Executive Summary​​ 

Les places de marché de "garantie" en langue chinoise, basées sur Telegram, sont de plus en plus populaires parmi les groupes criminels de langue chinoise, malgré la fermeture largement médiatisée de Huione Guarantee en 2025. Bien que ces places de marché de garantie fonctionnent de la même manière que Huione Guarantee, elles se distinguent par le fait qu'elles se concentrent sur des aspects particuliers de la cybercriminalité et qu'elles ciblent des zones géographiques spécifiques. Pour mieux comprendre ces marchés de garantie en langue chinoise, Insikt Group a observé et analysé un autre marché de garantie de plus en plus populaire, appelé Dabai Guarantee ("大白担保").​​ 

Étant donné que les places de marché de garantie comportent généralement des centaines, voire des milliers de canaux publics et privés, ce rapport décrit comment les analystes d'Insikt Group ont navigué à travers un seul des canaux Telegram appartenant à l'importante infrastructure de Dabai Guarantee. La chaîne est connue sous le nom de Dabai Guarantee Public Group 301 (@DBTM301) et son principal objectif est de mener des opérations de "balayage" (en utilisant le site illicite TTPs pour acheter des biens physiques chez des détaillants ou pour effectuer des retraits et des transactions dans des distributeurs automatiques de billets spécifiques à un pays) en Corée du Sud et au Japon. Ce rapport comprend également la structure organisationnelle visible de Dabai Guarantee Public Group 301, les règles clés, le personnel et les fonctions de service à la clientèle.​​ 

Ce rapport sert principalement d'introduction à la compréhension du fonctionnement des places de marché de garantie en langue chinoise basées sur Telegram et à la manière de s'y retrouver. Il comprend également des interprétations de multiples terminologies criminelles utilisées par les criminels de langue chinoise, qui sont essentielles pour comprendre l'évolution de la cybercriminalité chinoise au fil du temps. Le cyberespace et la fraude Campagne promus et lancés sur Dabai Guarantee et d'autres marchés de garantie similaires peuvent avoir un impact négatif sur le commerce de détail, les banques, les fournisseurs de paiement sans contact, les compagnies d'assurance et les personnes vulnérables aux escroqueries Campagne.​​ 

Key Findings​​ 

• Dabai Guarantee est une plateforme qui permet à de multiples groupes de menace parlant chinois et bien implantés dans plusieurs pays de coordonner et de lancer des fraudes et des cyberattaques à l'échelle mondiale Campagne.​​ 
• Les syndicats de langue chinoise utilisent Dabai Guarantee comme plateforme pour faciliter Campagne en ce qui concerne les fraudes financières et de détail, telles que les retraits de billets de banque et les écoutes fantômes.​​ 
• Les groupes criminels qui participent au site Campagne sont souvent cloisonnés, agissent de manière indépendante et limitent le partage d'informations, de ressources et d'objectifs, ce qui crée des obstacles au suivi de leurs activités.​​ 
• Contrairement aux écoutes fantômes conventionnelles ( Campagne ) qui ciblent principalement les entreprises de luxe, les "équipes de balayage" achètent généralement des biens moins coûteux mais toujours considérés comme précieux par les groupes criminels et relativement faciles à transporter (tels que les produits cosmétiques pour femmes et les produits du tabac), susceptibles d'échapper à la détection par les services répressifs. Les équipes de balayage finissent par les revendre sur d'autres marchés pour obtenir de l'argent.​​ 
• La fonction de recherche de robots de Dabai Guarantee permet aux criminels parlant chinois d'entrer facilement des termes de recherche spécifiques et d'être mis en relation avec des groupes publics existants qui gèrent ces sites Campagne.​​ 

Background​​ 

Les places de marché de garantie en langue chinoise ont fait leur apparition vers 2021 avec le lancement de Huione Guarantee, servant d'alternatives fiables aux places de marché traditionnelles du dark web accessibles via le réseau Tor. Les propriétaires des places de marché traditionnelles du dark web, telles que Exchange Market et Chang'An Sleepless Night, exercent un contrôle quasi total sur les annonces et les transactions. Ces places de marché garanties cherchent à éliminer la méfiance résultant de l'escroquerie des groupes criminels, de la fermeture de la place de marché du dark web, des escroqueries potentielles à la sortie et des parties qui n'honorent pas les conditions qui ont été convenues précédemment. En outre, les places de marché de garantie fonctionnent sur des canaux Telegram accessibles au public ; ces canaux publics sont destinés à être trouvés et à attirer un public sinophone plus large qui utilise Telegram, en notant que la plupart des criminels chinois utilisent toujours Telegram plutôt que Tor pour communiquer.​​ 

