сelestial intelligence lab

💌 Onchain message:

Hi, Wojciech. After you asked me to install an application called "Meridian," during which I entered my Mac password and created a vault at you request, $584,000 in crypto assets were stolen from four wallets on my computer two hours later.
​The stolen funds were transferred to four different wallets, swapped for DAI, and subsequently deposited into or withdrawn from KuCoin and Bybit.
(Address : 0x1675c4ff3be4aff3e60b486304c11d4fe7d58333, 0xD1ec24046e5f12306491d6076F9F4AE1A72C7Fc1)
​Police investigators have already issued official cooperation requests to the respective exchanges. During yesterday's investigation, it was confirmed that creating a vault through Meridian allows for password extraction—a step I completed per his instruction during our meeting. All of this information has been fully documented and submitted to the authorities.
​Furthermore, I am preparing for an international lawsuit alongside two other victims who experienced similar incidents, working directly with our legal counsel starting today. We are also planning to bring public awareness to this issue through posts across key opinion leader (KOL) networks, reaching a combined total of over 300,000 followers. (Also will share all details regarding our meeting)
​However, recognizing that full legal will require a significant amount of time for all parties involved, I am offering a final opportunity to resolve this matter directly:
​If you return $350,000 of the stolen $584,000 to the following address: 0x8f78070669a67fcaB7Efb2358386701584Bd7ef0, I will immediately drop all further actions and move past this incident, accepting partial responsibility for my own oversight.
​If this amount is not returned, I will proceed immediately with the international lawsuit and all law enforcement steps through our legal team and investigators.

📤 From: 0x5afdd71ec312eda36663f72032f269bd9c950cb4 📥 To: 0x956c33a642435ebf9938ad109032c180cf0cf26c 🌎 Network: mainnet Etherscan

Наткнулся на довольно интересный апдейт от FATF по DeFi. И тут мне больше всего понравилось то, как они предлагают определять, кто стоит за протоколом. По сути, теперь недостаточно просто назвать себя DAO, decentralized protocol и сказать, что «у нас всё управляется комьюнити». FATF предлагает смотреть на Control or Sufficient Influence (COSI) - есть ли человек, команда или компания, которые в реальности могут существенно влиять на работу протокола. Кто может менять контракты, у кого admin или upgrade keys, кто контролирует treasury, governance, frontend, куда уходят комиссии и кто принимает основные решения. Тут уже гораздо больше осинта становится))) Можно взять governance, посмотреть какие кошельки постоянно голосуют вместе, кто их финансирует, как распределена voting power, какие адреса связаны с treasury и privileged roles, а потом уже идти дальше: GitHub, домены, компании, разработчики, публичные аккаунты. То есть буквально из ончейна постепенно восстанавливать не только движение денег, а структуру управления проектом Причём FATF отдельно говорит важную вещь: если мы не знаем, кто контролирует протокол, это ещё не значит, что его никто не контролирует. Может быть просто пока не проведена нормальная атрибуция. При этом наличие какого-нибудь emergency pause или multisig тоже само по себе не делает проект централизованным - смотреть нужно на всю картину и на то, насколько эти люди действительно могут влиять на финансовую часть протокола. Короче, мне кажется, это довольно показательный момент для blockchain intelligence. Мы привыкли к классическому tracing: откуда деньги пришли, через что прошли и куда ушли. А тут уже можно ставить совсем другой вопрос: кто голосует, кто управляет, кто получает деньги и кто в итоге стоит за всей этой инфраструктурой. И чем дальше будет идти регулирование DeFi, тем меньше будет работать аргумент «ну мы же decentralized». В какой-то момент значение будет иметь, что реально можно доказать через on-chain, OSINT и инфраструктуру проекта

Исследователь Vangelis Stykas заявил, что почти два года имел доступ к инфраструктуре северокорейских хакеров и за это время изучил около 5 ТБ внутренних данных По его словам, в материалах фигурируют 1640 организаций из 57 стран. В 700–800 случаях речь идет о серьёзном проникновении: доступе к AWS, исходному коду, developer keys, root-правам и криптовалютной инфраструктуре 🔐 Большая часть атак связана с кампанией Contagious Interview 🎭. Схема уже знакомая: разработчику предлагают вакансию, отправляют репозиторий или тестовое задание и просят запустить проект локально. Вместе с npm-командами и установочными скриптами запускается вредоносный код 💻 Среди компаний, которые упоминались в собранных данных, были Coinbase и Uniswap Labs. Coinbase сообщила, что не обнаружила утечки клиентских данных или другой чувствительной информации Интересная часть здесь про уровень доступа, который сегодня есть у обычного разработчика или подрядчика. Один заражённый ноутбук может открыть путь сразу к нескольким компаниям, приватным репозиториям, облачной инфраструктуре и кошелькам 🌐 Масштаб пока стоит воспринимать осторожно: значительная часть выводов основана на данных самого исследователя и ещё не получила полной независимой проверки ⚠️. Но сама схема атак давно подтверждена и продолжает работать. Источник: WIRED, материалы исследования и выступления на Black Hat 🎤.

