Cthulhu team - crystalmeth (deadcloud)
Автор - t.me/aimlabsСтатья будет написана не о самом balaclavv, а о его брутере deadcloud (crystalmeth) - человеке, на котором основывалась вся деятельность ктулху
2022 - тот самый год, когда Ктулху впервые появился на форумах под своим псевдонимом. Речь будет идти только о lolzteam, где эти оба не скрывали своё сотрудничество.
Начиная с нуля его деятельности, оканчивая 2024-м годом, они успели внести немалый депозит и купить меценат за 38.375$
Вся эта история длилась по март 24-го года, когда команда решила скамнуться на n-ое количество $. На форуме было написано в общем 2 арбитража на малые суммы, но эти малые суммы дадут свои плоды в расследовании
Большое внимание уделим жалобе, где обман со стороны ктулху произошел на сущие копейки, в сравнении с оборотом команды - 4.500$
Истец Buloklover описывает жалобу -
❝2 февраля мной был заведен лог,
с него успешно сняли и выплатили 6к$ и еще 3к$ оставалось в стейке до
12 марта. за этот период времени команда ктулху успела распасться, а на
кошельке мамонта 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 было уже 4,5к$
11 марта за день до возможности снятия я пишу балаклаве, чтобы он
посмотрел сколько точно осталось времени и он успел вывести деньги до мамонта, кидаю лог.
далее я замечаю, что 2к$ пришло и ушло меньше чем за минуту, понятно
что это автовывод. пишу об этом и конечно же бк говорит, что он его не
ставил (имея свой автовывод, пон). я прошу сидку, но бк начинает
повторять, что занят и все. долгие же дела, раз почти за неделю он не
может снять один стейк, сейчас там непонятно зачем все еще холдятся 2,5к$
дальнейшие несколько дней попытки связаться успешно игнорировались (все
видно в имгуре), хотя были его теги в про чате и он это видел. казалось
бы, зачем игнор, если ты тут не при чем? лог или сидку не дает, сообщения даже не читает.❞
Нам нужен только кошелек с этой жалобы, адрес которого - 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12
Также прикреплю кошелек, который был отправлен им ранее на брут. Из-за конфиденциальности человека, предоставившего информацию по кошельку с лога, зарождение адреса показать не смогу, но это не повлияет на дальнейшее расследование.
0x4a1f8278ad8b1b171ef7ba164ca9becb7ae6e767
Изначально я решил провести анализ по кошелькам, чтобы выяснить изначального их владельца - жертвы, которая подверглась бруту.
С 0x4a1f8278ad8b1b171ef7ba164ca9becb7ae6e767 всё было просто - адрес уже был свежим, владельцем адреса оказался некий Peter Salmon из Лондона.
Я прикреплю скриншот, на котором можно будет разглядеть почту и твиттер Питера, но в целях его личной безопасности большую информацию раскрывать я не буду.
Владельцем кошелька 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12 оказался некий Johnny Nielsen из Калифорнии, с которым я только недавно начал выходить на связь. Выяснить изначального владельца удалось по роату
0x1dba77d17c54fdb8952692bd5b356c5c6ea4904f 0xf0dede477e1f4283c8bd47d8d7e21ee7c7922e12, где уже этот адрес и принадлежал Джону.
Изначально это предоставлено в статье не только для всеобщего обозрения, но и для дальнейшего расследования совместно с более влиятельными в этой области людьми по аналитике кошельков и дальнейшем расследовании в деле о том самом брутере.
Проведя пару за и против от этих двух кошельков, я пришел к конечной точке для них обоих - и это оказался адрес
0xf9052ed4174671eaf38ffa26e4fb290382a15f95
Как необычно то, что опытный брутер того времени, совсем не мыслил о том как правильно отмывать свои собственные средства. И это не слова из воздуха, и расследование по кошелькам проделано не просто так, поскольку все эти пути в итоге приведут к одному человеку.