Les places de marché de garantie sont souvent différentes des transactions peer-to-peer (P2P) typiques entre acteur malveillant. Les places de marché de garantie sont des guichets uniques qui gèrent et facilitent toutes les transactions en crypto-monnaie (généralement Tether/USDT) et les services de médiation entre les parties, alors que les transactions P2P ont généralement lieu directement entre les utilisateurs ou par l'intermédiaire d'un service de dépôt fiduciaire tiers. La crypto-monnaie préférée des personnes parlant chinois ( acteur malveillant ) est l'USDT, une stablecoin indexée sur le dollar américain qui préserve l'anonymat. Les stablecoins sont un type de crypto-monnaie conçu pour maintenir une valeur stable en se rattachant à des actifs de réserve, le plus souvent le dollar américain, afin d'atténuer la volatilité des crypto-monnaies comme le bitcoin. Selon le rapport 2026 Crypto Crime Report de Chainalysis, les stablecoins dominent désormais le paysage des transactions illicites, représentant 84% de l'ensemble du volume des transactions illicites en 2025. Les cybercriminels chinois préfèrent utiliser des monnaies stables telles que l'USDT en raison de la stabilité de leur cours, de la facilité des transferts frontaliers et de leur relatif anonymat. USDT aide également les cybercriminels chinois à contourner les contrôles stricts sur les capitaux et la surveillance bancaire traditionnelle de la Chine pour transférer de l'argent à l'étranger.​​ 

En janvier 2025, Insikt Group a publié un rapport sur la place de marché de garantie en langue chinoise Huione Guarantee, intitulé "Huione Guarantee Serves as a One-Stop Shop for Chinese-Speaking Cybercriminals" (Huione Garantie sert de guichet unique pour les cybercriminels parlant chinois). Le rapport décrit les activités facilitées par Huione Guarantee, notamment la fraude à l'investissement, le blanchiment d'argent et diverses escroqueries en ligne. Malgré la fermeture de Huione Guarantee le 13 mai 2025, Insikt Group a observé que d'autres places de marché de garantie, telles que Tudou et Xinbi, sont intervenues pour combler le vide laissé par la fermeture de Huione Guarantee. Selon Elliptic, Tudou Guarantee cessera également ses activités en janvier 2026, après avoir traité 12 milliards de dollars de transactions. Bien que Xinbi Guarantee ait été précédemment signalé comme ayant fermé, il a depuis été reconstruit et maintient une présence sur Telegram à l'heure où nous écrivons ces lignes. D'autres places de marché de garantie en langue chinoise actives sur Telegram (en plus de Dabai Guarantee) sont Yinuo, BoChuang et Ouyi, mais elles ne font pas l'objet d'un grand nombre de rapports.​​ 

Les places de marché de garantie peuvent également faciliter l'apparition de nouveaux vecteurs d'attaque tels que l'écoute fantôme. En juillet 2025, Insikt Group a publié un rapport intitulé "Ghost-Tapping and the Chinese Cybercriminal Retail Fraud Ecosystem", qui explique en détail comment les cybercriminels et les syndicats de langue chinoise collaborent pour commettre des fraudes dans le commerce de détail en utilisant les tactiques de relais des communications en champ proche (NFC). En février 2026, Insikt Group a observé que Dabai Guarantee est devenu un acteur majeur de la cybercriminalité en langue chinoise. Son infrastructure basée sur Telegram ressemble à celle de Huione Guarantee et offre des services malveillants similaires à ceux annoncés sur Huione Guarantee, aujourd'hui disparu.​​ 

Aperçu de la garantie Dabai​​ 

Dabai Guarantee est une place de marché basée sur Telegram, composée de milliers de groupes Telegram publics et privés en langue chinoise, qui fonctionne de manière similaire aux garanties Huione, Tudou et Xinbi ; beaucoup de ces services s'adressent aux "petits et moyens clients". Cependant, les opérateurs de Dabai Guarantee ne disposent pas d'un site web Clearnet ; ils opèrent uniquement sur Telegram, probablement pour des raisons de sécurité opérationnelle (OPSEC). Les opérateurs de Dabai Guarantee ont probablement choisi de ne pas avoir de site web Clearnet à la lumière des "mauvaises pratiques OPSEC" de Huione - le site web Clearnet de Huione Guarantee a rendu le suivi beaucoup plus facile pour les responsables de l'application de la loi et les chercheurs, ce qui a probablement contribué à la sanction de l' organisation par le FinCEN en mai 2025. La plateforme de Dabai est peuplée de fournisseurs qui proposent divers services facilitant les activités cybercriminelles et frauduleuses, notamment des méthodes et des services de blanchiment d'argent, la compromission de comptes de médias sociaux et de commerce électronique, de cartes SIM, d'informations personnelles identifiables (PII), des logiciels malveillants en tant que service (MaaS), la technologie deepfake, des services de contournement de la connaissance du client (KYC), et bien plus encore.​​ 

