrennt; und überhaupt überhaupt erst in die Warteschlange zu kommen klappt vielleicht bei einem von hundert Versuchen, was einen wirklich wahnsinnig macht.
Dort war das Verhältnis wohl besser, weil im Vergleich zur Zahl der Sprecher dieser Sprache mehr Mitarbeitende eingesetzt wurden; soweit ich mich erinnere, war die vietnamesische Nummer am besten, aber das kann inzwischen anders sein.
Wenn man die Sprache nicht spricht, ist es schwierig, durch das automatische Menü zu kommen, aber sobald man bei einem Menschen landet, ist die Person am anderen Ende zweisprachig und spricht vollkommen fließend Englisch.
Wenn man immer wieder nach einem Mitarbeitenden fragt, legen sie irgendwann auf, und die einzige verlässliche Methode, mit einem Menschen verbunden zu werden, war zu sagen: "Ich möchte mit jemandem sprechen, um mein Konto zu kündigen."
Ich habe Angst, dass es mit LLMs oder besserer AI irgendwann wirklich unmöglich wird, mit einem Menschen zu telefonieren.
Wegen pandemiebedingter Entlassungen stehen mir noch immer mehrere Tausend Dollar an Arbeitslosengeld zu, aber ich habe etwas sehr Ähnliches erlebt und schließlich aufgegeben.
Ich kenne Kit über einen Freund und habe sogar einmal mit ihm Magic: The Gathering gespielt.
Er wirkte wie jemand, dessen On-Air-Persona und tatsächlicher Charakter praktisch identisch sind, als sei er genau für diese Arbeit gemacht; wirklich ein guter Mensch, und seine Frau und Kinder waren auch toll.
Ursprünglich hat er als Webentwickler angefangen, und die Fake-Banking-Websites hat er alle selbst gebaut.
Es ist eine sehr clevere Arbeit, bei der er paradoxerweise Phishing-Techniken nutzt, um Phisher zu fangen.
Ich mag Kitboga-Videos.
Jedes Mal, wenn ich sie sehe, bin ich erstaunt, wie arrogant und selbstgefällig die Betrüger sind und wie sehr sie in ihrer eigenen Rolle aufgehen.
Sie glauben wirklich, dass sie unglaublich schlau sind, und haben keinerlei Hemmungen, ältere Menschen am Telefon zu verspotten.
Danke an Kitboga, dass er diesen guten Kampf führt, und es ist großartig zu sehen, wie Banken und Krypto-Börsen Konten sofort einfrieren, die Kitboga gemeldet hat.
Wahrscheinlich müssen sie sich mit etwas rechtfertigen wie: "Der Westen hat Entwicklungsländer bestohlen, also holen wir uns nur etwas zurück", oder: "Dieser Idiot wird sowieso von jemandem betrogen, also kann ich das Geld auch nehmen."
Ich weiß nur nicht, ob das die Ursache oder die Folge ist; vielleicht zieht diese Art Job in betrügerischen Callcentern von vornherein genau solchen Müll an.
Andererseits könnten auch ganz normale Leute, wenn sie in so einem Callcenter landen, in einer Art Stanford-Prison-Experiment-Situation leicht manipulierbar werden.
Seitdem halte ich sie, wenn ich einen solchen Anruf bekomme, so lange wie möglich in der Leitung, damit sie zumindest niemand anderen in der Zeit betrügen können.
Bei dreien habe ich es lange genug geschafft, um zu fragen: "Warum betrügt ihr arme alte Frauen?", und alle drei gaben dieselbe Antwort:
"Westliche Menschen sind reich und verdienen es nicht."
Menschen folgen im Allgemeinen eher jemandem, der selbstbewusst spricht, deshalb muss ein Betrüger überzeugte Sicherheit ausstrahlen, um die Erfolgsquote zu erhöhen.
Ein Betrüger will verhindern, dass das Gegenüber an seinen Fähigkeiten zweifelt, und stattdessen erreichen, dass das Gegenüber fortwährend an seinem eigenen Urteilsvermögen zweifelt.
Die verletzlichsten Opfer reagieren auf genau diese Art.
Wären sie vorsichtig und freundlich, würde das Gespräch vermutlich mit "Ich frage erst bei meiner Bank nach und melde mich dann wieder, danke" enden.
Der letzte Twist war in mehrfacher Hinsicht großartig.
