Кроме того, как позже выяснилось, он обманул большое количество людей и перешел дорогу админам каналов Dolboeb trade, Смартовичок DAO, Gho$teer и другим ребятам, сливая их приватки или просто кинув на деньги.

Мы не могли пройти мимо данного инцидента и начали свое расследование. Как с помощью ончейна мы нашли скамера, как вернули деньги и кто стоит за обманом большого количества людей - все в этой статье.

ДИСКЛЕЙМЕР: Человек, обратившийся к нам за помощью, пожелал остаться анонимным. Поэтому его контакты мы зарисовали. Но подлинность истории подтвердим скринами переписок и другими фактами с ончейна.

Предыстория: как мы узнали о сливе курса

В начале августа на один из наших командных аккаунтов написал человек, который ранее интересовался обучением в Onchain School.

Он сказал, что приобрёл «менторство» за $5,000 в крипте. Но вскоре выяснилось: вместо обещанной программы ему слили небольшую часть нашего курса, при чем без видеоуроков и поддержки, выдавая её за полноценное обучение.

В качестве подтверждения своих слов человек показал транзакцию на $5,000, отправленную за «менторство»:

Уже на следующий день с этого же кошелька была совершена ещё одна оплата — 375 USDT за первую часть нашего обучения. По этому факту можно уверенно утверждать, что скамер изначально хотел перепродать наши материалы.

Зацепки в виде транзакции оказалось достаточно, чтобы по адресам и перепискам выйти на конкретного сливщика.

Однако был нюанс: слив происходил с фейкового аккаунта. Нужно было установить связь между аккаунтом скамера и нашим студентом, который стоял за сливом. Было очевидно, что это либо один и тот же человек, либо два знакомых, действующих вместе.

Выяснение обстоятельств

Написали парню, которого вычислили по одинаковому кошельку “ментора”, сливающего наши материалы, и нашего студента.

Ранее у него был никнейм @illegalinvestment. На данный момент никнейм убран, но мы покажем историю смены никнейма этого аккаунта

На тот момент у нас не было 100% уверенности, что слив идёт именно от него. Но мы решили вести разговор так, словно уже точно знаем все детали.

Реакция не заставила себя ждать — последовали стандартные отговорки в стиле "это не я"

Сбор данных через TeleSINT

Чтобы проверить аккаунты, мы использовали TELESINT-бота — сервис для OSINT-анализа Telegram, сохраняющему историю смен имён, никнеймов, групп и другие данные.

Этот бот нарушает политику приватности телеграм и его постоянно банят, поэтому актуальную версию надо искать через заркало https://telesint.dev/bot

Для проверки ввели его ID и никнейм обоих аккаунтов

Проверили и второй аккаунт, и он имеет общие группы (отмечены галочками на скрине выше)

Мы сделали предположение, что аккаунт @btcoffshore изначально создавался под скам: он выглядел как «рабочий инструмент», без привязки к личности.

А вот второй аккаунт @illegalinvestment использовался скорее как личный. Это было заметно по двум признакам:

• он «палился» реальным именем в истории смены названия аккаунта,
• состоял в значительно большем количестве групп, чем скам-аккаунт.

Кидок других людей

После того как к нам обратился первый пострадавший, мы начали внимательно анализировать транзакции на его кошельке.

• Кошелёк оказался относительно свежим — первые движения появились всего 2 месяца назад.
• Все транзакции были на суммы около $300, что выглядело подозрительно однообразно.

Такой паттерн говорит о том, что кошелек создавался специально для приёма оплат, а не для личного пользования. В противном случае история была бы длиннее и разнообразнее.

Спустя некоторое время вышел пост у СмартовичокDAO, где тоже фигурировал наш главный герой. Там дополнительно подтверждалась информация: его второй аккаунт связан с Тезером.

Канал, в котором есть пруфы - https://t.me/tether_otmena

Этот скамер кинул на деньги не только парня, который купил у него якобы "менторку", но и много других людей.

Он пытался слить приватку Ддао от канала https://t.me/dolbaeb_trade, придумал легенду якобы это какой-то админ (по факту это был он сам) купил за 10к$ рекламу миррора Ддао, но в итоге собрал он с около 100 чел деньги и "ушел в закат"

Пруфы и более полную историю скама можно почитать здесь https://t.me/ghosteer_flip/1241 и в последующих сообщениях

Также нашего героя упоминал сам D в своем канале - https://t.me/dolbaeb_trade/4018

Полный деанон

Ну вот мы и подошли к самому интересному - как мы узнали полные данные нашего скамерсанта

1. Установили настоящее имя

У нас была его почта, так как доступ к материалам в Notion раздавался именно на нее:

Мы решили проверить почту через Google, но там отображался только сам адрес без имени. Даже при отправке письма в поле получателя имя не подтягивалось — только laykunr@gmail.com.

