青少年遊戲玩家瞄準邁克爾·特平進行重大SIM卡交換盜竊 - 彭博社

埃利斯·平斯基，策劃了最初的搶劫。

攝影師：伊芙琳·弗雷亞2018年1月，消費電子展（Consumer Electronics Show）如往常一樣將其佩戴着繩牌的人羣帶到了拉斯維加斯，而邁克爾·特平也在其中。當時60歲的他正在凱撒宮（Caesars Palace）舉辦 加密貨幣活動，與龐大的科技會議同時舉行。他和妻子瑪克辛正在他們在拉斯維加斯擁有的一處住宅裏準備開幕之夜，這時特平收到了一封來自谷歌的電子郵件，告訴他一個新設備已經訪問了他的一個賬户。他衝上樓對瑪克辛喊道：“我覺得我們又被黑了！”

前一個夏天，有人劫持了特平夫婦的手機號碼，讓他們的手機服務提供商將號碼轉移到了攻擊者控制的手機上。這種技術被稱為“SIM卡交換”，根據訂户識別模塊（Subscriber Identity Module，SIM卡）命名，這是一種小芯片，為手機在蜂窩網絡上賦予了獨特的身份。不過，實際上並不是交換SIM卡，而是交換電話號碼。將一個號碼轉移到帶有不同SIM卡的不同手機上可以為黑客提供進入某人的電子郵件、社交媒體和在線存儲賬户的途徑。這可能只需在許多網站中點擊“忘記密碼”選項就能實現。輸入該代碼的人被認為是賬户持有者，並且可以登錄。在某些情況下，他們甚至不必更改密碼。

2017年6月，對泰爾平斯的第一次攻擊並不具毀滅性。黑客未能找到他們可能在尋找的東西：對泰爾平的加密貨幣的訪問權限。泰爾平是一位知名的加密貨幣投資者和營銷人員，他並沒有隱瞞自己的大量持有。但是，盜賊成功地騙取了一些泰爾平的朋友，發送了冒充他的消息，並要求他們支付他們據稱欠他的比特幣。這些朋友共計向盜賊發送了價值約30,000美元的比特幣。之後，泰爾平被他們的運營商，T-Mobile US Inc.和AT&T Inc.告知，他們的賬户將獲得更高級別的安全保障。他們承諾，沒有PIN碼，他們將無法將SIM卡轉移到新設備。

七個月後在拉斯維加斯，泰爾平發現額外的安全措施失敗了。當他收到谷歌的警報時，他立即看了看自己的iPhone。如果黑客設法將他的號碼轉移到他們的手機上，他自己的設備將會斷開連接。令他暫時鬆了口氣的是，他的手機仍然在線並且正常工作。Maxine的手機也是如此。但是然後他想起了一個他很少使用的舊黑莓手機。他找出來後，他的胃一沉：沒有服務。

泰爾平和他的妻子Maxine。攝影師：Erika P. Rodríguez for Bloomberg Businessweek當泰爾平瘋狂地檢查他各種加密錢包時，Maxine打電話。她告訴AT&T的客服代表：“現在正在發生一起犯罪活動。”她懇求他們斷開被劫持的電話號碼，但被轉接到了欺詐部門，然後被放在等待中。一個半小時後，AT&T才將黑客的手機下線。

與此同時，特平已經確定他最大的錢包和他在加密交易所的賬户沒有受到影響。但他有很多錢包——他估計“可能有50個”。作為一名長期的公共關係顧問，在點com時代賺得了第一筆財富。自那時起，他已經成為一名專業的加密貨幣推廣者，向新幣種和交易所的創始人提供服務，並以他們的代幣作為報酬。維加斯黑客事件發生兩天後，他注意到一個名為Steem的鮮為人知的幣種價格上漲了。特平記得他有一些——大約價值6萬美元。他檢查了Steem錢包。幣都不見了。

特平整夜未眠地查看他的錢包。價值100萬美元的Skycoin不見了。他的Triggers也不見了——這是一種他曾經吹捧的加密貨幣，被稱為一種通過區塊鏈控制互聯網連接的“智能”槍支的方法。就像他參與的許多加密貨幣項目一樣，這個願景並沒有實現，但他的300萬個Triggers仍然價值約2270萬美元。或者説，直到那周，當小偷們一次性出售所有Triggers並導致市場崩潰。

特平非常激動。同年8月，2018年，他起訴AT&T要求2.24億美元。在投訴書中，他聲稱儘管運營商保證過，但未能保護他的數據。“AT&T的所作所為就像一家酒店給了一個持有假身份證的小偷一把房間鑰匙和一個房間保險櫃的鑰匙，讓他從合法所有者的保險櫃中偷走珠寶，”訴訟聲稱，“或者更糟糕的是，當有人塞給他們20美元時，直接把相同的鑰匙交給一個眾所周知的冒名頂替者。”