Dabai Guarantee a probablement été fondée en décembre 2024, d'après la date de création de sa chaîne Telegram. Il existe actuellement six canaux Telegram principaux officiels connus :​​ 

• "公群导航 @dabai" (@dabai_a) : "Groupe public à des fins de navigation", 15 372 abonnés, à l'heure où nous écrivons ces lignes.​​ 
• "大白担保大群" (@dabai_c) : "Dabai Guarantee Big Group", 19 225 membres, à l'heure où nous écrivons ces lignes.​​ 
• "大白供需频道" (@dabaiyajing) : "Chaîne de l'offre et de la demande de Dabai", 17 085 abonnés, à l'heure où nous écrivons ces lignes.​​ 
• "大白担保规则" (@dabai_e) : "Règles de garantie Dabai", 428 abonnés, à l'heure où nous écrivons ces lignes.​​ 
• "大白担保客服人员名单" (@dabai_f) : "Dabai customer service list", 527 abonnés, à l'heure où nous écrivons ces lignes.​​ 
• "大白担保 @dabai" (@dabai) : "Canal bot de garantie Dabai"​​ 

Le canal de navigation public de Dabai Guarantee, 公群导航 @dabai, est utilisé pour diriger acteur malveillant vers différents canaux Telegram privés/publics afin de coordonner et de collaborer sur Campagne en ciblant les victimes chinoises et non chinoises. Vous trouverez ci-dessous une liste des catégories de services proposés sur les groupes Telegram publics de Dabai Guarantee. Chaque catégorie comporte des sous-catégories pour des services plus spécifiques. Chaque groupe Telegram public dispose d'un numéro de groupe unique, du montant du dépôt effectué auprès de Dabai Guarantee en USDT, des coordonnées des administrateurs du groupe et des représentants du service clientèle, des règles de transaction et d'un portefeuille de crypto-monnaies dédié. Vous trouverez plus d'informations dans la figure 1. Ces canaux spécialisés sont les suivants :​​ 

• "海外钓鱼类 ("hameçonnage à l'étranger") - Coordonner l'hameçonnage Campagne contre des personnes résidant en dehors de la Chine.​​ 
• "买卖类" ("Trading") - Acheter et vendre des cartes-cadeaux, des bases de données, des cartes SIM, des comptes de brûleurs de médias sociaux, des adresses IP et des biens physiques.​​ 
• "引流类 ("Méthodes de génération de trafic") - Envoi de SMS à l'étranger, promotions Baidu, scripts de chat et autres services.​​ 
• "承兑类" ("Méthodes d'acceptation") - Les méthodes de paiement acceptées par les commerçants comprennent Alipay, WeChat Pay et les crypto-monnaies.​​ 
• "通道合作类" ("Voies de coopération") - Équipes de cortège pour mener des opérations à l'étranger, telles que la collecte ou la réalisation de paiements via des espèces et des crypto-monnaies, et des opérations logistiques pour déplacer des biens physiques.​​ 
• "短视频类" ("Vidéos courtes") - Vidéos courtes en douyin pour les promotions​​ 
• "合作类" ("Coopération") - Prêts d'identifiants, identifiants Apple, services de livraison par coursier et téléphones portables à brûleur.​​ 
• "服务类 ("Services") - Services de vérification de SMS, de recherche de fichiers et de conception graphique.​​ 
• "卡商类 ("Carding Merchants") - Blanchiment d'argent par le biais de cartes bancaires et de retraits d'argent sans contact et sans carte​​ 
• "搭建类 ("Développeurs") - Services d'installation de logiciels et de robots, et services de signature Apple/serveur/VPN/domaine.​​ 
• "其他类" ("Autres") - Autres services de fraude divers, services d'escorte sociale, usurpation d'identité policière, intelligence artificielle (AI) et services liés à l'optimisation des moteurs de recherche (SEO).​​ 
• "游戏类公群 ("Groupes publics liés aux jeux de hasard") - Jeux de hasard en ligne et jeux vidéo​​ 

Règles de Dabai Guarantee (@dabai_e)​​ 

Le canal de règles de Dabai Guarantee (@dabai_e) a publié des règles pour empêcher l'usurpation d'identité sur la place de marché et pour empêcher les utilisateurs de créer leurs propres "groupes publics" qui ne sont pas officiellement réglementés par les administrateurs de Dabai Guarantee. Certaines de ces règles mettent également en évidence les mesures OPSEC de Dabai Guarantee pour éviter les escroqueries et les usurpations d'identité. Le texte original chinois figure à l'annexe B. Voici quelques règles essentielles :​​ 

