Anatomin av en multikonto-attack: fallstudie på en iGaming-plattform

Multikontohantering inom iGaming är inte en samling människor som öppnar extra konton. Det är professionella operationer som driver hundratals syntetiska identiteter mot en enda plattform och pumpar ut välkomstbonusar, cashback och kampanjutbetalningar.

Ekonomin fungerar eftersom marginalkostnaden för ett nytt konto är nära noll — e-post, ett engångstelefonnummer, stulna eller syntetiserade identitetshandlingar — medan den marginella utbetalningen per konto är riktiga pengar. Vid 50–200 dollar per konto i utvunnet värde är 200 konton mot en enda operatör en heltidsinkomst.

Detta är en genomgång av ett verkligt attackmönster som observerats mot europeiska iGaming-operatörer under 2025. Namn och detaljer är anonymiserade. Teknikerna är aktuella.

Uppsättningen: infrastrukturen bedragaren investerar i

En seriös multikontohanterare driver en liten infrastruktur:

• Ett abonnemang på residential-proxyer — vanligtvis 911.re, IPRoyal eller Smartproxy — som tillhandahåller roterande IP-adresser i dussintals länder. Kostnad: 50–200 dollar per månad.

• En antidetect-webbläsare — Multilogin, Dolphin Anty, GoLogin, Kameleo eller AdsPower. Var och en av dessa verktyg kör isolerade webbläsarprofiler med oberoende konfigurerade fingeravtryck. Kostnad: 50–150 dollar per månad.

• En tillgång på åldrade identiteter — antingen köpta på forum (paket med verifierad e-post + telefon + dokumentskanning) eller genererade. Kostnad: 5–30 dollar per identitet.

• Betalningsinfrastruktur — förbetalda kort, kryptovalutaplånböcker eller money mules för att ta emot vinster utan sammanhängande kontospår.

Total månatlig omkostnad: 200–500 dollar. Vid 84 000 dollar i utvunnet värde över 6 månader blir ROI 20–30x.

Livscykeln för ett enskilt bedrägligt konto

Varje syntetiskt konto följer ett liknande mönster:

1. En antidetect-webbläsarprofil startas med ett färskt fingeravtryck (canvas, WebGL, tidszon, språk, skärmupplösning).

2. En residential-proxy tilldelas — vanligtvis från ett land som matchar identitetshandlingarna.

3. Registreringen slutförs med en åldrad identitet: e-post, telefonverifiering via en SMS-vidarebefordringstjänst, uppladdning av ett stulet eller genererat ID-dokument.

4. KYC godkänns — eftersom identitetshandlingarna är äkta (stulna) eller professionellt förfalskade.

5. En liten insättning görs — ofta 10–30 dollar — för att aktivera välkomstbonusen.

6. Bonusen spelas igenom med specifika spelval som maximerar det förväntade värdet mot omsättningskravet.

7. Vinster tas ut till betalningsmetoden som är kopplad till identiteten.

8. Kontot överges eller säljs.

Hela cykeln tar 2–7 dagar. En professionell aktör kör 20–40 konton samtidigt i olika stadier av denna pipeline.

Vad operatören såg

iGaming-plattformens bedrägeriteam märkte avvikelser under Q2:

• Bonusutbetalningsförhållandet på nya konton steg från 47 % till 63 % kvartal över kvartal.

• Återkrav (chargebacks) förblev låga — vilket innebar att det inte handlade om stulna kort. Bedrägeriet var strukturellt, inte transaktionellt.

• Supportärenden från återkommande spelare som inte kände igen sin egen kontohistorik ökade.

Teamet misstänkte multikontohantering men saknade verktygen för att bevisa det i skala. Varje konto, betraktat isolerat, såg legitimt ut. Olika namn, olika IP-adresser, olika fingeravtryck, olika dokument.

Vad signalerna faktiskt visade

När signaler från device intelligence tillämpades retroaktivt på kontopopulationen föll 217 konton ihop till en enda aktör. Så här hängde de samman.

Signal 1. Återanvändning av TLS-fingeravtryck

Trots olika IP-adresser och olika webbläsarfingeravtryck delade 217 konton bara 3 unika JA4-hashar. TLS-fingeravtrycket genereras av klientbiblioteket — och även om antidetect-webbläsaren kunde förfalska canvas och WebGL använde den en enda underliggande Chromium-build för TLS-handskakningar. Tre JA4-hashar motsvarade tre versioner av antidetect-webbläsaren som aktören uppgraderade genom.

Signal 2. Beteendemässig tidpunkt över sessioner

De 217 kontona hade registreringstidpunkter klustrade i smala fönster: mestadels 09:00–11:00 UTC på vardagar. Riktiga spelare registrerar sig över hela dygnscykeln. Mänskliga arbetstider i en enda tidszon avslöjade aktören oavsett vilken tidszon varje falsk profil uppgav.

Signal 3. Mönster i bonusspel

Omsättningsstrategin över kontona var nästan identisk: samma spelval (specifika slots med låg varians), samma insatsstorlek i förhållande till bonusen, samma sessionslängd före uttagsbegäran. Riktiga spelare har vitt skilda preferenser. Statistisk enhetlighet över konton är bara möjlig med ett skript eller en spelbok.