🕵️ At OFFZONE, I’ll be presenting my talk: People Behind the Interfaces: Tracking Reused Wallet Flows Across Web3 Scam Sites Web3 scam websites constantly change their domains, names, branding, and visual design. But underneath, they often reuse the same infrastructure and logic: frontend components, wallet connection flows, approval sequences, and transaction-building mechanisms. In this talk, I’ll show how preserved JavaScript bundles and other frontend artifacts can be analyzed even after a scam website has been blocked or taken offline. We’ll look at how to: compare wallet UX and transaction flows across different scam websites; identify reused frontend components and behavioral patterns; connect interface-level findings with lightweight on-chain verification; cluster related campaigns and build detections for threat hunting. The main idea is simple: scam websites should not be treated as isolated pages. Their interfaces are reusable technical artifacts that can reveal the infrastructure, tools, and potentially the people behind multiple campaigns. See you at OFFZONE 👾

🚀 Казахстан делает ещё один шаг к легализации крипторынка Правительство предлагает временно освободить физических лиц от уплаты ИПН с доходов от операций с цифровыми активами. Но есть важное условие - льгота будет действовать только для сделок, совершённых через казахстанских лицензированных провайдеров услуг цифровых активов (Prime Minister of Kazakhstan) 📌 Что известно: • Льготный период — с 1 января 2026 года по 31 декабря 2028 года. • Освобождение распространяется только на физических лиц. • Инициатива пока находится на стадии законопроекта и должна пройти дальнейшее рассмотрение 💬 По сути государство перевести криптооперации из серой зоны в регулируемую инфраструктуру Казахстана. Это должно увеличить ликвидность внутри страны, привлечь пользователей на местные криптоплатформы и сделать рынок более прозрачным (nationalbank.kz) Если инициативу примут в текущем виде, это станет одним из самых заметных стимулов для развития легального крипторынка в Казахстане

Очень приятно, когда новое комьюнити проводит свой первый митап и зовёт тебя выступить 😁 Уже завтра буду спикером на первом митапе Qazaq IT Community. Так как сейчас я плотно готовлю новый материал к OFFZONE, решил не собирать наспех ещё один доклад, а прочитать проверенную тему, с которой выступал на Standoff Talks - про blockchain investigations, OSINT и ончейн-расследования. Для этой аудитории доклад будет новым, а я смогу ещё раз его нормально и уверенно рассказать. В общем, мне правда очень приятно приглашение - увидимся завтра! 🔥

OSINT Mindset Kazakhstan #5 прошёл превосходно 🧡 В этот раз нас собралось около 60 человек, и для меня это правда очень много значит. Было приятно видеть столько знакомых лиц, новых людей, живые обсуждения и настоящий интерес к OSINT и кибербезопасности. Когда мы только начинали проводить такие встречи, сложно было представить, что вокруг них соберётся настолько тёплое и активное сообщество. Очень рад видеть, что OSINT Mindset в Казахстане растёт, а вместе с ним растём и мы сами. Огромное спасибо спикерам за крутые доклады, а каждому, кто пришёл, - за атмосферу, вопросы, знакомства и поддержку. Без вас всё это просто не имело бы смысла. После таких мероприятий хочется делать ещё больше. Спасибо, что вы с нами. Увидимся на следующем митапе OSINT Mindset 🧡

Доброе утро 🌞 Увидимся в Москве)

Сәлем, Казақстан! OSINT mindset meetup kaz #5 уже скоро, а значит мы рады представить наших докладчиков 🧡  Иван Кравцов — The owls are not [always] what they seem: методика ACH в конкурентной разведке 0xHackView — OSINT Recon 2.0: автоматизация сбора и AI-приоритизация находок Максим Авдюнин — ИИ в OSINT-расследованиях: польза, ошибки и фактчекинг Люма — ИИ как редактор: учим Gemini авторскому стилю Mortyyy и Arrsi — От OSINT-находки до RCE: цифровой след корпоративной инфраструктуры Трансляция и запись не планируется. Ждём всех желающих 25 июля в 14:00 (UTC+5), по адресу г. Алматы, ул. Байзакова, 280, БЦ Almaty Towers, SmArt.Point, 1-2 этаж. Мероприятие полностью бесплатное, без регистрации и возрастного ограничения ✨ 🌐Site | 💬 Forum | 🔍 Family |▶YT