• Les membres ne sont pas autorisés à créer leur propre canal de groupe public sans l'approbation de Dabai Guarantee`s.​​ 
• Les membres ne sont pas autorisés à effectuer des transactions privées avec d'autres parties ou plateformes, car Dabai Guarantee ne garantit que les transactions effectuées sur sa plateforme. Dabai Guarantee ne fournit pas non plus d'assurances pour les transactions avec le "patron" du groupe public ou tout autre administrateur. Cela signifie qu'aucun individu ne doit effectuer de transactions directement avec le patron et qu'il doit plutôt utiliser le mécanisme de transfert de fonds de Dabai Guarantee.​​ 
• Les personnes qui entament une session de chat avec vous sont des escrocs (100% ) ; les membres doivent les bloquer et s'abstenir de chatter avec eux.​​ 
• L'adresse de crypto-monnaie appartenant à Dabai Guarantee est unique, et toute personne envoyant d'autres adresses de dépôt est un escroc.​​ 
• Une fois que les membres ont mis en jeu leurs crypto-monnaies en tant que dépôts, ils doivent envoyer des captures d'écran du dépôt à @dabai pour vérification et confirmation. Toute perte résultant de l'absence de contact avec @dabai sera de la responsabilité du membre.​​ 

Étude de cas : Groupe public 301​​ 

Structure du groupe​​ 

Pour ce rapport, nous utiliserons le canal Telegram "Public Group 301", qui appartient à Dabai Guarantee, comme étude de cas. Il ne s'agit pas d'une analyse complète de l'infrastructure massive de Dabai Guarantee et des autres places de marché de garantie en langue chinoise. Il est difficile de quantifier avec précision le nombre de canaux "Public Group" et de groupes de menace sur Dabai Guarantee, car les numéros attribués aux groupes publics ne sont pas classés par ordre chronologique, ce qui entraîne un manque de visibilité - contrairement à Huione Guarantee, qui disposait d'un site web clearnet répertoriant les canaux des groupes publics à rediriger vers acteur malveillant. Bien qu'il existe des milliers de canaux appartenant à Dabai Guarantee, la compréhension de la structure du Public Group 301 peut au moins donner un aperçu de la manière dont acteur malveillant utilise Dabai Guarantee dans son site Campagne.​​ 

Sur les places de marché de garantie, acteur malveillant cherchant à lancer Campagne dépose généralement des USDT pour lancer un groupe Telegram public approuvé par Dabai Guarantee. Ce modèle permet aux syndicats criminels de ne pas avoir à traiter directement avec d'autres acteur malveillant, mais de faire appel à Dabai Guarantee en tant que médiateur. Dans le cas du groupe public 301 de Dabai Guarantee, les groupes de menace affiliés n'ont pas à s'engager directement avec le chef du groupe, @J0hnNo1, et reçoivent à la place des paiements de Dabai Guarantee après avoir accompli les tâches demandées par @J0hnNo1. Les places de marché de garantie telles que Huione, Tudou, Xinbi et Dabai cherchent à éliminer le "manque de confiance" entre les personnes de langue chinoise acteur malveillant. Ces places de marché sont conçues pour devenir des plateformes de confiance qui favorisent la coordination et la coopération entre différents groupes criminels de langue chinoise pour atteindre leurs objectifs.​​ 

Insikt Group a navigué dans l'infrastructure Telegram du groupe public 301 afin d'identifier le flux de redirection. Comme le montre la figure 1, chaque catégorie contient un lien hypertexte qui redirige vers d'autres canaux. Dans la figure 1, la sélection de la catégorie 5, sous-catégorie 2 ("海外扫货车队", ou "Overseas Goods Sweeping Team") redirige vers un message épinglé, comme le montre la figure 2. Ce message énumère quatre canaux publics différents ("公群") contenant Campagne ciblant les États-Unis, le Canada, la Corée du Sud et le Japon.​​ 

Comme le montre la figure 2, "公群" fait référence à des canaux de groupes publics uniques destinés à des fins ou des opérations spécifiques. Chaque canal public contient un identifiant numérique de groupe et un montant de dépôt "U", où "U" fait référence aux USDT. Par exemple, "公群935已押2000U" fait référence au groupe public numéro 935, avec 2 000 USDT déjà déposés dans la garantie Dabai pour démarrer le site Campagne. La convention d'appellation de ces groupes publics est "dbtmxxx" ; dans ce cas, le groupe public numéro 935 aura le canal Telegram @dbtm935. Lorsque vous sélectionnez la deuxième option, "公群301已押1000U韩国，日本扫货组", qui signifie Public Group Number 301, avec 1 000 USDT déjà déposés pour "balayer les marchandises" en Corée du Sud et au Japon, le canal Telegram correspondant est @dbtm301.​​ 