Durch einen völligen Zufall hat Kitboga jemanden direkt vor einem langfristigen Betrug bewahrt und dabei vielleicht sogar zufällig eine neue Methode entdeckt, um Opfern zu helfen.
Wenn man den Betrüger dazu bringt, dem Opfer Kitbogas Nummer zu geben, kann er dem Opfer direkt helfen.
Haben Kitboga und sein Team nicht die Betrogenen gespielt?
Ich habe nicht verstanden, was die Frau mit dem Bitcoin-Beleg oder dem QR-Code zu tun hatte.
Alle lachen, aber ich bin bei dem Versuch, mich in mein OpenAI-Konto einzuloggen, auf ein unmögliches CAPTCHA gestoßen
Es ist ein Konto, für das ich 20 Dollar im Monat zahle, aber ich musste 80-mal auf ein Puzzle klicken, und bei einem einzigen Fehler musste ich wieder von vorn anfangen
Überhaupt nicht lustig, also habe ich das Abo gekündigt, und Phind ist ohnehin schneller und qualitativ besser
Alle hier finden es lustig, aber ich sehe darin nur die Mühe von Leuten, die ein Internet-Erlebnis schaffen, das man täglich ertragen muss
Würde perfekt zum AI- und CAPTCHA-Team passen /s
Dass man trotz eines 20-Dollar-Monatsabos noch lange Puzzle-Matrizen serviert bekommt, ist ziemlich absurd
Manchmal muss man einfach zu viele viel zu schwere Puzzles lösen und gibt dann einfach auf, und an anderen Tagen hofft man, dass es nur ein paar wenige sind
Ich habe abonniert, um es sofort nutzen zu können und dem SEO-Müllhaufen zu entgehen, aber am Ende verliere ich trotzdem noch Zeit und zahle auch noch dafür, unbezahlte Arbeit für das Modelltraining zu leisten
Wäre sie unnormal, hätten die meisten wohl sofort erkannt, dass es fake ist
Die Nüsse auf dem Bild zählen zu müssen, ist etwas übertrieben, aber wir sind inzwischen so an miese CAPTCHAs gewöhnt, dass es plausibel wirkt
Bei Telefonmenüs ist es genauso
Gib mir ein paar Minuten, dann lasse ich ChatGPT ein Skript schreiben, das das erledigt
Über anderthalb Wochen hinweg habe ich nicht einmal 10 Prompts geschrieben und jedes Mal nur die Antwort bekommen: „Im System wurde verdächtige Aktivität erkannt, bitte versuchen Sie es später erneut“
Scheint kein seltenes Problem zu sein, unabhängig davon, ob man abonniert hat oder nicht
Ich frage mich, ob sich noch jemand an den Telefonbot zur Scammer-Abwehr erinnert, der früher so tat, als wäre er ein dementer alter Mensch
Ich meine, er hieß „Lemmy“ oder so, und wartete immer, bis der Scammer aufhörte zu reden, bevor er eine Frage stellte oder eine lange wirre Geschichte begann
Es war lustig, aber auch extrem ausgefeilt gebaut, damit das Gespräch weiterlief, sodass es sich über Stunden hinziehen konnte, und sobald sich die Wiederholungen häuften, explodierten die Scammer oft
Ein bisschen klüger als dieser schöne Scam war er deshalb, weil der Gesprächsfluss sehr natürlich war und er ausnutzte, dass Scammer gern reden, wenn man ihnen nur die Gelegenheit gibt
Klingt nach einer guten Idee für die nächste Version
https://en.wikipedia.org/wiki/Lenny_(bot)
https://www.youtube.com/watch?v=XSoOrlh5i1k
https://www.reddit.com/r/itslenny/comments/5lcfwq/lennys_his...