Мы предположили, что laykun - это фамилия, а имя мы и так уже знали от TELESINT бота. Забили в поиск Лайкун Роман и Laykun Roman, и получили выдачу аккаунтов в соцсетях.

Дополнительно помогли голосовые сообщения: по голосу было понятно, что это молодой парень ~20 лет. Это сразу отсекло несоответствующие профили старших людей.

В результате мы нашли:

• старую страницу ВК → vk.com/yufhgg
• профиль на Freelancehunt → freelancehunt.com/en/employer/romalajkun62.html
• несколько других аккаунтов (малополезных в контексте расследования).

2. Нашли соцсети и установили связь между аккаунтами

В его профиле ВК было указано место проживания - Ракошино

На фрилансханте указано Мукачево

Если посмотреть на карту, то Ракошино и Мукачево находятся совсем рядом — фактически это одна агломерация.

Возможно, что на Freelancehunt не было выбора его села, поэтому он взял ближайший значимый город. Но то, что профили связаны между собой - вероятность очень высокая.

Осталось только это проверить на практике. Взяли известную нам почту, и ввели ее на Freelancehunt для сброса пароля, чтобы проверить реально ли аккаунт привязан к почте нашего скамера

Проверка показала, что почта laykunr@gmail.com действительно есть в системе Freelancehunt.

А значит, с вероятностью 99.9% именно на неё зарегистрирован тот же аккаунт, который мы нашли ранее.

Из этого мы сделали выводы про нашего скамера:

• Имя: Роман Лайкун
• Место проживания: Ракошино / Мукачево
• Дата рождения: 09.08

При этом, по часовому поясу, который отображается на скринах его канала, видно, что он сейчас, скорее всего, находится не в Украине.

3. Возврат денег

Имея все данные на руках, мы написали скамеру напрямую в личку.

До этого мы почти неделю пытались решить вопрос мирно — предлагали обсудить ситуацию и договориться. Но всё это время парень нас попросту игнорировал.

Поэтому мы написали ультиматум: или возвращаешь деньги или мы полностью деаноним личность.

После этого ситуация резко сдвинулась с мёртвой точки. Уже на следующий день скамер вернул деньги.

Итоги

Слив пресечен, деньги человеку возвращены.

Если вас кинул данный человек - вы теперь знаете как кто он и на что давить, чтобы вернуть свои деньги.

Выводы с этой истории

1. Не переходите дорогу Onchain School

Мы бы не трогали этого персонажа, если бы он не начал выдавать наш продукт за свой. Это очень большая наглость, которую мы не могли обойти стороной.

В будущем он мог бы сливать наш обуч на гораздо большую аудиторию. Это крыса, которую надо было наказывать еще до того, как ущерб станет еще больше.

За подобные случаи мы готовы взяться плотно, и доводить их до завершения. У нас нулевая толерантность к сливам, и мы такие кейсы готовы освещать публично.

2. Не покупайте сливы

Вы рискуете нарваться на скам. Кроме того, качество обучения ВСЕГДА будет хуже, чем если бы вы обучались в школе напрямую.

Мы практически единственные на рынке разбираемся в теме ончейна + даем для этого все необходимые ресурсы (платные платформы, гайды) и поддержку по всем вопросам.

3. Соблюдайте ончейн и информационную гигиену

В интернете и ончейне есть ОЧЕНЬ много ваших следов, даже если вы думаете, вас никак не отследить. В нашем случае было достаточно публично доступных источников информации, чтобы установить личность кидалы.

Так не всегда получается, но у правоохранительных органов есть возможность запрашивать у бирж данные про владельцев аккаунтов (они ОЧЕНЬ активно делятся вашими данными по запросу), проверять данные с закрытых реестров, сотрудничать с междунароными структурами (Европол, Интерпол и тд) и много других средств.

Если вы думаете, что вас не достанут - поверьте, вас достанут. Вопрос лишь в том насколько органам интересно вами заниматься.