Après une enquête et une analyse plus approfondies du canal, Insikt Group estime que l'expression "sweeping goods" fait référence à l'utilisation de moyens illicites, tels que l'écoute fantôme, pour acheter des biens physiques dans des magasins de détail (en l'occurrence, en Corée du Sud et au Japon). Cette activité comprend également les retraits d'argent dans les distributeurs automatiques de billets japonais ou sud-coréens.​​ 

Personnel clé impliqué dans le groupe public 301​​ 

Les termes suivants sont importants pour comprendre les opérations des criminels impliqués dans le groupe public 301 et, plus largement, l'ensemble de l'infrastructure de la garantie Dabai :​​ 

• Patron ("群老板"): Le coordinateur principal qui supervise les opérations d'un groupe. Ces personnes ne sont pas directement liées à Dabai Guarantee et fonctionnent davantage comme des clients, utilisant l'infrastructure de Dabai Guarantee pour effectuer des tâches et promettant des paiements en USDT à la fin de celles-ci. Le patron démarre généralement un Campagne en effectuant des dépôts importants dans les adresses de crypto-monnaie USDT de Dabai Guarantee ("上押地址") afin que les administrateurs de Dabai Guarantee approuvent la création d'un canal de groupe public. Dans le groupe public 301 de Dabai Guarantee (@dbtm301), @J0hnNo1 est le patron du canal. Nous avons observé que ce site acteur malveillant a l'intention de procéder à des écoutes fantômes et à des fraudes Campagne au Japon et en Corée du Sud, avec pour objectif principal d'obtenir des biens physiques, de l'argent liquide et des fonds par le biais de transactions non autorisées. Une fois que le patron a confirmé la réception des articles et qu'il est satisfait du résultat, il peut demander à Dabai Guarantee de libérer le paiement aux criminels qui ont participé à la tâche demandée.​​ 
• Administrateurs de canaux ("管理员"): Le personnel de Dabai Guarantee qui sert d'intermédiaire entre le patron et les autres syndicats chinois, en veillant à ce que le patron reçoive les objets et l'argent physique, tandis que les syndicats chinois sont payés en USDT. Ce sont ces personnes qui traiteront les paiements. Les administrateurs de la chaîne inspecteront également les preuves vidéo fournies par les équipes de balayage et de "réception des marchandises" et attendront la confirmation du patron que tout est satisfaisant avant de verser les paiements aux différents groupes criminels de langue chinoise.​​ 
• Syndicats chinois ("犯罪组织"): Équipes chargées de fournir les personnes ("mules") pour former les équipes de balayage et de réception des marchandises. Ces syndicats se coordonneront avec le patron et recevront un paiement en USDT après avoir effectué les tâches requises.​​ 
• Équipes de balayage ("扫货队"): Personnel chargé par le patron ou d'autres administrateurs d'obtenir des biens matériels ou d'effectuer des retraits d'argent aux distributeurs automatiques, généralement par des méthodes illégales telles que les écoutes fantômes ou la fraude financière, et de transférer ensuite les biens aux équipes de "réception des biens".​​ 
• Équipes de réception des marchandises​​  ("收货队"): Personnel chargé par le patron ou leurs syndicats chinois respectifs de recevoir les marchandises des équipes de balayage ; les articles devront finalement atteindre les "équipes d'inspection des marchandises".​​ 
• Équipes d'inspection des marchandises​​  ("检货队"): Personnel chargé d'inspecter physiquement les marchandises et les espèces livrées par les équipes de balayage ou de réception des marchandises, généralement désigné par les patrons. Lorsque l'équipe "réception des marchandises" est nommée par le patron, il est également possible que les équipes "réception des marchandises" et "inspection des marchandises" soient composées du même personnel, chacun remplissant des rôles multiples. Ces équipes informeront le patron si les marchandises physiques sont satisfaisantes, et le patron demandera à Dabai Guarantee de libérer le paiement aux équipes de balayage et de réception des marchandises.​​ 

Insikt Group estime que les membres des équipes de balayage, de réception et d'inspection des marchandises jouent le rôle de mules, et que ces équipes sont probablement composées de touristes parlant chinois qui peuvent amasser de grandes quantités de biens matériels et d'argent liquide et quitter les pays ciblés dès que possible. Il est également probable que les groupes de langue chinoise comptent des membres qui résident depuis longtemps dans les pays visés par les opérations, tels que la Corée du Sud et le Japon.​​ 