這種類型的黑客行為正在蔓延：去年，FBI收到了2056起SIM卡交換投訴，損失總額達7160萬美元，比前一年的1611起投訴和6800萬美元的損失有所增加。專家表示，真實數字可能更高。SIM卡交換並不需要真正的技術能力，只需要願意欺騙或賄賂電信客服代表。它利用了該行業對便利和成本的強調，而不是安全性。

特爾平為正義而奮鬥的旅程最終佔據了他的生活，將他捲入了一個充滿追求炫耀和名利的年輕騙子的世界。對他來説，幸運的是，其中一些最喜歡的目標竟然是彼此。

在特爾平起訴AT&T一個月後，20歲的尼古拉斯·特魯格利亞在他位於紐約市的公寓裏，試圖回憶前一晚發生的事情。他從夜店帶了一些朋友回到他位於Hell’s Kitchen的豪華住宅塔樓的公寓，他喝得太多了，這一點是顯而易見的。他醒來時嘴唇有傷口，沙發上有血跡。他説，他的筆記本電腦不見了，還有一些硬件錢包——用於離線存儲加密貨幣密鑰的電子設備，以及他的實體錢包，裏面裝着任何法定貨幣。

那個週末，在巡邏警官和一名偵探來去之後，他前一晚的一個朋友克里斯·大衞又回到了特魯格利亞的公寓，坐在沙發上玩着堡壘之夜。他帶回了特魯格利亞的筆記本電腦，後來他會説特魯格利亞讓他帶走以保管。大衞在與財富相關的行業做零工，做私人飛機包機經紀等工作。特魯格利亞戴着一塊價值10萬美元的勞力士手錶，發推文展示自己在私人飛機上的照片，曾告訴大衞他想買一輛邁凱倫跑車。他告訴人們他在加密貨幣上賺了數千萬，儘管他似乎大部分時間都在健身或玩視頻遊戲。他和大衞在健身房認識。與特魯格利亞昏迷時在場的其他人一起，他們喜歡去名人聚集的肉販區俱樂部，如1 Oak和 Up&Down，在那裏花費數萬美元購買高端龍舌蘭酒和特級香檳。

從法庭文件中，特魯格利亞（右）在一家AT&T商店裏，據稱試圖進行SIM卡交換，這是大衞拍攝的照片。來源：加利福尼亞州洛杉磯縣高級法院在特魯格利亞的沙發上，當大衞在《堡壘之夜》中瘋狂射擊時，他們在大衞數字槍聲的喧囂中討論着。他們的團隊並不完全是一羣兄弟。他們似乎對彼此欺騙感到愉快滿足。那年春天，特魯格利亞為一些人支付了3萬美元，安排了一次前往加利福尼亞科切拉音樂節的VIP之旅，但他們卻隱瞞了附帶的豪華住宅的地址。他被留在沒有住所的地方，其他人則用Post Malone和模特海莉·比伯（Hailey Bieber）去他們的房子參加聚會的故事來嘲笑他。最近，大衞曾經為團隊中的一員與特魯格利亞達成了一筆購買他的賓利交易，但特魯格利亞卻拿到了款項並保留了車輛。

那天晚上，大衞還在特魯格利亞的公寓裏偷偷用手機錄下了他們的對話。當他們交談時，他把話題引向了特魯格利亞金錢的來源。他聽説特魯格利亞吹噓過SIM卡交換，以及他在網上社交的另一羣人。大衞後來在一份宣誓書中發誓説，特魯格利亞甚至帶他去了一家AT&T商店，試圖讓一名員工在那裏進行SIM卡交換。大衞回憶説，這次嘗試失敗了，只因為特魯格利亞不願意支付目標賬户的未付餘額。

“誰是你SIM卡交換過的最大的人？”可以聽到大衞在特魯格利亞的公寓裏錄音時問道。“那個起訴AT&T的傢伙？”

“邁克爾·特爾平，”特魯格利亞説。這個回憶讓他笑了。“他那天過得很開心。他上牀時還在想‘哇，我的賬户裏有2400萬美元，’”特魯格利亞説。“那太有趣了。”

