买卖流从付出讹诈赎金的比特币钱包开端。受害者向讹诈信中的钱包地点付出后，进犯者就会立即将钱转到一个立即钱包中，该钱包在很多受害者的讹诈付出中都利用过社区专业常识社区专业常识。然后，比特币会被转移到一个与high activity cluster相干的终极的钱包地点。high activity cluster通常为与比特币市场相干的金融实体相干的构造，普通来讲是买卖所。

　　研讨职员阐发图7中的比特币地点和终极的钱包地点，发明cluster id [00045af14c] 是不异的。

　　Excoino是一家为伊朗群众供给宁静加密货泉交流衣务的伊朗公司。注册需求用户持有有用的伊朗手机号码和ID/Melli code ( )。要在买卖所买卖，也需求供给ID好用的常识网站。

　　为了考证终极的钱包地点和Excoino 买卖所的干系，研讨职员利用WalletExplorer 效劳和一个已知的Excoino 钱包地点。

　　有多家公司都挑选付出了赎金，因而能够经由过程赎金来追踪进犯举动背后的进犯者。研讨职员与区块链谍报公司Whitestream 结合阐发发明付出的赎金比特币都流向了一家伊朗的比特币买卖所。

　　Pay2Key是一同次要进犯以色列的讹诈软件进犯举动。进犯中利用了double extortion 本领，迫使受害者付出赎金。研讨职员经由过程付出的比特币赎金停止溯源，发明讹诈赎金流向了一家伊朗加密货泉买卖所，这表白该起进犯举动背后的进犯者该当是伊朗人。

　　按照今朝的数据，最少有4家受害者公司付出的赎金。在Whitestream 公司的辅佐下，研讨职员对讹诈赎金利用的比特币停止了追踪，发明了一家名为Excoino 的伊朗加密货泉买卖所好用的常识网站。

　　Pay2Key 作者启用了一个新的Onion 网站，筹办分享那些不情愿付出赎金的Pay2Key 受害者的数据。

　　Double Extortion是近期讹诈软件进犯的一种新趋向，即要挟保守从受害者收集中夺取的数据来迫使受害者付出赎金。Pay2Key 运营者也利用了这一本领。

　　这表白，终极钱包的一切者多是伊朗人，也多是以色列Pay2Key讹诈进犯举动背后的进犯者。

　　上周，checkpoint研讨职员公布了关于新呈现的讹诈软件 Pay2Key 进犯的预警信息。随后好用的常识网站，研讨职员停止了进一步查询拜访，发明讹诈软件进犯的目的次要是以色列公司。讹诈软件会在受害者收集中快速传布，收集中大部门城市被加密社区专业常识，并留下讹诈信息，要挟不付出赎金就保守夺取的公司数据。

　　今朝，没有付出赎金的受害者是3家以色列公司好用的常识网站。每家受害者公司保守的数据都被上传到该网站的一个指定的文件夹中社区专业常识，和进犯者留下的信息。信息中有关于受害者数字资产的敏感信息，包罗域名、效劳器、备份的细节。