Как хакеры атаковали биржу игровых ценностей catpay.ru

Немного о проекте catpay.ru - биржа игровых ценностей, где люди играющие в онлайн игры могут обмениваться игровой валютой и игровыми ценностями за реальные деньги. Сайт является гарантом безопасности сделок продавцов и покупателей.

Рынок игровых ценностей очень конкурентный и зачастую конкуренты прибегают к "спорным" методам давления на проекты. Гасят их DDOS атаками, развязывают информационные войны.

Это не обошло стороной и catpay.ru . Если раньше, биржу Д-досили 1-2 раза в месяц. То в декабре 2019 года на сайт была проведена спланированная хакерская и информационная атака.

Как это было - хочу вам рассказать от лица владельца сервиса.

Сервис мы купили летом 2019 года и начали его активно развивать. Возможно это не понравилось кому-то. И нас решили, по всей видимости, загасить.

1 волна атаки

В начале декабря, на бирже регистрируется новый пользователь и первый его вопрос в техподдержку - как быстро будут выведены деньги?

Техподдержка, конечно, не зная кто это и почему самый первый вопрос который задан именно про вывод, отвечает как есть, что вывод осуществляется ежедневно .

Через некоторое время, сайт подвергается ддос атаке. Изза нагрузки хостинг накладывает ограничения (это будет одним из ключевых моментов, почему из-за этого были большие последствия, о котором мы напишем ниже)

Д-дос это не редкость. Поэтому мы продолжаем работу в штатном режиме. Но, не тут то было....

И последствия этой Д-дос атаки, на этот раз обернулись нам тысячами долларов убытков и спланированной информационной атакой по нашей репутации. Но об этом ниже =)

После атаки, на балансе этого нового пользователя появляется больше 10 000 рублей - и он запрашивает их к выводу. Тех поддержка начинает выводить деньги:

НО, я замечаю, что приходов по транзакциям этого пользователя не было. То есть, возникшая сумма взята из воздуха.

Начинаем проверять:

- Еще до регистрации, единственный и основной вопрос - как быстро выведете деньги.

- Далее, аккаунт зарегистрирован прямо перед атакой.

- Проходит атака, первый с кем проходит фейковый обмен - этот пользователь.

- IP адрес аккаунта совпадает с IP атаковавших.

- Тут же он пробует вывести эти деньги (которые на наши счета не приходили).

И, конечно, мы приостанавливаем вывод средств, до выяснения обстоятельств, о чем собственно техподдержка и я лично сообщаем пользователю .

Параллельно с этим, не дожидаясь от нас результатов проверки, создается паблик, фейковые вбросы в который, в последствии станут аргументом для шантажа нашей компании.

В нем ситуация обставляется совершенно иначе... Просто, умалчивая что и я иду на диалог, отвечаю, и техподдержка. Они везде распространяют информацию с посылом: "сервис кинул кучу пользователей."

- О том, что мы заморозили на проверку, а не "кинули" - умалчивается.

- О том, что техподдержка и я лично отвечаем - умалчивается.

В паблике тут же появляются подельники, которых нет на нашем сайте в качестве пользователей. Позже, после 2 волны атаки(расскажем ниже), некоторые реальные пользователи тоже вступают в паблик, не зная о том, что происходит на самом деле и видя только ту информацию, которую дозировано организаторы дают, а правдивую информацию удаляют(ниже подробнее с пруфами).

Этот паблик тут же тиражируется по всем форумам и сайтам отзывов.

И организатор начинает шантаж...

Конечно, мы ответили отказом, так как мы не базар, что бы торговаться - если все чисто, человек получает все свои деньги. Если не чисто - получает блок. Что значит этот шантаж? Что значит эта попытка запугать нас ? Но это начало...

Далее, организатор шантажирует меня.

Мы не понимали, почему человек так боится результатов проверки, и всячески пытается на нас давить и ускорить вывод... Распространяет ложную информацию, переворачивая факты, умалчивая правду- но, об этом позже.

Не получив желаемого - выплаты без проверки, параллельно со всем этим процессом информационной дезинформации происходит вторая волна атак на сайт, которая куда масштабнее.

2 волна атаки на сайт и социальные сети

Так как хостинг наложил ограничения, в нашей базе не сохранилась конкретных логов об уязвимости и мы не смогли к тому моменту ее устранить. Процесс затянулся и пока мы искали причину - они работали не покладая рук...

СПАМ атака на сайт

На сайте заводятся десятки аккаунтов, в каждом из них заводятся фейковые балансы на десятки тысяч рублей. Проходит массированный спам в сообщения нашим реальным продавцам, в попытке купить игровую валюту (расплатившись фейковыми деньгами). Ниже несколько скринов:

Шквал писем... И, конечно, многие продавцы не зная что это фейковые аккаунты проводили сделки (каждая сделка 5-10 тысяч рублей)...

Заводятся новые фейковые аккаунты как И продавцов, так И покупателей. Они проводят фейковые сделки друг с другом, на свои аккаунты, после чего тут же ставят средства на вывод, по всей видимости, что бы запутать нас...