La figure 3 est une illustration simplifiée de la structure organisationnelle du groupe public 301 de Dabai Guarantee. La barrière à l'entrée pour participer aux "opérations de balayage" est faible, puisqu'il suffit d'avoir le droit légal d'entrer au Japon ou en Corée du Sud, de se faire passer pour un touriste et de suivre les instructions données par le patron et d'autres administrateurs. Nous estimons qu'il y a probablement plus d'une douzaine d'équipes de balayage liées à Dabai Guarantee qui opèrent rien qu'au Japon et en Corée du Sud. Les équipes de balayage sont probablement chargées d'obtenir certains biens et de l'argent liquide dans des zones très spécifiques et ne se coordonnent pas entre elles parce qu'elles sont déployées par différents syndicats chinois. Ce modèle suggère que les opérations sont cloisonnées, les équipes agissant comme des unités indépendantes et isolées qui limitent le partage des informations, des ressources et des objectifs.​​ 

La figure 4 montre la structure Telegram du groupe public 301, où @J0hnNo1 est le patron du canal. Le canal est également composé de plusieurs membres du personnel du service clientèle de Dabai Guarantee, qui jouent le rôle d'administrateurs. Le créateur original de la chaîne est @dbwb22 ; le compte Telegram n'est plus actif, et @dbwb22 n'est plus répertorié comme l'un des agents officiels du service clientèle de Dabai Guarantee.​​ 

La répartition de ces équipes complique considérablement les efforts déployés par les chercheurs et les services répressifs pour suivre et décourager ces activités criminelles. Par exemple, si les membres de l'"équipe de balayage A" sont arrêtés pour fraude financière ou au détail, les services répressifs devront encore localiser les membres des "équipes de réception des marchandises" et des "équipes d'inspection des marchandises" avant de pouvoir décoder l'identité du patron, qui coordonne très probablement les opérations depuis un lieu situé en dehors de la juridiction du Japon ou de la Corée du Sud, tel que le Cambodge ou le Myanmar. En outre, ces équipes de balayage sont très probablement composées de mules de bas niveau qui sont considérées comme "sacrifiables" par leurs recruteurs syndicaux chinois. Les captures d'écran des figures 6, 7, 8, 9 et 10 illustrent les opérations cloisonnées menées par différentes équipes de balayage.​​ 

La figure 5 montre le personnel du service clientèle de Dabai Guarantee @dbtm9 aidant à créer le canal Telegram public 301 le 21 mars 2025, et servant d'administrateur clé du canal. Cette personne sert de médiateur pour faciliter les transactions et les échanges entre le patron et les autres acteur malveillant. Le montant total des USDT déposés à cette date était de 485 USDT ; à l'heure où nous écrivons ces lignes, il est passé à 1 000 USDT. L'objectif de ce canal est d'encourager les autres acteur malveillant à coopérer en participant à des opérations de balayage et de réception de marchandises au Japon et en Corée du Sud. Dans la conversation ci-dessous, le patron a déclaré que le montant du dépôt augmentera proportionnellement au montant de la transaction. Insikt Group évalue que cela signifierait la somme des échelles de dépôt avec la taille des opérations au Japon et en Corée du Sud.​​ 

La figure 6 montre que le patron cherche à recruter des équipes de balayage pour mener des opérations à Séoul, en Corée du Sud. L'objectif principal est d'acheter des produits cosmétiques, et une fois les marchandises livrées, les récompenses seront "élevées". La dernière phrase utilise le terme "速度快", ce qui signifie que le patron accueille favorablement toute équipe de balayage capable de mener et d'achever ces opérations rapidement.​​ 

La figure 7 montre une équipe de balayage qui achète des produits liés au tabac de la marque Terea dans un magasin CU, une chaîne de magasins de proximité sud-coréenne située à Séoul, en Corée du Sud. Il est clair que le patron possède des marchandises de marques spécifiques qu'il souhaite obtenir, et ces marchandises peuvent être revendues en espèces sur d'autres marchés étrangers à une date ultérieure, probablement à un prix inférieur afin d'obtenir des devises fortes le plus rapidement possible. Insikt Group estime que les articles ont très probablement été achetés à l'aide du vecteur d'attaque ghost-tapping ou d'informations de carte de paiement volées. Cette évolution reflète le passage d'un ciblage des détaillants de luxe à celui d'entreprises de plus petite taille, probablement pour éviter d'éveiller les soupçons des autorités chargées de l'application de la loi.​​ 

La figure 8 montre un ticket de caisse d'un Apple Store mentionnant des produits Apple non spécifiés pour un montant total de 499 600 yens (environ 3 145,66 dollars), à l'heure où nous écrivons ces lignes). Le patron du Public Group 301, @J0hnNo1, a également déclaré : "Qui a dit qu'il n'y avait pas de grandes transactions au Japon ? Un seul reçu s'élève à 500 000 yens." Il s'agit probablement d'un message encourageant les syndicats à envoyer davantage d'équipes de balayage pour acquérir autant de produits Apple que possible, tout en laissant entendre que les récompenses pourraient être lucratives.​​ 