在對話的其他部分，他的傲慢消失了。

“我覺得有些人只是因為可憐我才做我的朋友的，”他在討論中停頓後説。

“是的，我確實可憐你，”大衞説，“因為你是一個自殺傾向者，只會欺騙別人。”（特魯格利亞過去曾表達過自殺念頭。）

“但我不是壞人，”特魯格利亞回答道。

“你是壞人，”大衞説。

“真的嗎？”特魯格利亞問。

當黑客和他們的朋友花費特爾平的錢時，特爾平正在盡一切努力引起人們對他的法律鬥爭的關注。當他提起訴訟時，他向路透社提供了 獨家報道，並寫了一封 公開信給美國聯邦通信委員會主席，建議政府要求手機公司對普通員工隱藏客户的密碼和PIN碼。

特爾平開始得到線報。他和瑪克辛會被來自無法追蹤號碼的電話叫醒，他們在波多黎各的梯田山坡別墅裏，出於税收原因，他們將這裏作為主要住所。一些打電話的人用音頻處理工具掩飾了他們的聲音，儘管特爾平記得有一個人不停地把嘴從電話上移開，和別人交談，露出了愛爾蘭口音。特爾平明確告訴線報者，他願意為可靠的信息付費。

特平攝影師：Erika P. Rodríguez for Bloomberg Businessweek其中一位打電話的人是一個帶英國口音的男子，自稱為Sauce。Sauce説他屬於“社區”，這是一個由美國、英國和愛爾蘭的十幾歲的SIM卡交換者組成的團體。他告訴特平，這個團伙中的兩名成員，Nick Truglia和Joseph O’Connor，就是搶劫他的人。

2018年12月，即黑客事件發生將近一年後，一些證據出現了，當時David通過電子郵件聯繫了特平。他説他錄製了幾個小時的Truglia的錄音，希望能夠洗清自己在丟失電子產品事件中的名譽，並有可能在特別檢察官提出控訴的情況下使Truglia自己陷入困境。（Truglia確實這樣做了，指控了David和其他三人，儘管最終檢察官的要求下這些指控被撤銷，案件也被封存。）

在收到電子郵件幾周後，特平將David飛到了波多黎各，並安排他住在希爾頓酒店。特平和他的律師們對David帶來的東西感到驚訝。在錄音中，Truglia向David介紹了他如何讓亞洲呼叫中心的電話公司承包商為他交換號碼的方法。他會打電話假裝手機出了問題，然後問他正在交談的承包商是否想賺點錢。對方通常會答應，Truglia會開始通過Facebook或其他社交網絡與他們聯繫以指導號碼更改。他還對David開玩笑説，有一個在印度的承包商因為為他做了多次工作而被解僱。

聽完後，特爾平和他的律師説服大衞簽署了一份書面證詞。然後他們對特魯格利亞提起了訴訟，並將錄音交給了FBI。

但就在那時，特爾平從另一個來電者那裏聽到了一個新名字。來電者説他是約瑟夫·奧康納，醬汁已經確認他是2018年黑客攻擊特爾平的頭目之一。他的利物浦口音通過變聲應用可聽到。奧康納説他不是特爾平應該追捕的人，特魯格利亞也不是。真正的罪犯是一個叫派的人，一個自青春期起就以專業黑客而聞名的可怕人物。經過一段時間的考慮，奧康納給特爾平發了一個名字和家鄉：“埃利斯·平斯基，歐文頓。”

“我有我的社交圈。我參加田徑比賽，我踢足球，”埃利斯·平斯基談到了他在紐約州歐文頓高中生活時説，“然後我回家上網。” 起初，這意味着玩使命召喚，但到了15歲，他轉向了黑客行為。他會熬夜，凝視着房間裏設置的三台顯示器，然後第二天早上在學校掙扎着保持清醒。“那絕對是重點，”他談到了他的夜間活動，“或者説，你知道的，那是我生活中的刺激。”

平斯基正在歐文頓的一家希臘餐廳裏解釋所有這些，吃着一份希臘烤肉串，可以看到哈德遜河的景色。現在21歲，他點了一杯蒙特普爾恰諾·達布魯佐紅酒。“我把它看作是一種謎題，看看我能走多遠，”他説。“我喜歡其中的解決問題的方面。我想我的大腦還沒有發育到意識到，‘這真的很錯’。”

社區的成員最初是在一個名為OGUsers的網絡論壇上聚集在一起的，該論壇專注於在線用户名這個不太可能的話題。對於某種類型的玩家來説，在多人遊戲中擁有一個特別酷的用户名或者用於社交媒體賬户的@anonymous或@evil等，會賦予地位，而最受歡迎的用户名在論壇上售價高達數萬美元。或者成員們也可以免費獲取它們，方法是入侵所有者的賬户來竊取它們。社區的一個子集致力於開發這樣的技術。其中一些人開始涉足黑客名人社交媒體賬户，以戲弄或欺騙賬户的關注者。

