Anatomia ataku multi-accountingu: studium przypadku na platformie iGaming

Multi-accounting w iGamingu to nie garstka ludzi zakładających dodatkowe konta. To profesjonalne operacje prowadzące setki syntetycznych tożsamości przeciwko jednej platformie, wyciągające bonusy powitalne, cashback i wypłaty promocyjne.

Ekonomia działa, ponieważ krańcowy koszt nowego konta jest bliski zeru — e-mail, jednorazowy numer telefonu, skradzione lub zsyntetyzowane dokumenty tożsamości — a krańcowa wypłata z konta to realne pieniądze. Przy 50–200 $ wyciągniętej wartości na konto, 200 kont przeciwko jednemu operatorowi to pełnoetatowy dochód.

To rozbiór realnego wzorca ataku, obserwowanego przeciwko europejskim operatorom iGaming w 2025 roku. Nazwy i szczegóły są zanonimizowane. Techniki są aktualne.

Przygotowanie: infrastruktura, w którą inwestuje oszust

Poważny multi-accounter operuje niewielką infrastrukturą:

• Subskrypcja rezydencjalnych proxy — zwykle 911.re, IPRoyal lub Smartproxy — zapewniająca rotujące adresy IP w dziesiątkach krajów. Koszt: 50–200 $ miesięcznie.

• Przeglądarka antydetekcyjna — Multilogin, Dolphin Anty, GoLogin, Kameleo lub AdsPower. Każde z tych narzędzi uruchamia izolowane profile przeglądarki z niezależnie skonfigurowanymi odciskami (fingerprintami). Koszt: 50–150 $ miesięcznie.

• Zapas postarzanych tożsamości — kupowanych na forach (pakiety zweryfikowany e-mail + telefon + skan dokumentu) albo generowanych. Koszt: 5–30 $ za tożsamość.

• Infrastruktura płatnicza — karty przedpłacone, portfele kryptowalutowe lub słupy (money mules) do odbioru wygranych bez jednolitego śladu kont.

Łączny miesięczny koszt: 200–500 $. Przy 84 000 $ wyciągniętej wartości w ciągu 6 miesięcy, ROI wynosi 20–30x.

Cykl życia pojedynczego fałszywego konta

Każde syntetyczne konto przechodzi podobny schemat:

1. Profil przeglądarki antydetekcyjnej zostaje uruchomiony ze świeżym odciskiem (canvas, WebGL, strefa czasowa, język, rozdzielczość ekranu).

2. Przypisywane jest rezydencjalne proxy — zwykle z kraju odpowiadającego dokumentom tożsamości.

3. Rejestracja ukończona z postarzaną tożsamością: e-mail, weryfikacja telefonu przez usługę przekierowania SMS, wgranie skradzionego lub wygenerowanego dokumentu.

4. KYC przechodzi — ponieważ dokumenty tożsamości są prawdziwe (skradzione) lub profesjonalnie podrobione.

5. Wykonywany jest niewielki depozyt — często 10–30 $ — aby aktywować bonus powitalny.

6. Bonus jest obstawiany w ramach konkretnych gier dobranych tak, by maksymalizować wartość oczekiwaną względem wymogu obrotu (wagering).

7. Wygrane są wypłacane na metodę płatności powiązaną z tożsamością.

8. Konto jest porzucane lub sprzedawane.

Cały cykl trwa 2–7 dni. Profesjonalny operator prowadzi jednocześnie 20–40 kont na różnych etapach tego procesu.

Co widział operator

Zespół antyfraudowy platformy iGaming zauważył anomalie w drugim kwartale:

• Współczynnik wypłat bonusów na nowych kontach wzrósł z 47% do 63% kwartał do kwartału.

• Chargebacki pozostały niskie — co oznaczało, że nie chodziło o skradzione karty. Oszustwo było strukturalne, nie transakcyjne.

• Wzrosła liczba zgłoszeń do supportu od powracających graczy, którzy nie rozpoznawali własnej historii konta.