Помимо этого - начали накручивать балансы обычным пользователям, видимо, что вы окончательно добить нас =) Пользователи от радости пошли покупать на халявные деньги. Конечно, мы банили эти транзакции как подозрительные, до выяснения.

Конечно, после проверки, лишние деньги списываются. Люди продолжают работать.

Нам пришлось блокировать сотни аккаунтов, закрывать регистрацию на сайте, так как каждый час мы теряли десятки тысяч рублей.

Искать уязвимость уязвимость...

СПАМ атака на социальные сети

Параллельно наши социальные сети, сыпятся шаблонные фейковые отзывы, как от участников "фейкового паблика", так и от левых аккаунтов, так и от некоторых продавцов - кто действительно пострадал и успел отправить золото. Не знавших, что происходит.

Десятки сообщений каждый час. Мы закрываем группу. Блокируем фейковые аккаунты.

Факт блокировки в социальных сетях, на сайте - "умельцы" скриншотят, опять же выставляя все так, что мы якобы кинули одномоментно десятки людей...

Конечно, продавцы которые случайно оказались пострадавшими, прочитали этот информационный вброс не понимая, что происходит на самом деле - тоже начинают писать возмущения и верят - но они видели только те факты, которые дозировано были предоставлены публике.

Мы в этот момент занимаемся системой, ищем уязвимость, проверяем сотни транзакций, аккаунтов, заказов. Отсеиваем реальных пострадавших от фейковых.

И, конечно, у нас нет времени отвечать тут же на все информационные вбросы... Отвечает только тех поддержка и лично я, тем, кто спрашивает в личку.

Что происходит дальше:

Мы нашли уязвимость. Закрыли ее. Внедрили алгоритм автоблокировки пользователей при попытки еще раз ей воспользоваться.

Большую часть постоянных пользователей после проверки мы разблокировали, остальные аккаунты в процессе. Разгребаем завалы и начинаем постепенно выплачивать деньги пострадавшим.

Но и это не конец =)))

Считаем убытки - плачем =) Но слезы утерли, взяли себя в руки, работаем дальше.

РАЗВЯЗКА! Самое интересное =)

Конечно, после того как все улеглось. Мы начинаем отвечать на эти информационные вбросы. Но, не тут то было...

Я лично отвечаю в том паблике. Но мои комментарии удаляются!!! Аргументируя это тем, что "они не имеют отношения к делу" =)))

Хотя я публикую в том числе СКРИНШОТЫ - наших пользователей которые подтверждают, что все хорошо - выплаты идут! Но, это к делу оказывается не относится. К их делу, по всей видимости;)

И НЕ ТОЛЬКО МОИ! =))

Наши пользователи встали на защиту и пишут, что выплаты они получили, что работа сайта идет! НО видимо и эти комменты не имеют отношения к их "делу".

Посмотрите на переписку ниже - Вы увидите ее только здесь! так как в паблике ее просто удалили... Ниже мы прилагаем скрин ответа самого Михаила, что действительно все подчищено!

Его просто обвинили засланным казачком, что это мы его подослали! НО - после того как я на это дал пояснение, что это конкретный пользователь - Эту переписку тоже удалили!

Еще одно подтверждение от пользователя, что положительные отзывы почищены и что выплаты идут!

Организаторам паблика сами пользователи объясняют, что выплаты идут. Но это либо умалчивается либо удаляется...

Заключение

Мы не будем делать выводы. Каждый сделает их для себя сам. Единственное, хотим призвать каждого - Не делать никогда поспешных выводов, не имея полноты информации. Оставаться людьми и конечно, быть честными, в первую очередь с самим собой.

От подобных взломов и информационной войны - не огражден ни один сервис. Я знаю людей которые взламывали и сайты крупных банков, и СПА сетей с миллиардными оборотами. Но просто - приходили и предлагали помочь, сказать где есть уязвимость, и им платили.

Что касается моего личного мнения и позиции нашего сервиса. Конечно, мы будем продолжать работать. Конечно, хоть мы и понесли огромные потери - мы все равно выполняем обязательства и гарантируем их выполнять и в будущим. Конечно, мы выплачиваем всем пользователям деньги, пусть не сразу, но все пользователи отнеслись с пониманием...

Мы являемся гарантом сделок, и тот факт, что мы выполняем свои обязательства не только в отношении сделок, но и в целом как ресурс - является, я думаю, показателем надежности. Нашего сервиса. Нашей команды.

Нас пытались загасить финансово, информационно. Пытались уронить нашу репутацию. Но в итоге, все получилось наоборот.

Мы стали еще безопаснее, ввели кучу новых автоматических проверок! Обезопасили своих продавцов и себя! А самое интересное, после всего этого - количество новых пользователей прибавилось =)

На текущий момент все фейковые аккаунты подчищены и сайт защищен от подобных атак. Выплаты ведутся. Разбирательство по сомнительным (их сумма меньше 20 000 руб) будет завершена до конца месяца.

Любая проблема - всегда решаема! Главное от них не прятаться и решать конструктивно и взвешенно!