On-chain araştırmacı ZachXBT, Haby (Havard olarak da bilinen) adlı bir Kanadalı tehdit aktörüne yönelik bir yıllık soruşturmasını detaylandırdı. ZachXBT'nin iddiasına göre bu isim, Coinbase destek personeli kılığına girerek 2 milyon dolardan fazla çaldı.

Son bulgularına göre Haby, sosyal mühendislik taktikleri kullanarak Coinbase kullanıcılarını fonlarına erişmeye ikna etti. Çaldığı parayı ise nadir sosyal medya kullanıcı adları, şişe servisi (bottle service) ve kumar harcamalarında kullandı.

Araştırmaya göre Haby, özel grup sohbetlerinde faaliyetleriyle övündü. 30 Aralık 2024'te bir Coinbase kullanıcısından yaklaşık 44.000 dolar değerinde 21.000 XRP çaldığını gösteren bir ekran görüntüsü paylaştı. 3 Ocak 2025'te ise Exodus cüzdanına ait başka bir ekran görüntüsü yayınladı; bu görselde Telegram ve Instagram hesaplarına giden linkler yer alıyordu.

ZachXBT, geçmiş cüzdan bakiyelerini bu ekran görüntüleriyle eşleştirdi ve XRP adresini iki başka Coinbase bağlantılı hırsızlıkla ilişkilendirdi. Bu, izlenen toplam tutarı yaklaşık 500.000 dolara çıkardı. Araştırmacı, Haby'ın çalınan XRP'yi anlık değişim hizmetleri kullanarak Bitcoin'e çevirdiğini belirtti. Bu takasların zamanlamasını analiz ederek Haby'a bağlı bir Bitcoin adresi tespit etmeyi başardı.

Şubat 2025'te Haby'ın bir grup sohbetinde 237.000 dolarlık cüzdan bakiyesi övündüğü bildirildi; bu tutar, tanımlanan Bitcoin adresinin geçmiş bakiyesiyle eşleşiyordu. Bu adresten yapılan işlemlerin izlenmesiyle, çalınan miktara ek olarak 560.000 dolardan fazla ekleyen üç ek Coinbase taklit dolandırıcılığı daha bulundu.

Paylaşımlarda, Haby'ın bir kurbanla aktif olarak sosyal mühendislik yaparken (e-posta adresi ve Telegram irtibatı ifşa edilmiş halde) görünen sızdırılmış bir video da yer alıyor. ZachXBT, Haby'ın Instagram ve Telegram'da lüks yaşam tarzını sıklıkla övduğunu, temel operasyonel güvenlik kurallarını hiçe saydığını ve dolandırıcılık yapmayı bırakması yönündeki uyarıları dinlemediğini gözlemledi.

Açık kaynak istihbaratına göre Haby'ın Vancouver yakınlarındaki Abbotsford'da yaşadığına inanılıyor. ZachXBT, Haby'ın kişisel bilgileriyle bağlantılı çok sayıda "swatting" (polis baskını) vakası nedeniyle Kanada kolluk kuvvetlerinin zaten kendisinden haberdar olabileceğini belirtti. Haby'ın kurbanlara karşı pişmanlık belirtmemesi ve aleyhindeki delillerin kamuya açık olması nedeniyetiyle yetkilileri harekete geçmeye çağırdı.