外媒还原 Twitter 攻击事件经过：FBI 是如何锁定三名黑客的

就上月中旬发生的 Twitter 攻击事件，今天美国执法部门对三名嫌犯发起公诉。根据美国司法部披露的法庭文件，外媒 ZDNet 拼凑出了本次攻击事件的时间线，以及美国调查人员是如何追踪到这三名黑客的。

根据美国司法部今天公布的三份起诉书，本案涉及的三名嫌犯分别包括：

Mason Sheppard：网名 Chaewon，现年 19 岁，来自英国 Bognor Regis [起诉书]

Nima Fazeli：网名 Rolex，现年 22 岁，来自美国佛罗里达州奥兰多市[起诉书]

Graham Ivan Clark：网名 Kirk，现年 17 岁，来自美国佛罗里达州坦帕市[起诉书]

根据法庭文件，整个黑客攻击事件始于今年5月3日，当时居住在美国加州的 Graham Ivan Clark 获得了 Twitter 部分网络的访问权限。不过目前并不清楚5月3日至7月15日（黑客实际发起攻击的当天）之间发生了什么事情，但 Clark 在获得权限之后似乎并没有立即采取攻击行动。

根据纽约时报的跟踪报道，Clark 最初获得的是 Twitter 内部 Slack 工作空间之一的访问权限，而不是 Twitter 本身。 纽约时报在报道中称，该黑客发现了 Twitter 的一个技术支持工具的凭证被固定在该公司的 Slack 频道上。

这个工具的图片在黑客入侵当天在网络上曝光，该工具允许 Twitter 员工控制 Twitter 账户的所有方面。不过这个工具的凭证并不足以访问 Twitter 后台，在 Twitter 官方博客中表示，这个管理后台的账户受到了双因素认证（2FA）的保护。

目前还不清楚 Clark 花了多少时间来做这件事，不过在同一篇调查报告中称黑客利用 “电话鱼叉式网络钓鱼攻击 “欺骗了部分员工，并获得了他们账户的访问权限，而且 “通过了[Twitter]的双因素保护”。根据 Twitter 的说法，这发生在7月15日，也就是黑客攻击的当天。

在攻击事件发生之后，美国 FBI 发现 Clark 在 Discord 上的网名称之为“Kirk#5270”。当时，他联系了另外两个人，帮助将牟取的比特币换成现金。

法庭文件中包含的聊天记录显示，克拉克(Discord 用户 “Kirk#5270”)与 OGUsers 的 Discord 频道的另外两名用户接触，OGUsers 是一个专门为黑客出售和购买社交媒体账号的论坛。

在聊天记录中，克拉克接近了另外两名黑客（Fazeli为Discord用户 “Rolex#037″，Sheppard为Discord用户 “ever so anxious#0001″），并声称自己在Twitter工作。

他通过修改 Fazeli(Rolex#037)拥有的一个账号的设置来证明自己的说法，还向Fazeli出售了@foreign Twitter账号的访问权限。

此外，Clark 还向 Sheppard 出售了多个短 Twitter 账号的使用权，包括 @xx, @dark, @vampire, @obinna 和 @drug。

由于 Clark 让另外两人相信了他的权限级别，三人达成协议，在OGUsers论坛上发布广告，宣传克拉克劫持Twitter账号的能力。

在发布这些广告后，据信有多人购买了 Twitter 账户的访问权限。在美国检察官执行办公室发布在 YouTube 上的录音信息中，调查人员表示，他们仍在调查多名参与黑客攻击的用户。

据信，其中一名当事人负责在7月15日购买名人验证Twitter账户的访问权限，并发布了一条加密货币诈骗信息。

Barrack Obama, Joe Biden, Bill Gates, Elon Musk, Jeff Bezos, Apple, Uber, Kanye West, Kim Kardashian, Floyd Mayweather, Michael Bloomberg等人的账户上随后被发现，要求用户向几个地址发送比特币。

法庭文件称，操作此次骗局中使用的钱包的黑客获得了12.83个比特币，约合11.7万美元。随后的调查还显示，加密货币交易所 Coinbase 在黑客入侵当天就阻止了向诈骗地址的交易，最终阻止了另外 28 万美元被送到骗子手中。