Zespół podejrzewał multi-accounting, ale nie miał narzędzi, by udowodnić to na skalę. Każde konto oglądane w izolacji wyglądało wiarygodnie. Inne imiona, inne adresy IP, inne odciski, inne dokumenty.

Co naprawdę pokazały sygnały

Gdy sygnały device intelligence zostały retrospektywnie zastosowane do populacji kont, 217 kont zwinęło się do jednego operatora. Oto co je łączyło.

Sygnał 1. Powtórne użycie odcisku TLS

Mimo różnych adresów IP i różnych odcisków przeglądarki, 217 kont dzieliło zaledwie 3 unikalne hashe JA4. Odcisk TLS jest generowany przez bibliotekę klienta — i choć przeglądarka antydetekcyjna potrafiła spoofować canvas i WebGL, do uścisków dłoni (handshake) TLS używała pojedynczego, wspólnego builda Chromium. Trzy hashe JA4 odpowiadały trzem wersjom przeglądarki antydetekcyjnej, przez które operator przechodził podczas aktualizacji.

Sygnał 2. Timing behawioralny w sesjach

217 kont miało czasy rejestracji skupione w wąskich oknach: głównie 09:00–11:00 UTC w dni robocze. Prawdziwi gracze rejestrują się przez całą dobę. Ludzkie godziny pracy w jednej strefie czasowej zdradziły operatora niezależnie od tego, jaką strefę czasową deklarował każdy fałszywy profil.

Sygnał 3. Wzorce rozgrywki bonusowej

Strategia obstawiania na kontach była niemal identyczna: ten sam dobór gier (konkretne sloty o niskiej wariancji), ten sam rozmiar zakładu względem bonusu, ten sam czas trwania sesji przed żądaniem wypłaty. Prawdziwi gracze mają skrajnie zróżnicowane preferencje. Statystyczna jednorodność w wielu kontach jest możliwa tylko przy użyciu skryptu lub gotowej instrukcji.

Sygnał 4. Mikrowzorce ruchu myszy

Przeglądarki antydetekcyjne spoofują odciski wizualne, ale nie spoofują tego, jak człowiek porusza się w trakcie sesji. Ślady ruchu myszy na 217 kontach miały wspólne cechy — krzywe Béziera o spójnych profilach przyspieszenia, charakterystyczne wzorce powrotu do tych samych współrzędnych przed kliknięciami. Wszystko wygenerowane przez automatyzację operatora.

Sygnał 5. Klastrowanie punktów płatności

Mimo różnych imion na kontach, wypłaty przechodziły przez 8 unikalnych portfeli kryptowalutowych. Powtórne użycie portfela na niepowiązanych kontach to jeden z najsilniejszych dostępnych sygnałów i nie wymaga żadnej detekcji na poziomie urządzenia.

Sygnał 6. Niespójności w wyliczaniu czcionek

Przeglądarka antydetekcyjna spoofuje listy czcionek, ale tylko z gotowej biblioteki. Wszystkie 217 kont raportowały wyliczenia czcionek z ograniczonej puli 5 szablonów. Prawdziwi użytkownicy mają unikalne kombinacje zainstalowanych czcionek. Szablony zostały wykryte, ponieważ ich różnorodność była zbyt niska.

Sygnał 7. Klastrowanie rendererów WebGL

Przeglądarka antydetekcyjna rotuje ciągi GPU, ale z ustalonego zbioru — zwykle 20–30 najpopularniejszych konsumenckich kart graficznych. Na 217 kontach ciągi GPU pojawiały się z nieprawdopodobnym rozkładem: silna nadreprezentacja konkretnych modeli Intel i NVIDIA, bez żadnej reprezentacji sprzętu AMD. Prawdziwe populacje użytkowników mają szerszy rozkład GPU.