How To Track Polymarket Whales Guide by Arkham: 1. Find the Most Profitable Traders 2. Arkham Intel Tags 3. Use Blockchain Intelligence Tools https://info.arkm.com/research/how-to-track-polymarket-whales + tool by Henk Van Ess https://searchwhisperer.ai/polymarket/

ну а пока вот вам то, с чего меня порвало

Весь движ по digital assets, crypto regulation и финтеху сейчас в Астане, а я сижу в Алматы и наблюдаю со стороны 💴 Но забавно другое: вакансий именно по crypto investigations я почти не вижу. Везде в основном ищут compliance managers, AML specialists, risk officers и людей вокруг регулирования. То есть рынок вроде двигается в сторону digital assets, но расследовательская часть пока будто спрятана где-то внутри комплаенса 🤢

Апдейт к прошлому посту: статья Euronews вышла ещё в феврале, я просто невнимательно посмотрел на дату :) Но суть всё равно актуальна. Там хорошо показан общий вектор Казахстана по digital assets: AIFC, лицензированные биржи, crypto banks, AML/KYC, blockchain analytics, crypto forensics, national crypto reserve и CryptoCity. То есть речь про попытку выстроить вокруг неё нормальную регулируемую инфраструктуру. Для специалистов в crypto compliance, blockchain investigations и digital asset risk это всё ещё очень интересный сигнал по рынку

Euronews выпустили материал о том, что Казахстан позиционирует себя как следующий crypto hub Евразии 🇰🇿🌐 Ключевые факты из статьи: — Казахстан хочет вывести crypto market из серой зоны в регулируемое поле ⚖️. В статье пишут, что к 2025 году около 95% оборота digital assets всё ещё проходило вне легальной системы — Регулирование теперь строится вокруг Нацбанка и AIFC. AIFC - для международных и региональных игроков, Нацбанк — для локального рынка и розничных пользователей 🏦 — Легальный рынок быстро растёт 📈: объём торгов на лицензированных AIFC-платформах вырос с €270 млн в 2023 году до почти €6 млрд за первые 3 квартала 2025 года — В статье отдельно упоминают ATAIX как пример лицензированной казахстанской биржи, которая работает с местными банками и делает ввод/вывод через банковскую инфраструктуру 🏗️ — Один из важных планов - создание crypto banks. Это уже история не просто про биржи, а про custody, exchange, brokerage/dealing, транзакции и интеграцию крипты в финансовую систему 💳 — Отдельно упоминается national crypto reserve 💎. По статье, Казахстан рассматривает возможность создания фонда, который может инвестировать около €1 млрд в digital assets, в том числе с использованием конфискованной крипты из уголовных расследований — Также говорится про Alatau CryptoCity рядом с Алматы: пилотную зону для crypto payments, tokenization, digital wallets и blockchain/fintech sandbox 🏙️ — Ещё один важный блок - Crypto Forensic Laboratory в Nazarbayev University 🔍. Лаборатория помогает правоохранительным органам анализировать блокчейн-транзакции, строить графы, выявлять связи между кошельками и готовить материалы для расследований Мой вывод: Речь про попытку построить государственно-контролируемую инфраструктуру вокруг digital assets: лицензированные биржи, криптобанки, резервы, forensic lab, AML/KYC, AIFC и CryptoCity 🏛️ Но важный нюанс: материал опубликован “in partnership with MDQ”, поэтому это больше похоже на имиджевый/партнёрский материал о Казахстане, а не на жёсткую независимую критику. Поэтому тон статьи очень позитивный: crypto hub, регулирование, инвесторы, безопасность, прозрачность ✨

Закрыл еще одну маленькую, но важную ачивку - прошел обучение и сдал экзамен Manager/Internal Auditor of Information Security Management System based on ISO/IEC 27001:2022. Если по-простому: ISO 27001 - это про то, как в компании строится система управления информационной безопасностью. Двигаемся дальше 🫡