那些進入這個世界的孩子們通常經歷一種網絡犯罪的見習，學習這門手藝並逐漸對違法行為麻木不仁。如今，在黑客論壇、Discord服務器和Telegram頻道上的招聘廣告提供每天100美元的入門級網絡犯罪勞動，根據網絡安全公司Unit 221B的首席研究官艾莉森·尼克松（Allison Nixon）的研究，她已經研究這個社區超過五年。這些工作包括等待客服代表接聽電話，或者因為未成年人更難被起訴，提供目標號碼被轉移到的設備，以防調查人員設法追蹤其位置。

平斯基（Pinsky）的入門點是在使命召喚（Call of Duty）遊戲中，他在那裏遇到了一個名為@Ferno的用户，他得知Ferno是一個黑客。Ferno以其在互聯網上獲取任何他想要的能力給平斯基留下了深刻印象。平斯基開始為Ferno做起了瑣碎的任務，他説他仍然不知道Ferno的真實身份，收集有用於針對某人進行身份欺詐或者破解其賬户的信息。他還開始自學結構化查詢語言編碼，以便能夠破解公司的數據庫並竊取員工數據。他在私人消息服務XMPP上銷售來自這些網絡的信息，用他從母親那裏學到的流利俄語與那裏的罪犯們交談，他的母親是一名從蘇聯移民來的醫生。

但平斯基也發現，要進入某人的社交媒體和電子郵件賬户並不一定要破解密碼。最好的方法就是被允許進入。有時候這意味着假扮成服務提供商，讓用户提供他們自己的密碼。有時候這意味着假扮成這個人，並讓服務提供商的某人來更改密碼。

平斯基15歲那年，他在網上圈子裏有人開始談論SIM卡交換。越來越多人採用雙因素認證——一種安全措施，需要除了密碼之外的第二種身份驗證方式——這讓他更難使用他盜取的登錄信息。SIM卡交換巧妙地解決了這個問題。

SIM卡交換是如何工作的

1. 攻擊者選擇一個手機號碼在公開來源或被黑客數據庫中的目標。

2. 聯繫目標的手機服務提供商

3. 假裝是目標並要求將手機號碼轉移到新手機上，或者賄賂客服代表這樣做。

4. 選擇“忘記密碼”來重置目標的電子郵件、社交媒體或雲存儲登錄，並選擇短信選項（如果有的話）。

5. 使用發給目標號碼的代碼——但是黑客的手機——來登錄。

6. 搜索賬户中的敏感個人信息，尤其是加密錢包密碼。

7. 拿走加密貨幣。

起初，平斯基嘗試通過打電話給移動服務提供商來進行交換，假裝自己是想要的號碼的人，並説自己丟失或剛剛升級了手機。為了説服力，他事先會在網上搜索，找到這個人社會安全號碼的最後四位數字或者他們對安全問題的回答——這些信息通常在被黑客入侵的數據庫中可以找到。有時候他甚至會打電話給手機公司，假裝是公司的員工，想要驗證關於客户的某些信息。

所有這些工作都是很費力的，而且通常並沒有取得成功。平斯基意識到，更有效的方法是找一個內部人士，“減少摩擦”，就像他現在所説的那樣。他用Python編程語言編寫了一個腳本，用來在Twitter上搜索提到電信公司的人員的內容，比如“有人説，‘哦，剛剛下班了，AT&T’之類的話”，他説。他找到了很多。每當他找到一個現任員工，他就會聯繫他們看看他們是否願意受賄。他估計，大約有10%的人回覆説願意。“有一段時間，我在每家運營商那裏都有一個人在我的薪資單上”，他説。他的所謂的線人名單給他帶來了聲望。作為@Pie，他在網上吹噓説，他可能會通過成功的攻擊賺取數千美元。社區中的其他人開始給他提供目標和合作邀約。

2018年1月6日晚，平斯基收到了一個來自經常合作伙伴“哈里”的Discord消息。這兩個人從未見過面，但哈里帶着英國口音，看起來和平斯基年齡相仿。他聲稱自己住在西班牙。哈里告訴平斯基，他找到了他們迄今為止最大的目標。他在Twitter上分享了一個鏈接，平斯基查看了這個人在各種社交媒體網站上的帖子，並在他發佈的許多新聞稿中找到了一個電話號碼。那是特平。 “他看起來有一些錢可以拿”，平斯基回憶道。