La figure 9 montre que des Vietnamiens sont également impliqués dans des opérations de balayage. Dans le coin supérieur gauche de l'iPhone sur l'image, la phrase vietnamienne "Không có SIM" signifie "Pas de carte SIM." Cela indique que la personne qui tient le téléphone est très probablement une personne parlant le vietnamien qui effectue des transactions bancaires non autorisées à l'aide d'iPhones pirates. Chaque téléphone portable semble porter une étiquette, ce qui est très similaire aux tactiques, TTPs, TTPs (TTPs) que nous avons documentées dans notre rapport Insikt Group sur les écoutes fantômes. Il est également probable que cette personne comprenne le japonais en plus du chinois, car elle a été observée en train d'interagir avec une application bancaire japonaise qui affichait les transactions effectuées. Les transactions présentées dans la capture d'écran sont datées entre le 30 juillet 2025 et le 28 août 2025. La capacité d'utiliser des applications bancaires japonaises est un indicateur que cette personne réside légalement au Japon. En général, la plupart des banques japonaises exigent des étrangers qu'ils clôturent leurs comptes bancaires avant de quitter définitivement le pays ; ces règles sont appliquées par les grandes banques japonaises telles que la Shinsei Bank.​​ 

La figure 10 montre ce qui semble être une tentative de retrait ou de transfert d'argent à un distributeur japonais d'une banque non spécifiée. Cette capture d'écran est également présentée comme un exemple de ce que les équipes de balayage chargées du retrait et du transfert d'argent liquide sont censées faire et sont tenues de faire.​​ 

La figure 11 montre une transaction en crypto-monnaie de 10 629 USDT via le réseau Tron (TRX) à une équipe de balayage pour la réussite de la "mission". Le patron @J0hnNo1 a remercié le coordinateur de l'équipe de balayage sans les identifier. La phrase exacte utilisée lors de la publication de l'image était "感谢老板信任", ce qui se traduit en chinois par "Merci à votre patron de m'avoir fait confiance". Dans ce contexte, le terme "patron" fait référence aux syndicats chinois qui fournissent les équipes de balayage nécessaires à la réussite des opérations. Sur l'ensemble du canal 301 du groupe public Dabai Guarantee, de nombreuses captures d'écran ont montré que de telles transactions en crypto-monnaies étaient envoyées aux équipes ayant participé aux opérations de balayage. Le patron expurge les adresses des portefeuilles de crypto-monnaies des destinataires afin d'empêcher les forces de l'ordre de les retrouver. L'adresse du portefeuille TRON utilisée par le groupe public 301 est TByDzGWCirpCABaUorkhz5eWhjyDdYWgSo, comme le montre la figure 11; cette adresse a facilité un total de 2 943 transactions au moment où nous écrivons ces lignes.​​ 

Fonctions du personnel et du service clientèle de Dabai Guarantee (@dabai_f)​​ 

Dabai Guarantee tient à jour une liste de son personnel officiel et de ses agents du service clientèle sur son canal Telegram @dabai_f afin de faciliter la création de canaux de groupes publics et les transactions. Ce système permet également d'éviter les usurpations d'identité et les escroqueries. Les membres doivent contacter directement les agents du service clientèle pour toute question ou préoccupation. Les équipes du personnel et du service clientèle assurent généralement les fonctions énumérées dans les tableaux 1 et 2; les agents du service clientèle sont répertoriés dans la figure 12 en fonction de leur fonction et de leur numéro de téléphone sur Telegram.​​ 

Table 1:​​  Liste du personnel officiel et des fonctions de Dabai Guarantee (sources : Telegram, Recorded Future)​​ 

Table 2:​​  Liste des agents du service clientèle de Dabai Guarantee (sources : Telegram, Recorded Future)​​ 

Un système automatisé de robots dirige les syndicats chinois vers les groupes publics pertinents pour les produits existants. Campagne​​ 

Insikt Group a analysé le bot de l'administrateur public @dbdbqg_bot pour observer comment un utilisateur de Dabai Guarantee serait acheminé par la plateforme pour participer à des activités cybercriminelles. Pour utiliser cette fonctionnalité, les personnes doivent saisir des termes de recherche en mandarin. Nous avons utilisé les termes 远程 (distant) et 数据 (données), ce qui nous a permis d'obtenir respectivement trois et dix chaînes publiques. Lors de la recherche du terme "远程" (remote), qui fait généralement référence à l'écoute fantôme Campagne impliquant des méthodes de relais NFC, trois chaînes du groupe public sont apparues comme des résultats pertinents. Lors d'une recherche sur le terme "数据" (données), qui fait généralement référence à des bases de données, dix chaînes du groupe public spécialisées dans les ensembles de données sont apparues dans les résultats. En outre, l'utilisation d'un pays comme terme de recherche, tel que 美国 (États-Unis), renverra également des résultats concernant des fraudes ou des cyber Campagne ciblant les États-Unis. Cette fonction bot montre à quel point il est facile pour les groupes criminels de rechercher des groupes pertinents, de déterminer les sites Campagne auxquels ils souhaitent participer et d'identifier les types d'ensembles de données qu'ils souhaitent se procurer. Le tableau 3 indique le nombre de chaînes du groupe public impliquées dans la fraude ou le cyber Campagne pour les termes de recherche ; les détails spécifiques ne sont pas répertoriés en raison de certains noms de Entité dans les chaînes du groupe public appartenant à la garantie Dabai.​​ 