Так получилось, что в основном при отмывании денег через различные биржи, deadcloud использовал OKX и KuCoin. Рассмотрев транзакции подробнее, выяснилось, что использовать эти биржи было полным бредом, поскольку построить пути по тем самым кошелькам вообще не вызывает трудностей.
Даже разделив транзакцию на две части, все в итоге свелось к адресу 0xf9052ed4174671eaf38ffa26e4fb290382a15f95.
Если посмотреть на историю этого адреса, становится ясно, что это не адрес какого-то обменника, а скорее адрес человека, которым по сей день пользуются, и на его счета поступают необычайные суммы из неоткуда.
Каким бы опытным брутером он не был, опять заведём речь об отмыве средств и дальнейшем их использовании. А говорить и не так много, поскольку он умудрялся вплошь напрямую переводить с него средства на новый адрес, а после высылать с него средства сразу в обменник. Не разглашая имени обменника, огромное спасибо за сотрудничество и предоставление информации по адресу 0x2f7effe70c230194a9af66aeb846d1d9d5ad6caf, на который были направлены однажды средства. Нам выдаёт некого Жукова Егора Павловича, который воспользовался услугой обмена USDT на рубли.
Будем держать в уме эти ФИО, а пока перейдем обратно к Лолзу.
Ники у клауда были следующие - crystalmeth666, crystalmeth777, crystalmeth999, deadcloud и d3adcloud. К ним был напрямую подвязан телеграм - @crystalmeth999. У него был мульт с ником alivecloud, который в итоге был заблокирован за мошенничество, и модерация форума напрямую на странице заявила, что это его мульты.
Мне удалось получить IP адрес с форумника дедклауда (alivecloud).
Дальше дело становится проще - по нему выясняем его почту, с почты достаём номера, а с номеров уже остальные данные. Выясняем кто он и где он, находим его новый телеграм @rockinchristiandior1, к которому подвязан телеграм канал "Адская Лудомания", в последствии переименованный в "555star* swagmoneydrip...". Админом указан @rockinchristiandior1, а тег psychodiary555 - ник с тремя цифрами, как Егор и любит. Сейчас его телеграм айди - @letspourmud
В канале ни раз заявлялось об инвестициях в крипту, продаже этой криптовалюты и дальнейших её оборотах. Если совмещать даты, можно увидеть и удачное совпадение в транзакциях с кошелька
0xf9052ed4174671eaf38ffa26e4fb290382a15f95
Теперь, рассматривая подробнее, нам нужно убедиться в том, что этот самый Егор хоть как-то связан с тем самым брутером, не может же одни только три цифры в ники указывать на это, верно?
Так вот наш Егор не додумался при удалении вк сменить домен с deadcloud3.
На данный момент Егор съехал с г. Трехгорный и находится в разъездах между Москвой и Екатеринбургом, единственный фактор давления на него - его сестра, что недавно начала ходить в школу. Сейчас лучшим вариантом будет не трогать мелкую тёлку и просто заняться тем, чтобы бывшего брутера задержали, а перед этим хорошо отработали самосудом.
Совершенно недавно мы списывались с Егором, и он заявил, что ничего не знает, оскорбил меня и отправил в черный список, после чего сменил свой ID в телеграм, удалил канал и начал активно выводить средства с кошелька 0xf9052ed4174671eaf38ffa26e4fb290382a15f95
Но вот интернет всё помнит, а я не с пустыми руками сидел и хорошо подготовился.
Более подробную информацию и расследование вы сможете увидеть в моем профиле на сайте, который я опубликую позже в канал и добавлю в эту статью.
Эта история не закончится одной статьей и информацией, и вы сможете наблюдать за тем, как щенка, кравшего деньги у наших друзей иностранцев, загоняют в угол и заставляют делать невероятные вещи, либо вовсе отправляют на бутылку за все те грехи, что он совершил.
Вы также можете запросить дополнительную информацию у t.me/aimlabs