他説，他通過他的一個名叫賈米爾·史密斯的線人檢查了特平的號碼，史密斯是一名承包商，他在康涅狄格州諾里奇的一家AT&T商店工作，看看它是否出現在他的系統中。當史密斯説是的時候，平斯基提出了幾百美元，“大約在100到500美元之間”，讓他替換這個號碼。第二天，即1月7日星期日，史密斯將特平的號碼從他的黑莓手機轉移到了一個名為Cold的第三個社區成員手中的iPhone，Cold充當“持有者”。特平的訴訟中提交的AT&T記錄聲稱，史密斯使用手動覆蓋來繞過早期攻擊後放置在特平賬户上的六位數安全代碼。根據後來AT&T為特平的訴訟提供的資產保護主管的證詞，這不是史密斯第一次這樣做；公司未能調查涉及史密斯的兩次先前SIM卡交換。而且就在平斯基接觸他的一週前，史密斯曾找人幫忙從他管理的商店偷走六部iPhone和大約4500美元現金。警方報告稱，史密斯在閉路電視錄像顯示他指着庫房裏的物品給他戴面具的朋友看後承認了這個計劃。史密斯並不是這起訴訟中的被告，本文無法聯繫到他以發表評論。

一旦平斯基控制了特爾平的號碼，他和哈里進行了Skype通話。平斯基首先嚐試重置特爾平的加密貨幣交易賬户密碼，但發現特爾平選擇了一種需要通過應用生成的代碼而不是發送到他電話號碼的兩步驗證形式。（安全專家建議用户採用這種做法來保護敏感賬户，或者使用一個必須直接插入設備的物理安全密鑰。）

平斯基的下一步是嘗試訪問電子郵件賬户。他認為特爾平會使用Gmail，所以他去了 Google的賬户恢復服務，根據一個人的姓名和電話號碼，返回他們的Gmail地址列表。平斯基知道Google使用短信驗證來授予一次性訪問或重置賬户密碼。當平斯基請求一個代碼時，它發送到特爾平的號碼，現在在Cold的手機上。他輸入了代碼，Google授予了他訪問特爾平的Gmail的權限，他開始四處查找，尋找可能包含加密錢包密碼的電子郵件或附件。

一個小時後——在這個時候，特爾平很可能已經聯繫了AT&T，正確解釋了情況並被放在了長時間等待中——平斯基仍然沒有找到任何東西。然後他發現了一封郵件，表明特爾平也使用了微軟的OneDrive雲存儲服務。平斯基前往微軟登錄頁面並選擇了密碼重置選項。安全代碼顯示在Cold的手機上，平斯基輸入了它。（特爾平表示他在該賬户上設置了一個兩步驗證的安全應用，但有時無法正常工作。 微軟公司拒絕置評。）

在特平的Microsoft雲存儲賬户的垃圾文件夾中，平斯基找到了一份列出大約十幾種加密錢包的文件。每種錢包後面都跟着一串隨機的單詞。平斯基認出它們是種子短語，這是加密中常見的一種訪問代碼。通常建議用户將它們離線記錄在紙質副本中。使用這些種子短語，平斯基和哈里打開了Steem、Skycoin和Triggers錢包。

兩位黑客都沒聽説過Triggers，但當平斯基在網上查看它的價值時，他感到震驚。這是他職業生涯中最大的一筆收入，而且當時是SIM卡交換記錄中最大的一筆。

起初，平斯基和哈里無法將大量資產轉移出特平的錢包。大多數加密交易所不支持Triggers。少數支持的交易所之一是幣安，但不允許像平斯基這樣的未成年人使用其平台，而且要求任何新建賬户的人提供政府身份證。因此，這兩位黑客決定組成一個加密資產傳遞鏈。平斯基在一個私人Twitter賬户上發出呼籲，看看社區中誰有一個幣安賬户。尼克·特魯格利亞是其中一位站了出來的人。

平斯基召集了八人在Skype上進行了一個電話會議，並向每位志願者的賬户中存入了少量的Triggers。然後他要求他們將其轉換為比特幣，扣除一小部分，併發送到平斯基和哈里控制的第三個錢包。其中一位志願者，雖然未滿18歲，但使用了他母親的身份開設了賬户，將一些比特幣發送到了錯誤的錢包。平斯基威脅他得如此激烈，以至於那個男孩事後報了警。

當特魯格利亞輪到他時，平斯基存入了價值約30,000美元的觸發器，特魯格利亞則發送了比特幣。然後它們增加到了100,000美元。然而，當金額跳至800,000美元時，特魯格利亞沒有發送任何東西。平斯基督促他，特魯格利亞找了個蹩腳的藉口：他説他得去健身房，要一段時間才能回來。平斯基很快意識到自己上當了。

