Престъпници копират външния вид на Polymarket, един от най-големите сайтове за пазари за прогнози. Те използват копията, за да вземат криптовалута от хора, които мислят, че правят реални залози.
След като жертвата депозира пари, сайтът определя всяка печалба и загуба, а тегленията спират да работят. Измамите не са единични уебсайтове.
Три рускоезични „трафър“ (traffer) екипа, наречени AtlasCore, PolyFucked и Magnetic Team, продават готови фалшиви пазари за прогнози на партньори (афилиейти).
Партньорите привличат жертвите, а екипът осигурява уебсайта, административния панел, системата за крипто разплащания и техническата поддръжка.
При по-ранни случаи, като например фалшиви инструменти за търговия в Polymarket, портфейлите бяха източвани със зловреден софтуер. Тази по-нова вълна пропуска зловредния софтуер и вместо това разчита на манипулирана платформа.
Изследователи от Insikt Group към Recorded Future идентифицираха трите екипа и инструментите, които те продават. Те наблюдават как групите се адаптират от пролетта на 2026 г.
Техният доклад от Insikt Group посочва, че екипите са копирали утвърдени методи за измама и са ги приложили към нарастващия интерес към Polymarket и Kalshi.
Хакери изграждат фалшиви платформи на Polymarket
Фалшивите сайтове копират оригинала много точно. Те показват залози ДА/НЕ, графики за вероятност, обеми на търговия и пазарна активност на живо. Някои дори импортират данни от публичния API на Polymarket, така че числата да изглеждат реални.
Зад екрана операторът контролира резултата. Кодът от фалшивите сайтове на AtlasCore позволява на оператора да зададе „шанс за печалба“ за всяка жертва. Стойност 0 означава, че жертвата винаги губи, а 100 означава, че винаги печели. Това може да се приложи за всеки потребител или за конкретен човек.
Magnetic Team добавя инструмент „Boost“ с целеви процент на печалба, таван на баланса, който задържа изплащанията след като балансът на жертвата нарасне, и пауза с принудителна загуба след няколко поредни печалби.
Magnetic Team също така фалшифицира тълпата от потребители. Екипът твърди, че разполага с повече от 3,000 бота, търгуващи на над 5,000 пазара, като всеки действа като различен вид търговец, така че книгата с поръчки да изглежда натоварена и естествена.
Тегленията са мястото, където жертвите биват блокирани. Панелите съдържат готови съобщения за грешки и настройки за такси. „Фунията за теглене“ на Magnetic Team предоставя едно извинение след друго, като например проверки на самоличността, прегледи срещу пране на пари, такси за надграждане до VIP статус, „Оценка за защита на акаунта“ (Account Protection Score) и данъци върху тегленето. Целта е жертвата да продължава да плаща и никога да не ѝ се позволи да изтегли парите си.
Сайтовете събират и лични данни. От жертвите се искат номера на карти, CVV кодове, снимки на паспорт или шофьорска книжка и селфи, на което държат документа.
Magnetic Team може да създаде до 20,000 портфейла за депозит на блокчейн. Техните частни ключове са открити и могат да бъдат експортирани в момента, в който парите пристигнат, така че средствата да могат да бъдат източени бързо.
Това се вписва в по-широк модел. Измамната мрежа DCloud Uni-App също показва на жертвите фалшива търговска активност, преди парите им да изчезнат.
Изкуственият интелект и парите от партньори помагат за разпространението на измамата
Партньорските сделки са привлекателни. AtlasCore рекламира 70% до 80% от нетната печалба, PolyFucked предлага поне 60%, а Magnetic Team плаща база от 70% от депозитите на жертвите.
Каналът на AtlasCore в Telegram твърди за около $10.97 милиона в депозити между 2 май и 18 септември 2026 г. PolyFucked твърди за около $2.4 милиона тримесечен оборот. И двете суми идват от самите престъпници и може да са завишени.
Изкуственият интелект (ИИ) намалява усилията, необходими за провеждането на тези кампании. Ръководствата на AtlasCore учат партньорите как да изграждат фалшиви инфлуенсъри чрез смесване на снимки на двама реални души, след което да публикуват кратки видеа с реакции в Instagram.
Те също така инструктират партньорите да премахват метаданните, така че съдържанието да не бъде маркирано като създадено от ИИ. PolyFucked споделя промптове за създаване на лога с ИИ инструменти за изображения.
ИИ също така поема чата с жертвите. Кодът от фалшивите сайтове показва, че операторите свързват езиков модел, за да отговарят на съобщения до поддръжката и да превеждат отговорите на жертвите на руски език. Ако един модел откаже заявка, системата превключва към модел от друг доставчик.
Кодът на Magnetic Team също изглежда подпомогнат от ИИ, с обилни коментари на английски език и бележки относно корекции на грешки, въпреки че от Insikt казват, че това е преценка, базирана на стила, и не е потвърдена.
Това съвпада с откритията на OpenAI в случай с измамни мрежи, използващи ChatGPT, при който групи за измами са използвали ИИ за фалшиви самоличности и превод.
Третирайте всеки пазар за прогнози, който не е на официалния домейн на Polymarket или Kalshi, като подозрителен. Бъдете внимателни със сайтове, популяризирани от инфлуенсъри в Instagram или Telegram.