По всем вопросам пишите в лс @MR_Lamax или в чат канала - https://t.me/+9s1a87Em6Hk2M2Zk

Наш канал - https://t.me/how_to_onchain

Надеюсь, после его публикации жизнь у нашего сегодняшнего главного героя станет гораздо более веселой.

А всем интересующимся криптой советую подписаться на How to Onchain и разобраться в ончейн анализе, чтобы не палиться так тупо как наш главный герой и к вам никто не хотел применять крипто-ректальный термоанализ.

Наш главный герой удалил переписки со мной и известными мне жертвами, которых он кинул на деньги, поэтому некоторые фрагменты повествования будут без доказательств (скринов).

ГЛАВА 1. СЛИВ КУРСА

30.07 у нас купил PRO тариф @illegalinvestment (на данный момент никнейм убрал, но я покажу историю смены никнейма этого аккаунта по айди)

Мы выдали доступа ко всем нашим продуктам (курс, приватка, софты), провели онбординг.

Наш главный герой задавал вопросы в чате приватки, да и в целом все было ок

Но спустя пару дней пишет на один из наших аккаунтов человек (он пожелал остаться анонимным), который якобы купил менторство по ончейну

В процессе выясняется, что "менторство" было куплено за 5к$ 29.07, вот транзакция оплаты https://intel.arkm.com/explorer/tx/0x87c954a4a45c45874334db74f5ddd47f4a90f3e5fd56a3a98cef15aa187b1ed9

И по "случайному" стечению обстоятельств на следующий же день 30.07 он покупает у нас тариф PRO. Но об этом чуть позже.

После того, как мы узнали про слив обуча, мы решили подождать пока чел скинет вторую часть оплаты и уже потом написать спросить что за непонятная история.

У меня остались только фрагменты переписки, поэтому буду показывать что успел наскринить до ее удаления

Для меня все было очень очевидно, но я никак не мог связать общую картину как именно связаны между собой эти два человека. Но то, что сливщик был именно он, вероятность 99% - слишком много совпадений.

ГЛАВА 2. КИДОК ДРУГИХ ЛЮДЕЙ

После того, как нам написал пострадавший, мы начали смотреть транзы по кошельку. Сам кошелек был относительно свежий - первые транзакции 2 месяца назад и все на +/- одинаковые суммы около 300 дол.

Это значит, что кошелек был создан именно для приема оплат, а не для личного пользования. Иначе там была бы история пользования гораздо дольше.

Чуть позже выходит пост у Ghoster про нашего главного героя, в котором также подтверждается инфа, что второй аккаунт принадлежит Тезеру.

Кроме того, в

ГЛАВА 3. ПОЛНЫЙ ДЕАНОН

Ну вот мы и подошли к самому интересному - как мы узнали данные нашего скамерсанта

1. Как узнали имя

Почта у кидалы laykunr@gmail.com

Пробовали проверить через гугл почту, но там не показывало имя, а только адрес почты. Даже когда отправляешь кому-то письмо, то все равно не показывает имя принимающей стороны, только отправителя.

Предположили, что фамилия у парня Лаикун или Лайкун, а имя - Руслан, Ростислав, Роман и тд кто там может быть на букву р.

Путем перебора нам показало странички по запросу Роман Лайкун

По голосу гс с переписки было понятно, что парень малой, около 20 лет. Это сузило круг поиска и отсеяло аккаунты старших людей.

Мы нашли:

• старую страницу ВК - https://vk.com/yufhgg
• профиль фрилансхант - https://freelancehunt.com/en/employer/romalajkun62.html
• пинтерест -
• аккаунты инсты, но они были закрыты -

2. Установили связь между его аккаунтами

В вк указано его место проживания

На фрилансханте указано Мукачево

Но если посмотреть на карту, то Ракошино и Мукачево находятся очень близко друг от друга.

Возможно, что на фрилансхант не было выбора его села, поэтому он взял ближайший значимый город. Но то, что профили связаны между собой - вероятность очень высокая.

Осталось только это проверить на практике. Я взял известную нам почту, и ввел ее на фрилансхант.

(скрин 2 шт)

В итоге эта почта привязана к этому аккаунту, что значит, что перед нами один и тот же человек.

То есть имя нашего кидалы - Роман Лайкун из Ракошино. Дата рождения - 09.08

Остается узнать где он сейчас.

3. Где находится данные человек

У нас есть 2 факта, которые могут указать на его местоположение:

• скрины с его телефона, в которых указан временной пояс
• его группы, в которых он состоит или состоял

Первое мы можем проверить его скринами с канала