特魯格利亞，從小偷那裏拿走了80萬美元。攝影師：Sasha Maslov，彭博商業週刊吞下自己的驕傲，他繼續進行轉賬過程。當一切結束時，這個團隊擁有了1500萬至2000萬美元的比特幣，而觸發器的價格已經崩潰，再也無法恢復（儘管考慮到近年來其他小眾幣種的發展軌跡，它們不太可能保持在2018年初的高峯附近）。據平斯基稱，大部分資金被他和哈里分掉了。

平斯基回憶起的感覺類似於眩暈。“有一次恐懼後果的感覺襲來，”他説。在接下來的幾周和幾個月裏，他取出了大約10萬美元，留在現金中，他還買了一塊價值5萬美元的百達翡麗Nautilus手錶——他強調是作為一項投資，“我顯然不會戴着它去學校或其他地方。”他説這是他的最後一次黑客攻擊：“我只是覺得自己打敗了遊戲。”

大約一個月後，平斯基和一位來自學校的朋友乘火車前往曼哈頓，在那裏特魯格利亞在中央車站與他們會面。特魯格利亞在網上聯繫了平斯基，希望他們可以把80萬美元的事情忘掉。為了彌補過失，他邀請平斯基與他和他的夜生活朋友一起聚會。平斯基覺得自己沒有資格對偷竊説教，而且他沒有得到很多這樣的邀請，所以他接受了。

特魯利亞帶着平斯基和他的朋友回到他的公寓，平斯基回憶起看到了大量的毒品和現金。後來他們去了Up&Down，被引導進了低矮的俱樂部，周圍是特魯利亞認識的年輕女性。平斯基説他在整個晚上大部分時間都感到尷尬。在那個晚上拍攝的照片中，他自覺地握着一瓶Dom Pérignon，而三個年輕女孩則站在他身邊對着鏡頭賣萌。平斯基和他的朋友大約凌晨3點坐出租車回到了歐文頓。他們告訴父母他們決定提前從他們聲稱在過夜的地方回家。

幾個月過去了。然後，在2018年聖誕節之後，平斯基的媽媽收到了特爾平的律師的一封電子郵件。她看了看，問平斯基發生了什麼事。平斯基回憶説，“我們共同決定，我需要一名律師。”

與平斯基不同，特魯利亞在特爾平遭受黑客攻擊後並沒有放棄網絡犯罪。據檢察官稱，在接下來的幾個月裏，他開始了自己的一系列SIM卡交換。他所涉嫌的受害者中有幾個住在加利福尼亞北部，那裏有大量的加密貨幣投資者，也是一個名為區域執法聯合計算機團隊的聖克拉拉縣網絡犯罪特別行動組的所在地。React的調查人員很快確定了特魯利亞，並開始收集針對他的證據。

其中一些證據來自加密貨幣交易所 Coinbase，該公司通知執法官員，稱其在5月收到了匿名提示，稱其用户中有人打算入侵另一位最近去世的用户的賬户。公司凍結了該賬户。當它收到對該賬户的訪問請求時，為了額外的安全性，要求登錄的人分享他們的身份證明和照片，這個人也這樣做了；Coinbase還看到用於進行登錄嘗試的設備隨後訪問了特魯利亞的賬户。用户提交的圖像被確定為特魯利亞，他拿着一張帶有他照片的假身份證，上面寫着已故者的名字。

2018年11月13日上午大約8點，特魯格利亞被公寓門外的敲門聲吵醒。他在網上圈子裏的成員之間喜歡開的一個惡作劇之一——除了欺騙、詐騙和向當局舉報彼此之外——就是“惡作劇”，這是一種騷擾形式，涉及製造虛假的911報警電話，讓警察帶着重武器出現在某人家中。那天早上特魯格利亞認為正在發生的就是這種情況。

法院文件中包含特魯格利亞向Coinbase發送的圖片，用於驗證他的身份。他有多張假身份證。來源：加利福尼亞州洛杉磯縣高級法院然而，警察並不是因為惡作劇而來。他們逮捕了特魯格利亞。一個月後，他被帶着手銬飛往跨越整個國家到達聖克拉拉縣。艾琳·韋斯特，一個隸屬於React的副地方檢察官，此前曾幫助確保對四名SIM卡交換者的定罪，指控特魯格利亞涉及價值超過100萬美元的加密貨幣盜竊的21項重罪。特魯格利亞被送往加利福尼亞州米爾皮塔斯的埃爾姆伍德拘留設施。在他被預訂並被告知他的權利後，特魯格利亞做了一份聲明，承認進行了SIM卡交換，根據警方的一份宣誓書，但後來他對這些指控表示不認罪。