Сайт, който иска документи за самоличност или данни за карти, преди да можете да изтеглите средства, трябва да задейства тревога. Внимавайте за внезапни такси или стъпки за „верификация“, когато се опитвате да изтеглите парите си.
Прегледът на предупредителните признаци за крипто фишинг помага за ранното разпознаване на тези трикове. Екипите по сигурността могат да блокират домейните и IP адресите по-долу и да следят за нови сходни (lookalike) домейни.
Индикатори за компрометиране (IoCs):-
| Тип | Група | Индикатор |
|---|---|---|
| Домейн | AtlasCore | atlascore-panel[.]net, polymarket[.]atlascore-panel[.]net, casino[.]atlascore-panel[.]net, docs[.]atlascore-panel[.]net, prdct[.]cc, event-x[.]cc, predicate[.]cc, predictedby[.]cc, predicate[.]world, predicate[.]live, predicate[.]club, speculor[.]net, rqwrujarser[.]icu, wettora[.]com, bravioar[.]com, winzo[.]live, predictum[.]app, predictum[.]pro, predictum[.]cc, egov-x[.]com, deltevent[.]cc, delevent[.]cc, uppulse[.]xyz, depredictor[.]com, plexocade[.]com, predictmex[.]com, gobeast[.]bet, testdomainatlas[.]com, vnite[.]pro |
| Домейн | AtlasCore | polycore[.]club, winzo[.]cc, polyweb[.]cc, holymarket[.]guru, polyblink[.]com, vuefax[.]com, polywax[.]net, zevrix[.]pro, polym[.]cc, deltapredict[.]net, polyxmarket[.]com, polyxchange[.]net, polymusk[.]net, polymrkt[.]cc, polymeet[.]cc, x-predict[.]cc, futurecastx[.]com, polymarts[.]net, event-pick[.]com, predict[.]biz, polidex[.]cc, polymarket-labs[.]click, polyspace[.]cc, 4pred[.]cc, werexo[.]com, plmrkt[.]com, polix[.]cc, 7poly[.]icu, lootwox[.]com |
| Домейн | AtlasCore | polycore[.]cc, zarama[.]xyz, govazex[.]com, trybet[.]cc, polora[.]top, premrkt[.]cc, prognozland[.]com, polytax[.]cc, polylook[.]cc, prdect[.]lat, polymak[.]cc, polydep[.]com, swapnux[.]com, eventmex[.]com, tonchange[.]cc, apexswap[.]top, gemchange[.]com, predictionmarket[.]help, exchangezone[.]xyz, valorewards[.]shop, huesos[.]shop, jetox[.]top, fnbox[.]top |
| Домейн | PolyFucked | polyfucker[.]space, preds[.]co, resolve[.]bet, forutsagt[.]bet, kiro-cheap[.]pro, futaryx[.]com, fortvet[.]cc, fortexp[.]live, authmy[.]co, predxmarket[.]xyz, polyfucked[.]top, fortnitebeast[.]top, predictbase[.]site, predivo[.]trade, polydexy[.]com, pollymarket[.]world, polyrnarket[.]vip, oraculus[.]live, oraculus[.]bet, forelytic[.]com, poly-market[.]top |
| Домейн | Magnetic Team | magnetic-panel[.]space, tradingai[.]fun, crossbook[.]xyz, btwoteam[.]xyz, predicton[.]org, polymarket[.]casino |
| IP адрес | AtlasCore | 192[.]162[.]199[.]243, 158[.]94[.]209[.]19 |
| IP адрес | PolyFucked | 81[.]90[.]17[.]100, 83[.]217[.]208[.]78, 89[.]213[.]118[.]50 |
| IP адрес | Magnetic Team | 31[.]76[.]10[.]48, 192[.]64[.]119[.]163, 91[.]195[.]240[.]19, 87[.]120[.]165[.]193, 31[.]77[.]159[.]194 |
| Имейл | AtlasCore / PolyFucked | austinhenderson199962[@]quickblox[.]net, maedawyggertie[@]gmx[.]com, bvzfsderman[@]gmx[.]com |
| ETH портфейл | PolyFucked | 0x2d71435b9bd26cb60fa874ce88d6b856f9a166d0 |
| Telegram | AtlasCore | @AtlasCoreTeam_bot, @AtlasCorePolymarket_bot, @AtlasCoreCasino_bot, @AtlasCoreManage, @ajento |
| Telegram | PolyFucked | @PolyFuckedBot, @polyfuckr, @kasrador, @polyfuckers |
| Telegram | Magnetic Team | @magneticteam_bot, @MagneticCEO |
| JavaScript файл | AtlasCore | /build/assets/app-Ch74MqWt.js, /build/assets/app-DwKjOmEK.js |
| JavaScript файл | Magnetic Team | partner.js, partner-rigging.js, partner-extras.js, partner-push.js, partner-wallets.js, partner-seo.js |
Бележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно резолване или превръщане в активни хипервръзки. Възстановявайте ги в активен вид само в рамките на контролирани платформи за разузнаване на заплахи, като MISP, VirusTotal или вашата SIEM система.