Table 3:​​  Résultats de la recherche sur les canaux du groupe public de Dabai Guarantee en utilisant la fonction bot (sources : Telegram, Recorded Future)​​ 

Outlook​​ 

Même si des places de marché de garantie telles que Huione Guarantee ont été fermées, de nombreux criminels chinois se tournent probablement vers ces places de marché de garantie basées sur Telegram pour vendre des biens illicites et proposer leurs services. Les marchés de garantie tels que Dabai Guarantee ont démontré leur capacité à coordonner des opérations dans des pays tels que le Japon, la Corée du Sud, le Canada et les États-Unis en utilisant des personnes parlant chinois qui voyagent ou résident dans ces régions pour commettre des fraudes financières et au détail. Avec le temps, Dabai Guarantee pourrait s'imposer comme une plateforme de dépôt fiduciaire de confiance pour les syndicats chinois, malgré la concurrence croissante des marchés de garantie existants et nouveaux. Il est également possible que les opérateurs d'autres marchés de garantie exécutent une arnaque à la sortie, ce qui entraînerait une perte de confiance des criminels chinois dans l'ensemble des marchés de garantie.​​ 

acteur malveillant comme @J0hnNo1, le chef du Dabai Guarantee Public Group 301, cherchent à obtenir des biens matériels et des devises étrangères par des moyens illégaux, en donnant des instructions spécifiques à différents syndicats pour qu'ils atteignent leurs objectifs. Ces opérations sont modulables à la demande et deviendront plus difficiles à suivre et à perturber au fil du temps en raison de la nature cloisonnée des équipes de balayage et de réception des marchandises. Ce rapport présente les activités et la structure d'un seul groupe (le groupe public 301), qui n'est qu'un groupe parmi des centaines d'autres dans le cadre de l'infrastructure décentralisée et croissante de Dabai Guarantee. Le ghost-tapping et les retraits aux guichets automatiques sont couramment utilisés par les criminels de langue chinoise pour blanchir de l'argent, et nous continuerons probablement à voir de plus en plus de acteur malveillant faciliter ce type de criminalité financière et de vente au détail sur de multiples marchés de garantie.​​ 

Insikt Group estime que les syndicats chinois continueront à recruter et à déployer des personnes non chinoises possédant des compétences linguistiques spécifiques pour participer au site Campagne, comme le montre l'exemple du Vietnamien mentionné à la figure 9.​​ 

Insikt Group évalue que les places de marché de garantie se sont consolidées en tant qu'alternative majeure aux places de marché traditionnelles en langue chinoise du dark web. Ce modèle décentralisé devient de plus en plus populaire au sein de la diaspora criminelle mondiale de langue chinoise, permettant aux criminels ne disposant pas de compétences sophistiquées de se coordonner avec des syndicats et de participer à des opérations nécessitant des éléments physiques.​​ 

Annexe A : Glossaire des termes​​ 

Annexe B : Règles clés rédigées en mandarin​​ 

(Traduction disponible à la page 7)​​ 

⚠️交易注意事项⚠️​​ 

1.进群交易请先看置顶里面的群规则，交易过程请严格按照交易规则进行，群内所有事情请联系群内交易员 ，私下交易或者其他地方交易，后果自负，大白担保只担保本群内的交易。​​ 

2.大白担保业务只担保我们的公群内已经报备过的交易，我们不为公群老板或者其他管理员个人做担保，公群群老板对自己的业务员负责，如果群内业务员违规操作，由公群老板负责。​​ 

3.禁止以公群名义私下拉群做单，禁止金额不透明，如被用户举报后果自负。​​ 

4.大白担保工作人员不会主动私聊你，主动私聊你的100%都是骗子，请直接拉黑。​​ 

5.大白担保的上押地址是唯一的,发其它上押地址的一定是骗子,请大家远离骗子。​​ 

6.客户上押后,请及时发送上押截图与我们 @dabai 核实确认,如长时间未找 @dabai 核实确认押金而造成的损失由自己负责。​​ 

Ressources connexes​​