7月15日，超过130位知名人士推特账户被黑，推送比特币欺诈垃圾邮件，推特官方回应称这一安全事件是对有其内部系统和工具访问权限的雇员发起的定向社会工程攻击引起的。原报道参见https://www.4hou.com/posts/QvK9

据7月31日美国司法部网站消息，推特被攻击事件背后的三名幕后黑手被捕——Mastermind。这一团队有三名黑客组成，分别为来自英国的19岁的Mason Sheppard（Chaewon）、来自美国佛罗里达州的22岁的Nima Fazeli（Rolex）和另外一名17岁的未成年黑客。其中Nima Fazeli的罪名为非法入侵计算机，最高刑期为5年，罚款25万美元；Mason Sheppard的罪名包括非法入侵计算机、电信诈骗、以及洗钱。

犯罪调查过程

Nima FAZELI

在调查过程中，研究人员发现昵称为Kirk#5270的Discord用户在推特被黑事件中起关键作用。7月17日，Discord公司提供了使用Kirk#5270的Discord用户的聊天记录，聊天记录中有通过推特内部管理工具访问@bumblebee @sc @vague @R9等推特账号的图片。基于聊天记录，研究人员判断Kirk#5270 使用其他Discord用户作为代理来帮助Kirk#5270寻找推特用户名的买家。在与一个名为Rolex#0373的聊天记录中，Kirk#5270证明了他可以控制任意的推特账号。

OGUers是一个社交凭证交易的在线论坛。2020年4月2日，OGUers管理员发布公告称其站点被黑，随后有人在其他黑客论坛发布了OGUers数据库信息，其中包括所有该论坛的所有用户信息。研究人员搜索OGUers数据库，发现了一个名为Rolex的用户，注册邮箱为[email protected]，登陆该账户的IP地址为104.51.181.242，该IP地址位于佛罗里达州。同时该论坛发帖内容显示，Rolex就是Rolex#0373。

同时，Rolex在该论坛上还使用了[email protected] 邮箱地址。该邮箱地址也是7月15日，Rolex#0373提供给Kirk#5270用来访问推特账户的邮箱。

根据邮箱地址、IP地址等信息综合判断，研究人员确定Nima FAZELI就是Discord用户Rolex#0373，也就是OGUers用户Rolex，也是推特被黑事件的幕后黑手之一。

更多参见起诉书：https://www.justice.gov/usao-ndca/press-release/file/1300121/download

Mason Sheppard

研究人员通过Discord聊天记录确定了Kirk#5270参与了此次推特被黑事件，在与Rolex#0373的聊天记录中，Kirk#5270提供了一个比特币地址（1Ai52Uw6usjhpcDrwSmkUvjuqLpcznUuyF），这也是本次攻击活动中使用的比特币地址。在聊天中，用户 ever so anxious#0001 告诉Kirk#5270他的OGusers 用户名为Chaewon。

在OGUers论坛上，有一个名为Chaewon的用户发布了如下广告信息：

随后研究人员通过比特币地址进行了区块链分析：

Chaewon 购买地址为：188ZsdVPv9Rkdiqn4V4V1w6FDQVk7pDf4。研究人员分析了连接到Chaewon账户的IP地址，发现2017年4月29日，IP地址79.66.149.155被用于连接Chaewon账户以及另外一个OGUers账户——Mas。研究人员相信Mas和Chaewon属于同一个人。研究人员从OGUsers数据库中进行了搜索，发现了与mason[email protected]相关的账户信息。Coinbase提供的用户信息为：

根据以上信息判断，Mason Sheppard就是Chaewon，也是推特被黑事件的幕后黑手之一。

更多参见起诉书：https://www.justice.gov/usao-ndca/press-release/file/1300126/download

参考及来源：https://thehackernews.com/2020/07/twitter-hacker-arrested.html 与 https://www.justice.gov/usao-ndca/pr/three-individuals-charged-alleged-roles-twitter-hack