Signal 4. Mikromönster i musrörelser

Antidetect-webbläsare förfalskar visuella fingeravtryck men förfalskar inte hur en människa rör sig genom en session. Musspåren över de 217 kontona hade gemensamma egenskaper — Bézierkurvor med konsekventa accelerationsprofiler, specifika mönster där de återvände till samma koordinater före klick. Alla producerade av aktörens automatisering.

Signal 5. Klustring av betalningsslutpunkter

Trots olika namn på kontona dirigerades uttag genom 8 unika kryptovalutaplånböcker. Återanvändning av plånböcker över orelaterade konton är en av de starkaste signaler som finns och kräver ingen detektering på enhetsnivå.

Signal 6. Inkonsekvenser i typsnittsuppräkning

Antidetect-webbläsaren förfalskar typsnittslistor, men bara från ett förinställt bibliotek. Alla 217 konton rapporterade typsnittsuppräkningar från en begränsad pool av 5 mallar. Riktiga användare har unika kombinationer av installerade typsnitt. Mallarna fångades eftersom deras mångfald var för låg.

Signal 7. Klustring av WebGL-renderare

Antidetect-webbläsaren roterar GPU-strängar, men från en fast uppsättning — vanligtvis de 20–30 vanligaste konsument-GPU:erna. Över 217 konton dök GPU-strängar upp med en osannolik fördelning: kraftig överrepresentation av specifika Intel- och NVIDIA-modeller, utan någon representation av AMD-hårdvara. Riktiga användarpopulationer har en bredare GPU-fördelning.

Signal 8. Icke-standardiserade skärmupplösningar

Antidetect-webbläsare genererar skärmdimensioner, men ofta med icke-standardupplösningar för att framstå som unika. Riktiga skärmar är 1366×768, 1920×1080, 2560×1440, 3840×2160 eller en handfull laptopstorlekar. De 217 kontona inkluderade dimensioner som 1892×1063 som ingen riktig skärm använder.

Signal 9. Sessionsöverlappning mellan konton

Två konton loggade in från samma IP inom millisekunder från varandra, men från olika antidetect-profiler. Sessionsloggarna avslöjade att när ett konto loggade ut loggade ett annat in inom sekunder — från en annan IP men med detekterbara anslutningsegenskaper som band dem samman. Proxypoolen roterade men aktörens handlingar gjorde det inte.

Signal 10. Korrelation av insättningskälla

Kryptovalutainsättningar till kontona kom från 12 källplånböcker. Blockkedjeanalys visade att dessa 12 plånböcker fick finansiering från ett enda uppströms växlingskonto. Follow-the-money-analys länkade hela klustret.

Signal 11. Språkliga mönster i supportärenden

Vissa av kontona öppnade supportärenden under de 6 månaderna. Språkmönstren — specifika formuleringar, grammatiska egenheter, felstavningar av samma ord — delades över konton registrerade i olika länder och med olika språkinställningar.

Varför enskilda signaler misslyckas

Vilken som helst av dessa signaler kan vara en tillfällighet. Två konton med samma TLS-fingeravtryck kan vara två användare på samma version av Chrome. Två konton med liknande musspår kan vara två spelare som klickar likadant. Två uttag till samma plånbok kan vara en delad familjeplånbok.

Styrkan ligger i kombinationen. När 217 konton delar TLS-fingeravtryck, plånboksslutpunkter, typsnittsmallar, skärmupplösningar, musmönster och beteendemässig tidpunkt — kollapsar sannolikheten för oberoende till noll.

Vad plattformen gjorde

Efter den retroaktiva analysen implementerade plattformen realtidspoängsättning vid kontoskapande. Varje nytt konto fick en likhetspoäng mot befintliga konton baserad på de 11 signalerna plus 40 till. Över tröskeln flaggades konton för manuell granskning innan bonusberättigande. Under tröskeln fortsatte kontona som vanligt.

Inom 60 dagar återgick förhållandet för bonusmissbruk till baslinjen. Aktören gick antingen vidare till en annan plattform eller investerade betydligt mer i sin infrastruktur — vilket utfall som helst var en vinst.

Mönstret generaliserar

De specifika verktygen förändras. Signalerna utvecklas. Men den underliggande dynamiken — professionella bedrägeriaktörer som bygger infrastruktur för att utvinna värde från generösa förvärvsprogram — är stabil över iGaming, kryptobörser, kampanjtung fintech och alla plattformar som betalar för användarförvärv.

Det enda försvar som fungerar är signalkorrelation på plattformsnivå. Perimeterförsvar (IP-blockeringar, enhetsblockeringar, regler för enskilda konton) misslyckas eftersom aktörerna optimerar runt dem. Signalkorrelation lyckas eftersom aktörer inte billigt kan randomisera allt — kostnaden för verkligt oberoende per konto överstiger utbetalningen per konto.

Det gapet är vad som gör detektering av multikontohantering ekonomiskt genomförbart. Det är också vad som gör det till ett spel som försvararen kan vinna.