Vụ trộm tiền điện tử của Michael Turpin: Bên trong $24M Chiến dịch lừa đảo hoán đổi SIM đã thay đổi mọi thứ

Nhà đầu tư tiền điện tử Michael Turpin không hề hay biết rằng việc rời khỏi một hội nghị sẽ kích hoạt một trong những vụ trộm kỹ thuật số tinh vi nhất từng ghi nhận. Những gì bắt đầu như một ngày bình thường cuối cùng lại khiến các tài khoản của ông bị rút sạch và một vụ trộm tiền điện tử trị giá hàng triệu đô la khiến ngành an ninh phải sửng sốt. Kẻ chủ mưu? Một thiếu niên 15 tuổi tên Ellis Pinsky, hoạt động từ khắp nơi trên đất nước với một mạng lưới đồng phạm tuổi teen đã xâm nhập chính các công ty viễn thông.

Cách một thiếu niên 15 tuổi Ellis Pinsky tổ chức cuộc tấn công đổi SIM lớn nhất

Ellis Pinsky không thức dậy một ngày và quyết định trộm hàng triệu đô la tiền điện tử. Hành trình của cậu bắt đầu từ rất sớm—trong một căn hộ chật chội ở NYC, với một món quà PlayStation 13 tuổi đã khơi nguồn đam mê công nghệ. Đến giữa tuổi teen, Ellis đã tiến xa hơn từ việc bán các tài khoản Instagram bị đánh cắp đến việc khám phá các diễn đàn hacker, nơi cậu học được kỹ thuật SQL injection và các phương pháp khai thác khác. Nhưng bán các tài khoản kỹ thuật số không đủ kích thích; cậu khao khát điều gì đó lớn hơn, điều mang lại quyền lực thực sự và tiền bạc thật sự.

Cơ hội đến qua kỹ thuật đổi SIM—một kỹ thuật mà hầu hết mọi người chưa từng nghe đến. Cơ chế khá đơn giản: thuyết phục một nhân viên viễn thông chuyển số điện thoại của ai đó sang SIM của bạn. Một khi bạn kiểm soát được số điện thoại, bạn kiểm soát mọi thứ liên quan đến nó. Tin nhắn SMS? Thuộc về bạn. Mã xác thực hai yếu tố? Bị chặn. Các tùy chọn khôi phục mật khẩu? Bị xâm phạm. Từ đó, việc truy cập các tài khoản email trở nên dễ dàng, và việc truy cập ví tiền điện tử cũng theo tự nhiên.

Cuộc chiếm đoạt tiền điện tử: Từ việc chiếm quyền điện thoại đến rút sạch ví

Ellis tập hợp một nhóm đồng phạm, nhiều người trong số họ mới lớn hơn cậu chút ít. Cùng nhau, họ xác định mục tiêu của mình: Michael Turpin, một nhà đầu tư tiền điện tử nổi tiếng với lượng nắm giữ lớn. Nhóm đã hối lộ các nhân viên viễn thông—một điểm yếu quan trọng sau này trở thành trung tâm điều tra của liên bang—và thành công trong việc chuyển số điện thoại của Turpin sang quyền kiểm soát của họ.

Với việc điện thoại của Michael Turpin bị chiếm quyền, Ellis bắt đầu chạy các script tự động từ cuộc gọi Skype để lần lượt trích xuất cuộc sống kỹ thuật số của ông. Các script quét qua email, dịch vụ lưu trữ đám mây và các tập tin khôi phục—cơ bản là thực hiện một cuộc kiểm tra kỹ thuật số toàn diện về sự hiện diện trực tuyến của Turpin. Họ tìm kiếm một thứ duy nhất: các khoá riêng của ví và cụm từ seed.

Mục tiêu ban đầu có vẻ như là jackpot: khoảng 900 triệu đô la Ethereum (ETH) bị khóa trong ví quan trọng nhất của ông. Nhưng số tiền lớn đi kèm với các biện pháp bảo vệ mà Ellis chưa lường trước được. Bực bội nhưng không nản lòng, nhóm đào sâu vào các tài khoản khác của Turpin. Đến lúc này, họ phát hiện ra—24 triệu đô la tiền điện tử trong nhiều ví khác, ít được bảo vệ hơn ví chính. Trong vòng vài giờ, số tiền đã chảy từ các tài khoản của Michael Turpin sang các ví do Ellis và đồng phạm kiểm soát.

