# PhishDestroy — ar/xmrwallet-exposed ================================================================ Title: xmrwallet يُكشف النقاب عنها: 10 سنوات من المفاتيح المسروقة Canonical: https://phishdestroy.io/ar/xmrwallet-exposed Published: 2026-03-16T00:00:00 Updated: 2026-03-16 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: xmrwallet, xmrwallet.com, Monero scam, XMR theft, private key theft, transaction hijacking, crypto wallet scam, Nathalie Roy, nathroy, DDoS-Guard, PhishDestroy, raw_tx, session_key, view key exfiltration OG image: https://phishdestroy.io/assets/og-cards/articles/xmrwallet-exposed-og.png ## SUMMARY ---------------------------------------------------------------- الكشف عن موقع xmrwallet.com: 10 سنوات من سرقة المفاتيح الخاصة لعملة «مونيرو» واختطاف المعاملات. تم تقديم أدلة تشفيرية كاملة. ## STRUCTURE ---------------------------------------------------------------- - الكشف عن xmrwallet.com: 10 سنوات من سرقة المفاتيح واختطاف المعاملات - الواجهة - Production مقابل GitHub: اختلاف تام - الهجوم رقم 1: تسريب مفتاح العرض - بنية session_key - أكثر من 40 نسخة من مفتاحك الخاص - الهجوم رقم 2: اختطاف المعاملات - لم تكن معاملتك قد حدثت أبدًا - رمز الإنتاج المخفي - GitHub العام (وهمي) - موقع الإنتاج (الفعلي) - الثغرة الخلفية وحقن التعليمات البرمجية عن بُعد - بنية تحتية محصنة - مؤشرات الأداء الرئيسية (IOCs) الخاصة بالاستضافة والشبكات - مؤشرات الأداء الرئيسية للتتبع والتحليلات IOC - $8K-$15K/Year for a "Free Volunteer Wallet" - تم تحديد هوية المشغلة: ناتالي روي - محظور، مكشوف، لا يزال نشطًا - الضحايا المسجلون - أدلة محذوفة، لا توجد محفظة تبرعات - التسلسل الزمني للأحداث - تم تسجيل النطاق — xmrwallet.com - تم إنشاء منظمة على GitHub - محظور وتجميد الرمز - 6 سنوات من الصمت - تحقيق «PhishDestroy» - نُشر التقرير — النطاق لا يزال نشطًا - الأدلة الكاملة والمواد المرجعية - التقرير الفني الكامل - العدد رقم 35: اختطاف المعاملات - العدد رقم 36: تسريب مفاتيح العرض - مستودع أبحاث PhishDestroy - بدائل آمنة - محافظ سطح المكتب - المحافظ الإلكترونية - القاعدة الذهبية في عالم العملات المشفرة - حماية المجتمع - التحقيقات ذات الصلة - شارك هذا المقال ## CONTENT ---------------------------------------------------------------- العودة إلى الأخبار [https://phishdestroy.io/ar/news] التحقيق في سرقة محفظة مونيرو الكشف عن xmrwallet.com: 10 سنوات من سرقة المفاتيح واختطاف المعاملات استمع إلى المقال 0:00 / --:-- تنزيل بصيغة PDF — التقرير الرسمي تحقيق جنائي متعمق في محفظة ويب «مونيرو» التي تقوم بترميز مفتاح العرض الخاص الخاص بك باستخدام Base64 إلى session_key الرمز، ويقوم بتسريبه عبر أكثر من 40 طلبًا لواجهة برمجة التطبيقات (API) في كل جلسة، ثم يلغي معاملتك باستخدام raw_tx = 0 ويعيد بنائه لسرقة أموالك. نشط منذ عام 2016. تم التعرف على المشغل. ~9 دقائق للقراءة· تم التحديث مارس 2026· معلومات PhishDestroy نشط منذ عام 2016 أكثر من 40 تسريبًا للمفاتيح / الجلسة محمي بواسطة DDoS-Guard 10 سنوات النشاط 40+ عدد التسريبات الرئيسية لكل جلسة $2M-$15M+ المبلغ الإجمالي المقدر للمسروقات 0 تحديثات GitHub منذ عام 2018 الواجهة xmrwallet.com تُقدَّم هذه المحفظة على أنها محفظة «مونيرو» مجانية، ومفتوحة المصدر، وتعمل من جانب العميل. لا تحتاج إلى تنزيل. ولا تتطلب التسجيل. وتورد شروط الخدمة الخاصة بها ادعاءً محددًا للغاية: "تتم جميع العمليات التشفيرية داخل متصفحك. ولا يملك الخادم أي إمكانية للوصول إلى مفاتيحك الخاصة." — شروط الخدمة الخاصة بموقع xmrwallet.com (ثابت أنها كاذبة) هذه كذبة. إن تحليلنا الجنائي — الذي شمل رصد حركة الشبكة، وإزالة التعتيم عن جافا سكريبت، ومقارنة كود الإنتاج — يثبت العكس تمامًا. فكل مفتاح يتم إدخاله على موقع xmrwallet.com هو مفتاح