Сәлем, Қазақстан! Пятое мероприятие OSINT mindset в Алматы уже совсем скоро! В июле состоится OSINT mindset meetup kaz #5 🔥 Список докладчиков будет опубликован позже в канале OSINT mindset. Если у тебя есть тема для доклада — заполняй форму, и мы рассмотрим твою заявку! Ссылка на форму Заявки принимаются до 12 июля, 23:59 (UTC+5). Оставляй заявку по ссылке! Ждём всех 25 июля в 14:00 (UTC+5) по адресу: г. Алматы, ул. Байзакова, 280, БЦ Almaty Towers, SmArt.Point, 1-2 этаж.  Мероприятие полностью бесплатное, без регистрации и возрастного ограничения ✨ 🌐Site | 💬 Forum | 🔍 Family |▶YT

741 человек в канале - думаю, уже можно немного о себе написать 👋 Всем привет, ребят! Меня зовут Димаш, мне 20 лет. Я из Алматы, учусь на кибербезе и работаю в SOC в банке 🏦. До этого и параллельно много копаюсь в OSINT, crypto investigations, AML, ончейн-расследованиях, скамах, фроде и всей этой теме 🔍💻. В целом я просто человек, которому реально интересно разбираться, искать связи, копать глубже и делать что-то своё в этой сфере . Иногда выступаю, иногда пишу ресерчи, иногда просто делюсь мыслями и тем, что сам понял по ходу . Этот канал я веду не как медиа и не как «экспертный блог». Скорее как место, где можно показывать свой путь, свои идеи, ошибки, находки и рост. Спасибо, что вы тут вместе со мной. Ценю каждого из вас! 🫂

FININT and Cryptocurrency OSINT Financial Intelligence Corporate investigation Cryptocurrency search Off chain transaction Decentralized ecosystems https://start.me/p/Mb4gNk/finint-cryptocurrency

⚠️USB-червь для кражи крипты: старый вектор вернулся, но уже с Tor 🌐 и RCE Microsoft Threat Intelligence рассказали о новой Windows-малвари CryptoBandits, которая активна минимум с февраля 2026 года. На первый взгляд это обычный crypto clipper: малварь следит за буфером обмена, ищет seed-фразы, приватные ключи и адреса кошельков, а потом либо крадёт данные, либо подменяет адрес получателя на адрес атакующего. CryptoBandits 🐶 распространяется через USB-накопители с вредоносными .lnk-ярлыками. Сценарий максимально простой: пользователь открывает на флешке якобы обычный документ, PDF или Excel-файл, но на самом деле запускает ярлык, который стартует worm-компонент. После заражения малварь прячет настоящие файлы на USB и создаёт вместо них новые .lnk с теми же именами. Так флешка превращается в переносчик заражения. Дальше начинается уже криптовая часть: — мониторинг clipboard примерно каждые 500 мс — поиск 12/24-word seed phrase — поиск Ethereum и Bitcoin private keys — подмена BTC / TRON / Monero и других адресов — отправка скриншотов оператору — exfiltration через Tor — persistence через scheduled tasks Отдельный стоит выделить: CryptoBandits не использует обычный публичный C2 по IP/домену. Он разворачивает на машине портативный Tor-клиент, поднимает локальный SOCKS5-прокси на 127.0.0.1:9050 и общается с .onion-сервисами. Для защитников это неприятно, потому что обычная DNS/доменная видимость почти пропадает. И самое важное: В C2 есть команда EVAL, через которую оператор может выполнить JScript-код на заражённой машине. То есть финансовый стилер превращается в лёгкий backdoor. На что смотреть в SOC/IR📱: — .lnk-файлы на removable media — wscript.exe / cscript.exe, которые запускают curl, cmd.exe, powershell или странные EXE — curl --socks5-hostname localhost:9050 — обращения к .onion через локальный Tor — scheduled tasks из C:\Users\Public\Documents\... — подозрительные PowerShell screen capture activity — подмену/инспекцию clipboard на машинах, где работают с криптой Базовые меры защиты тоже понятные: — отключить AutoRun/AutoPlay для USB — запретить запуск .lnk с removable drives через GPO — ограничить ненужный запуск WScript/CScript — включить ASR rules против obfuscated scripts и suspicious child processes — не копировать seed/private key на рабочей машине — всегда проверять адрес получателя не по первым/последним символам, а полностью или через trusted flow/hardware wallet Вывод простой: флешки еще тут. Теперь старый USB-worm может быть не школьным autorun-вирусом, а криптостилером с Tor C2 и возможностью удалённого выполнения кода