Chi tiêu 24 triệu đô la: Mua sắm xa xỉ và sụp đổ nhanh chóng

Bỗng chốc trở nên giàu có hơn những gì hầu hết thiếu niên có thể tưởng tượng, Ellis bắt đầu mua sắm những thứ sẽ trở thành bằng chứng dẫn đến sự sụp đổ của cậu. Một chiếc Rolex trị giá 100.000 đô la được cất dưới giường. Quần áo thiết kế, chuyến đi xa xỉ, và các hóa đơn quán bar, câu lạc bộ đêm tích tụ khắp các thành phố lớn. Tiền điện tử đã được chuyển đổi thành phong cách sống thể hiện rõ “thiếu niên mới giàu”—không thể duy trì và không thể che giấu.

Nhưng sự đoàn kết của nhóm bắt đầu rạn nứt dưới áp lực. Một thành viên trốn mất 1,5 triệu đô la, biến mất vào hư không. Một thành viên khác, có vẻ bị rối loạn hoặc khoe khoang, bắt đầu bàn luận về việc thuê người gây thương tích. Tình đồng đội đã thực hiện vụ trộm 24 triệu đô la nhanh chóng tan rã trong vòng vài tuần dưới sức nặng của chính thành công của họ.

Bị bắt theo dấu vết: Cách Ellis Pinsky đối mặt với công lý

Truglia, người bạn cũ của Ellis trong vụ án, trở thành mắt xích quan trọng trong chuỗi bắt giữ của họ. Không thể cưỡng lại, Truglia đăng bài trên mạng xã hội với những phát ngôn tố cáo như “Trộm 24 triệu đô. Vẫn không thể giữ nổi bạn bè.” Các tweet này vô tình công khai, dễ dàng truy tìm, và chính xác là những gì lực lượng thực thi pháp luật cần. Một sai lầm khác còn tệ hơn: Ellis dùng tên thật của mình trên Coinbase khi cố gắng thanh lý một phần số tiền điện tử bị đánh cắp.

FBI đã hành động nhanh chóng. Truglia bị bắt và bị giam giữ vì vai trò của mình trong vụ trộm đổi SIM lớn nhất từng ghi nhận. Michael Turpin theo đuổi kiện dân sự, nộp đơn kiện 22 triệu đô la chống lại Ellis. Thậm chí còn đáng sợ hơn, căn nhà của Turpin đã trở thành mục tiêu—những tên côn đồ đeo mặt nạ xông vào, ám chỉ rằng các bên khác đã biết về vụ trộm và muốn trả đũa hoặc thu hồi.

Từ hacker thành sinh viên triết học: Ellis ngày nay

Đây là nơi câu chuyện có bước ngoặt bất ngờ. Ellis, khi đó còn vị thành niên, phải đối mặt với các hậu quả pháp lý khá nhẹ—không bị truy tố hình sự, một quyết định mà một số người xem là may mắn còn số khác cho là thất bại hệ thống. Cậu đã hoàn trả phần lớn số tiền điện tử bị đánh cắp và cố gắng bắt đầu lại cuộc đời.

Hiện tại, Ellis học triết học và khoa học máy tính tại Đại học New York (NYU). Theo mọi hình thức, cậu đang cố gắng rời bỏ những hỗn loạn, xây dựng các dự án hợp pháp, và phần nào đó đền đáp lại xã hội cũng như Michael Turpin. Liệu cậu có thành công hay không vẫn còn là một câu hỏi mở.

Đến khi Ellis tròn 15 tuổi, cậu đã tích lũy được: 562 Bitcoin, các mối liên hệ với các insider viễn thông bị tham nhũng, một vụ kiện đang diễn ra từ nạn nhân của mình, và những mối đe dọa đáng tin cậy chống lại tính mạng của mình. Vụ tấn công đổi SIM vào kho tiền điện tử của Michael Turpin trở thành một câu chuyện cảnh báo về cách các lỗ hổng trong hạ tầng viễn thông, kết hợp với sự tinh vi của giới trẻ trong hacking, đã tạo ra một cơn bão hoàn hảo. Nó làm nổi bật những khoảng trống quan trọng trong cách các sàn giao dịch tiền điện tử xác minh danh tính người dùng và cách các công ty viễn thông xác thực các thay đổi tài khoản—những điểm yếu mà ngành an ninh tiền điện tử vẫn đang cố gắng khắc phục nhiều năm sau.