Den Film "Sorry to Bother You" kann ich auch sehr empfehlen
https://en.wikipedia.org/wiki/Sorry_to_Bother_You
SORRY TO BOTHER YOU | Official Trailer:
https://www.youtube.com/watch?v=enH3xA4mYcY
LaKeith Stanfield spielt Cash, und David Cross spricht Cashs „white voice“
The Art Of The White Voice by David Cross and Patton Oswalt (Sorry to Bother You):
https://www.youtube.com/watch?v=XxZt3sD3rzo
Watch Lakeith Stanfield Use His ‘White Voice’ in ‘Sorry to Bother You’ | Anatomy of a Scene:
https://www.youtube.com/watch?v=PY9RQFX28j0
Sie ist jetzt in einer Führungsposition und scheint nicht besonders daran interessiert zu sein, damit in Verbindung gebracht zu werden, aber nach ein paar XXXX-Bieren erzählt sie alle möglichen Geschichten
Das wirklich Traurige ist, dass man vieles davon auch regelmäßig erlebt, wenn man mit „echten“ Unternehmen telefoniert
Die Stimme wird absichtlich auf eine Qualität heruntergezogen, als würde man ein Walkie-Talkie in einem Propellerflugzeug hören, die grauenhafte Wartemusik ist auf maximale Lautstärke gebracht und zusätzlich heruntergesampelt und im Pegel verstärkt, sodass es körperlich wehtut, Gespräche werden zufällig getrennt, und man landet in Weiterleitungsschleifen
Und das alles passiert sogar dann, wenn man zu dem armen Support-Mitarbeiter, der den ganzen Tag bei so einer Firma arbeiten muss, höflich und geduldig bleibt
Den letzten Teil habe ich nicht verstanden.
Das Anti-Scam-Team von Kraken hat wohl herausgefunden, dass eine Person, die sie als Betrugsopfer einstuften, die sie aber nicht erreichen konnten, bei seinem Gauntlet angerufen hat, und danach konnten sie dieser Frau und anderen Opfern helfen, die im Gauntlet gelandet waren.
Ich dachte, der gesamte Ablauf sei, dass Kitboga und sein Team die Zielperson spielen und den Betrügern einen gefälschten QR-Code schicken.
Wenn einige der Frustrierten in Wirklichkeit unschuldige Menschen sind, die von Betrügern gesteuert werden, wird die moralische Rechnung deutlich komplizierter.
Wenn es darauf eine belastbare Antwort gibt, würde das die Sorge aus Punkt 2 verringern, aber ich fände es schwer zu glauben, sofern es sich nicht um eine so arbeitsintensive Methode handelt, dass der Nutzen eines automatisierten Systems darunter leidet.
Insgesamt war das Video unterhaltsam, und wenn ich an Erfahrungen mit automatisierten Telefonmenüs denke, war es so realistisch, dass es schon wieder lustig war, aber die obigen Punkte halten mich davon ab, seine Arbeit vorbehaltlos zu unterstützen.
Was in diesem System leicht häufig passieren könnte, sieht dem sehr ähnlich, was Bot-Software früher gemacht hat, um CAPTCHAs zu umgehen.
Man könnte Menschen in schwierigen Lebenslagen dafür bezahlen, sie zu lösen.
Das Video war lustig, aber es hat mir auch sehr bewusst gemacht, in welch privilegierter Position ich bin, weil ich nicht in eine Umgebung hineingeboren wurde, in der man zwangsläufig zu einem dieser „Verdammten“ wird, ob als Betrüger oder als Opfer.
https://youtu.be/tzXRb8PdmJo
Letztlich sind solche Betrüger Raubtiere, und die im Video gezeigten sind nur die Spitze des Eisbergs; Betrug gegen wohlhabende Westler ist eine Milliardenindustrie.
Gleichzeitig sind auch sie Opfer der asymmetrischen Belohnungsstrukturen des globalen Kapitalismus und Kolonialismus, und konkreter noch werden viele von ihnen als Opfer von Menschenhandel zu solchen Betrügereien gezwungen.
https://www.csis.org/analysis/cyber-scamming-new-destination...
Ich habe vorhin die Kitboga-Website gelesen, dort stand, man mache „eine düstere Situation ein wenig leichter“, und das fasst es ziemlich gut zusammen.
Scammers vs Impossible Password Game ist ebenfalls sehenswert.
[1] https://www.youtube.com/watch?v=knhQ2f8anT8
Ich kann es nicht glauben.
Ich hätte mich fast totgelacht.
„Warum haben Sie das denn benutzt?!“
Kitboga ist ein nationales Kulturgut von YouTube.
Meistens sind das Filmzitate, aber inzwischen hat sich das Gebrüll eines Betrügers — „Warum haben Sie so etwas getan?!?!?!“ — in mein Gehirn eingebrannt.
Dabei zeigte eine Zahl an einer bestimmten Stelle im gefälschten Google Play Store den jeweils ausgegebenen Betrag an.