Sygnał 8. Brak standaryzacji rozdzielczości ekranu

Przeglądarki antydetekcyjne generują wymiary ekranu, ale często z niestandardowymi rozdzielczościami, aby wyglądać unikalnie. Prawdziwe ekrany mają 1366×768, 1920×1080, 2560×1440, 3840×2160 lub kilka rozmiarów laptopowych. 217 kont zawierało wymiary takie jak 1892×1063, których nie używa żaden prawdziwy wyświetlacz.

Sygnał 9. Nakładanie się sesji między kontami

Dwa konta logowały się z tego samego IP w odstępie milisekund, ale z różnych profili antydetekcyjnych. Logi sesji ujawniły, że gdy jedno konto się wylogowało, drugie logowało się w ciągu sekund — z innego IP, ale z wykrywalnymi cechami połączenia wiążącymi je razem. Pula proxy rotowała, ale działania operatora już nie.

Sygnał 10. Korelacja źródeł depozytów

Depozyty kryptowalutowe na konta pochodziły z 12 portfeli źródłowych. Analiza blockchain wykazała, że te 12 portfeli otrzymało finansowanie z jednego, nadrzędnego konta na giełdzie. Analiza „podążania za pieniędzmi” (follow-the-money) powiązała cały klaster.

Sygnał 11. Wzorce językowe w zgłoszeniach do supportu

Część kont otwierała zgłoszenia do supportu w ciągu 6 miesięcy. Wzorce językowe — konkretne sformułowania, osobliwości gramatyczne, te same błędy w pisowni tych samych słów — były wspólne dla kont zarejestrowanych w różnych krajach i z różnymi ustawieniami języka.

Dlaczego pojedyncze sygnały zawodzą

Każdy z tych sygnałów z osobna mógłby być zbiegiem okoliczności. Dwa konta z tym samym odciskiem TLS mogą być dwoma użytkownikami tej samej wersji Chrome. Dwa konta z podobnymi śladami myszy mogą być dwoma graczami, którzy podobnie klikają. Dwie wypłaty na ten sam portfel mogą być wspólnym portfelem rodzinnym.

Siła tkwi w kombinacji. Gdy 217 kont dzieli odciski TLS, punkty portfeli, szablony czcionek, rozdzielczości ekranu, wzorce ruchu myszy i timing behawioralny — prawdopodobieństwo niezależności spada do zera.

Co zrobiła platforma

Po analizie retrospektywnej platforma wdrożyła scoring w czasie rzeczywistym przy tworzeniu konta. Każde nowe konto otrzymywało wynik podobieństwa względem istniejących kont na podstawie 11 sygnałów plus 40 kolejnych. Powyżej progu konta były oznaczane do ręcznej weryfikacji przed uzyskaniem prawa do bonusu. Poniżej progu konta przechodziły normalnie.

W ciągu 60 dni współczynnik nadużyć bonusowych wrócił do poziomu bazowego. Operator albo przeniósł się na inną platformę, albo znacząco zwiększył inwestycje w swoją infrastrukturę — każdy z tych rezultatów był zwycięstwem.

Wzorzec się uogólnia

Konkretne narzędzia się zmieniają. Sygnały ewoluują. Ale leżąca u podstaw dynamika — profesjonalni operatorzy oszustw budujący infrastrukturę do wyciągania wartości z hojnych programów akwizycji — jest stała w iGamingu, na giełdach kryptowalut, w promocyjnie intensywnym fintechu i na każdej platformie, która płaci za pozyskiwanie użytkowników.

Jedyną skuteczną obroną jest korelacja sygnałów na poziomie platformy. Obrona perymetryczna (blokady IP, blokady urządzeń, zasady jednego konta) zawodzi, ponieważ operatorzy ją omijają. Korelacja sygnałów odnosi sukces, ponieważ operatorzy nie są w stanie tanio zrandomizować wszystkiego — koszt prawdziwej niezależności na konto przewyższa wypłatę z konta.

Ta luka sprawia, że wykrywanie multi-accountingu jest ekonomicznie opłacalne. To także czyni z niego grę, którą obrońca może wygrać.