2019年4月，特魯格利亞的情況惡化。洛杉磯高級法院裁定對特爾平在對他的訴訟中勝訴。特爾平根據《惡勢力和腐敗組織法》尋求7580萬美元的賠償，這是一項有組織犯罪法律，在民事訴訟中，允許受害者獲得其所遭受損失的三倍賠償。有了《惡勢力和腐敗組織法》的判決，特魯格利亞現在欠特爾平整個金額，儘管特魯格利亞和平斯基聲稱他從盜竊中獲得的只有他從兩名主要竊賊那裏竊取的80萬美元。

七個月後，又有一項指控出現：FBI對特爾平（Terpin）的加密貨幣被盜一案進行調查，發現特魯格利亞（Truglia）使用他的幣安賬户進行轉換，結果導致在紐約南區被控聯邦電信詐騙陰謀罪。特魯格利亞於2020年4月15日在紐約被捕並被提起公訴，而這僅僅是在加利福尼亞獲得保釋幾天後。

一位法官裁定特魯格利亞可以在奧蘭多一個高檔封閉社區內他父親的家中等待他的聯邦電信詐騙審判，但他必須待在家裏，遠離互聯網和社區。但他無法不上網。社區的成員們發現他在Instagram上發帖，於是他們多次打電話報警到他父親的家裏——至少在接下來的三年裏，根據特魯格利亞的説法，這種情況發生了12次。2021年12月，警察在其中一次訪問中發現了筆記本電腦、iPhone和7克可卡因，特魯格利亞稱這些物品屬於一個朋友。一位法官將他送回新澤西州紐瓦克的監獄。最終，他對聯邦指控認罪。次年，他被判處18個月，並被要求先支付特爾平2000萬美元中的第一筆2000萬美元，一個月後因已服刑而獲釋。

“儘管他們看起來很正派，”特爾平的控訴書寫道，“平斯基和他的其他同夥實際上是帶有反社會特徵的邪惡計算機天才”

“我認為很多人都能理解在互聯網上看到某物並想要的感覺，”特魯格利亞談到了驅使他的原因。“比如，想要關注或者別人擁有的東西，或者其他什麼。而且我認為主要是這個。” 他是在2023年4月初的曼哈頓市中心的Soho Grand Hotel的一個房間裏説這番話。他已經出獄並且正在市內進行短暫訪問。他前一晚外出時穿的那雙厚底的Rick Owens靴子躺在房間的地板上，他剛從一次小睡中醒來。他似乎覺得陽光刺眼。

“我在這裏有一些財產需要歸還給我，”他神秘地説着，坐在窗台上。據特平的律師稱，當天早些時候，特里格利亞與其中一位律師一起花了大約五個小時，將他的一些加密貨幣和珠寶轉換成現金以支付特平。 （如果他未能這樣做，特里格利亞可能會被判藐視法庭並被送回監獄。）他和律師去了特里格利亞有保險箱的銀行，並拜訪了一個特里格利亞在被監禁之前委託的熟人，那人手裏握有一張寫有他一組加密貨幣密鑰的紙條。看起來那個人不打算歸還。

5月9日，在他在紐約市短暫逗留幾周後，特里格利亞在奧蘭多再次被捕。在他的法律鬥爭中感到不堪重負時，他給一個熟人發了一張槍的照片，威脅要用槍自殺。當警察前來檢查他時，他們發現了彈藥（特里格利亞的父親後來説這些彈藥屬於他）和一些特里格利亞的假身份證，但沒有槍支。儘管如此，他被指控持有被定罪的青少年隱瞞的武器，以及四項欺詐罪。他被送往俄克拉荷馬州的拘留設施，然後被紐約市的一名聯邦法官傳喚，因為他違反了緩刑。除此之外，他最終還將不得不在某個時候在加利福尼亞接受審判。

社區的其他成員也因為他們的行為而面臨法律後果。在另一起案件中，約瑟夫·奧康納承認參與了黑客攻擊100多個Twitter賬户，包括喬·拜登、埃隆·馬斯克和巴拉克·奧巴馬的賬户，以及對女性名人進行SIM卡交換和網絡跟蹤，勒索她們。他被判處五年監禁。至於哈里，如果他不是那些因某種罪行被逮捕和審判的不幸黑客之一，他可能仍然在逍遙法外。

但根據網絡安全研究員尼克松的説法，社區仍在增長。那些留下來的老一輩現在已經成年，帶來了一批新的孩子加入他們的行列。她説：“很多被抓到的人仍然是孩子，而在幕後運作的成年人就像是傀儡大師。”“當孩子被抓到時，他們知道自己需要消失在幕後。”

