[论文解读] Don't Fish in Troubled Waters! Characterizing Coronavirus-themed Cryptocurrency Scams

Pengcheng Xia, Haoyu Wang+7 more|arXiv (Cornell University)|Jul 27, 2020

Spam and Phishing Detection参考文献 39被引用 9

一句话总结

本文首次对与新冠疫情相关的加密货币诈骗进行了测量研究，采用混合方法识别出六类共195起确认诈骗，包括代币诈骗、抽奖诈骗、勒索诈骗、加密恶意软件、庞氏骗局和捐赠诈骗，导致6,329名受害者至少损失33万美元。作者发布了标注数据集，以支持未来对疫情相关网络犯罪的研究。

ABSTRACT

As COVID-19 has been spreading across the world since early 2020, a growing number of malicious campaigns are capitalizing the topic of COVID-19. COVID-19 themed cryptocurrency scams are increasingly popular during the pandemic. However, these newly emerging scams are poorly understood by our community. In this paper, we present the first measurement study of COVID-19 themed cryptocurrency scams. We first create a comprehensive taxonomy of COVID-19 scams by manually analyzing the existing scams reported by users from online resources. Then, we propose a hybrid approach to perform the investigation by: 1) collecting reported scams in the wild; and 2) detecting undisclosed ones based on information collected from suspicious entities (e.g., domains, tweets, etc). We have collected 195 confirmed COVID-19 cryptocurrency scams in total, including 91 token scams, 19 giveaway scams, 9 blackmail scams, 14 crypto malware scams, 9 Ponzi scheme scams, and 53 donation scams. We then identified over 200 blockchain addresses associated with these scams, which lead to at least 330K US dollars in losses from 6,329 victims. For each type of scams, we further investigated the tricks and social engineering techniques they used. To facilitate future research, we have released all the well-labelled scams to the research community.

研究动机与目标

• 系统性地描述疫情爆发期间新兴的与新冠疫情相关的加密货币诈骗威胁。
• 识别并分类利用公众对新冠疫情和数字货币的恐惧与兴趣的各类诈骗类型。
• 使用混合检测方法，衡量这些诈骗的普遍性、演变过程及财务影响。
• 发布一个标注良好的确认诈骗数据集，以支持未来在公共事件相关网络犯罪领域的研究与检测工作。

提出的方法

• 基于用户报告事件和安全报告，制定六类诈骗类型的手动分类体系：代币诈骗、抽奖诈骗、勒索诈骗、加密恶意软件、庞氏骗局和捐赠诈骗。
• 从公共论坛、安全报告和社交媒体收集报告的诈骗信息，构建真实情况数据集。
• 采用混合检测方法，结合启发式分析、VirusTotal分析以及对域名、社交媒体账号和区块链地址的模式匹配，以发现此前未披露的诈骗。
• 追踪与诈骗地址相关的区块链交易，估算财务损失和受害者数量。
• 利用域名和社交媒体元数据关联可疑实体，识别诈骗网络。
• 通过人工验证确认诈骗的真实性并确保数据质量，尤其针对高风险或不活跃的域名。

实验结果

研究问题

• RQ1 在现实世界中，与新冠疫情相关的加密货币诈骗的主要类型和模式是什么？
• RQ2 诈骗者如何利用社交工程手段和与疫情相关的主题，在加密货币相关诈骗中欺骗用户？
• RQ3 这些诈骗在受害者数量和经济损失方面的规模与财务影响如何？
• RQ4 这些诈骗如何随时间演变？其常见的基础设施模式（如域名、社交媒体、区块链地址）是什么？
• RQ5 现有检测技术在结合多种威胁向量的混合分析下，能在多大程度上识别出此前未知的诈骗？

主要发现

• 共识别出195起确认的与新冠疫情相关的加密货币诈骗，包括91起代币诈骗、19起抽奖诈骗、9起勒索诈骗、14起加密恶意软件诈骗、9起庞氏骗局诈骗和53起捐赠诈骗。
• 至少201个独立的区块链地址与这些诈骗相关联，累计导致33万美元损失，涉及6,329名受害者，代表保守的下限估计。
• 最盈利的捐赠诈骗地址于2020年3月22日收到1 BTC，76个捐赠诈骗地址中有28个共产生21,788.90美元利润。
• 超过50%的诈骗域名和社交媒体账号在分析时处于不活跃或无法访问状态，表明可能存在下架或短期运营。
• 大量诈骗域名和代币使用与疫情相关的关键词（如“corona”、“covid”、“invest”）注册，以利用公众的兴趣和紧迫感。
• 研究发现，许多诈骗活动重复使用现有基础设施或重新利用已停用的地址，表明存在协调性且持续演化的诈骗活动。