Nova plataforma permite KYC fraudulento por apenas US$ 15, visando plataformas criptográficas: relatório

Uma nova pesquisa realizada pelos repórteres de segurança cibernética da 404 Media descobriu uma nova ferramenta chamada OnlyFakes, que gera identificações falsas de forma confiável, capazes de contornar as verificações dos provedores KYC com relativa facilidade.

Os documentos falsos podem ser gerados com ou sem fundo, o que sugere que se trata de uma foto que acabou de ser tirada por um usuário passando por um processo de verificação de identidade. Supostamente, várias centenas de documentos falsos podem ser produzidos de uma só vez usando lotes do Excel.

OnlyFakes afirma ser contra atividades ilegais

Segundo o site, seus serviços só podem ser utilizados como adereços em filmes e assim por diante, “proibindo expressamente” o uso da plataforma para passar nas verificações KYC. Não muito depois da publicação do artigo expondo o site, o fundador do site – que atende pelo nome de guerra John Wick – “lembrou” sua comunidade dessa estipulação.

No entanto, o feedback postado em grupos de telegramas associados sugere que o proprietário da plataforma está bem ciente de para que ela está sendo usada.

John Wick também afirmou no Telegram que está aberto a comprar scans de identidades reais de usuários por US$ 100 cada, a fim de melhorar a plataforma, priorizando identificações dos EUA e da UE.

Infelizmente, o uso de terceiros que enviam seus próprios documentos para fins de KYC já existe há anos, contratando pessoas em países em desenvolvimento por apenas US$ 10 para ajudar golpistas a obter acesso a plataformas criptográficas.

Notavelmente Robusto

A nova ferramenta, no entanto, pode fornecer acesso confiável a uma série de documentos falsos provenientes de países de baixo risco. Os usuários podem fazer upload de suas próprias fotos ou escolher em uma galeria fornecida pelo site. Fundos de ações também são fornecidos. OnlyFakes também remove os dados EXIF ​​– que incluem hora, local e dispositivo usado para criar a imagem – das fotos originais e os substitui para ajudar a evitar a detecção.

Segundo os usuários do serviço, plataformas como Airbnb, Revolut, Wise e Payoneer estão todas convencidas da autenticidade do documento. As exchanges de criptomoedas Huobi, Coinbase, Binance, Kraken e OKX também foram supostamente violadas usando esses documentos falsos.

Este é o processo para contornar com sucesso a verificação de identidade no OKX, uma troca de criptomoedas que percebi que está sendo usada por criminosos
– Pede passaporte
– Tirei foto do meu passaporte britânico falso que fiz anteriormente (não precisava em mãos)https://t.co/hCjHWbKJPf pic.twitter.com/69PvbincUP

- Joseph Cox (@josephfcox) 5 de fevereiro de 2024

OKX, que recentemente foi alvo de um golpe de abate de porcos que pode ter levado quase US$ 40 milhões roubados de usuários, emprega Jumio para fins de KYC.

Quando contatado pelo Sr. Cox, o CTO da Jumio, Stuart Wells, afirmou que sua plataforma usa uma variedade de ferramentas para fornecer um excelente KYC.

“Nosso processo avançado de verificação de identidade usa ferramentas de digitalização de documentos móveis ou de webcam que permitem que as equipes de segurança façam verificações cruzadas com fontes confiáveis ​​e mitiguem o número de perfis falsos e atividades maliciosas. Em última análise, essas medidas adicionais de verificação de identidade protegem melhor os usuários, impedindo tentativas de fraude desde o estágio de integração do usuário.”

Quando questionado sobre a violação recente, Wells afirmou que não poderia comentar os procedimentos da OKX.

A afirmação de IA pode ser falsa

De acordo com a plataforma OnlyFakes, a IA é usada para produzir as imagens. No entanto, esta afirmação é contestada por especialistas em segurança cibernética, uma vez que a IA tem atualmente a tendência de bagunçar textos que deveriam ser absolutamente nítidos e inequívocos nos documentos.

As imagens produzidas também são notavelmente livres de qualquer sinal de “alucinações”, artefatos que aparecem quando uma IA não tem certeza de como renderizar um objeto desconhecido.