平斯基本人避免了刑事指控，這是他在談話中基本上避免的話題。在他從事網絡犯罪階段時還未成年可能有所幫助。他承認，他和他的律師協助執法部門，而在特平找到他之後，平斯基交出了他聲稱剩下的黑客所得：10萬美元現金、手錶和剩下的比特幣。當他把它交給特平時，比特幣自黑客事件以來已經貶值了大約一半。就像百達翡麗手錶一樣，它目前已經有了不錯的升值。

然而，特平並不認為兩人已經扯平，當平斯基年滿18歲時，特平起訴了他。“儘管他們看起來很正派，”控訴書上寫道，“平斯基和他的其他同夥實際上是具有反社會特徵的邪惡計算機天才，他們無情地毀掉無辜受害者的生活，並洋洋得意地吹噓他們數百萬美元的搶劫。”特平對紐約郵報説，稱平斯基為“小阿爾·卡彭”，並配有平斯基15歲時在Up&Down俱樂部的照片。

兩週後，四名持槍、戴面具的男子在深夜闖入了歐文頓的平斯基家中，據推測他們認為——就像平斯基曾經假定的那樣——這名少年有一些錢可以拿走。平斯基最近為了保護自己買了一支獵槍。在去年發表的一篇滾石 個人資料中，他描述了他、他的母親和弟弟們是如何被家庭安全系統警報，然後拿着武器躲在樓上，直到警察趕到並挫敗了入侵者。其中兩名男子逃脱了。

平斯基現在在紐約大學學習計算機科學和哲學。今年夏天，他正在修額外課程，並在一家風險投資公司的軟件工程團隊實習。他想提前畢業。2022年10月，他同意法院判決他向特爾平支付2200萬美元的賠償金，這是他三年前交出的錢之外的額外金額。平斯基有創業計劃，已經開發了一款強制用户在規定時間內完成任務否則就要支付罰款的生產力應用。

為了進一步安撫他所搶劫的人，平斯基還同意在特爾平對AT&T的訴訟中作證。然而，這可能並沒有完全幫助。在接受質詢時，他坦言他從未能夠僅通過進行SIM卡交換來竊取加密貨幣。交換本身只是第一步，如果受害者使用強大的多重身份驗證，或者將所有的加密憑證存儲在離線狀態，那麼平斯基對竊取的電話號碼就無能為力了。AT&T最終在其辯護中使用了平斯基證詞的部分內容。針對本故事的詳細問題，AT&T發言人在一份聲明中表示：“欺詐性SIM卡交換是由犯罪分子實施的一種盜竊行為。我們已經採取了安全措施來防範，我們與執法部門、我們的行業和消費者密切合作，以幫助預防這種犯罪。這些犯罪分子以特爾平為目標是不幸的，但我們要指出法院認為我們不對特爾平的損失負責。”

今年三月，距離特平提起AT&T訴訟已經將近五年，加利福尼亞州的一位聯邦法官基本上駁回了這起訴訟。AT&T的無線客户簽訂了一份合同，其中限制了公司對損失和損害的責任。協議還明確警告稱公司無法保證用户個人信息的安全。法官在簽署用户協議時寫道，特平同意了這些條款。法官補充説：“特平和AT&T並沒有同意，如果第三方賄賂零售員工進行SIM卡交換特平的電話號碼，然後黑客入侵特平的電子郵件和在線賬户，搜索特平的數字垃圾以發現未知的加密貨幣訪問憑證，最終使用這些憑證竊取數百萬加密貨幣，那麼AT&T將對特平的損失負責。” 法官裁定，AT&T不欠特平一分錢。

特平估計迄今為止已經花費了超過500萬美元的法律費用，他已經提交上訴通知。他和他的律師認為這一判決樹立了一個危險的先例，並允許手機公司繼續忽視黑客和身份盜竊受害者不斷試圖提出的安全問題。

平斯基對這一觀點表示同情。“保護客户的安全是公司的工作，”他説。“無論是銀行，還是電話公司，安全都是他們的工作。”

特魯格利亞更具哲學意味。他暗示最終責任的問題是一個棘手的問題。在他被重新監禁之前在他的紐約酒店房間裏發表講話時，他不確定手機公司對於防止SIM卡交換有多少責任。他確實同意可以讓這變得更加困難。“他們應該，”他建議説，“可以使用一些技術。”閲讀下一篇： EBT Skimmers Are Draining Millions of Dollars From the Neediest Americans