مسروق. ويمكن اختطاف كل معاملة. Production مقابل GitHub: اختلاف تام الـ مستودع GitHub عام [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] لم يتلقَ أي «كوميت» منذ ذلك الحين تشرين الثاني/نوفمبر 2018. يعمل موقع الإنتاج بكود مختلف تمامًا مع معلمات غير موثقة غير موجودة في مستودع البرمجة: session_key — رمز تسريب مفتاح العرض المشفر بنظام Base64 verification — قناة تسريب ثانوية timestamp — معلمة تتبع الجلسة data — حاوية حمولة إضافية النطاق مسجل عبر NameSilo في عام 2016 — مدفوعة مسبقًا من خلال 2031. خمسة عشر عامًا من التسجيل في «مشروع مستقل حر». الهجوم رقم 1: تسريب مفتاح العرض عند تسجيل الدخول إلى موقع xmrwallet.com، يتم ترميز مفتاح العرض الخاص الخاص بك باستخدام ترميز Base64 وإدراجه في session_key الرمز المميز. ثم يتم إرسال هذا الرمز المميز إلى الخادم مع كل طلب من طلبات واجهة برمجة التطبيقات (API) — أكثر من 40 مرة في جلسة واحدة. بنية session_key مفتاح الجلسة = [encrypted_blob]:[base64_address]:[base64_private_viewkey] // Decoded example: // blob: a3f8c2... (session identifier) // address: 4A1BxN... (your Monero public address) // viewkey: مفتاح العرض الخاص بك بنص عادي تؤكد عمليات التقاط شبكة Firefox WebExtension أن هذا الرمز يتم إرساله عبر الشبكة 6 نقاط نهاية مميزة لواجهة برمجة التطبيقات (API) بما مجموعه أكثر من 40 طلب POST لكل جلسة: ↔ نقطة نهاية واجهة برمجة التطبيقات (API) | الطلبات / الجلسة | تسريب مفتاح الجلسة (session_key) /api/getheightsync | 12 | نعم /api/gettransactions | 10 | نعم /api/getbalance | 6 | نعم /api/getsubaddresses | 4 | نعم /api/getoutputs | 3 | نعم /api/support_login | 1 | نعم أكثر من 40 نسخة من مفتاحك الخاص تقوم جلسة تسجيل الدخول الواحدة بإرسال مفتاح العرض الخاص بك إلى الخادم 36 مرة على الأقل. لا يحتاج الخادم إلى مفتاحك لإجراء أي من هذه العمليات — فعمليات التحقق من الرصيد ومزامنة الارتفاع هي استعلامات عامة على البلوكشين. ولا يوجد أي سبب مشروع على الإطلاق لنقل بيانات المفتاح. دليل التسجيل الكامل للشبكة: xmrwallet.com، المشكلة رقم 36 على GitHub — عرض أدلة تسريب المفاتيح [https://github.com/XMRWallet/Website/issues/36]. الهجوم رقم 2: اختطاف المعاملات تسمح «سرقة المفتاح» للمهاجم شاهد محفظتك. لكن موقع xmrwallet.com يذهب إلى أبعد من ذلك — فهو يسرق أموالك في الوقت الفعلي. ويكشف كود جافا سكريبت الخاص بالإنتاج، بعد إزالة التعتيم، عن تسلسل هجوم من 5 خطوات: // Step 1: Client builds a legitimate transaction cnUtil.إنشاء معاملة() → raw_tx_and_hash // Step 2: Client transaction is NULLIFIED raw_tx_and_hash.raw = 0; // Step 3: Only metadata sent to server (no real tx) منشور /api/submit_raw_tx { البيانات الأولية: 0, البيانات الوصفية: {...} } // Step 4: Server rebuilds its OWN transaction // using your keys + its destination address // Step 5: Stolen transactions tagged internally إذا(النوع == "اجتاحت") → معاملة تمت إعادة توجيهها من قبل المهاجم تظهر على محفظتك عبارة «تم إرسال المعاملة». وتصل أموالك إلى عنوان المهاجم. بينما ترى الضحايا "معرّف المعاملة غير معروف" عندما يحاولون التحقق من ذلك عبر مستكشفات البلوكشين. المعاملات التي تم وسمها داخليًّا على أنها swept هي المسروقة. لم تكن معاملتك قد حدثت أبدًا raw_tx_and_hash.raw = 0 وهذا يعني أن المعاملة التي أنشأها العميل يتم تجاهلها. يقوم الخادم بإنشاء معاملة جديدة تمامًا باستخدام مفاتيحك ويرسل عملات XMR الخاصة بك إلى المهاجم. رسالة «النجاح» التي تراها هي كذبة. تحليل تفصيلي للكود: xmrwallet.com، المشكلة رقم 35 على GitHub — إثبات مقاومة اختطاف المعاملات [https://github.com/XMRWallet/Website/issues/35]. رمز الإنتاج المخفي يحتفظ موقع xmrwallet.com بمستودع GitHub عام ليبدو وكأنه موقع شرعي. هذا المستودع هو مجرد شرك. ولم يتم تحديثه منذ ذلك الحين تشرين الثاني/نوفمبر 2018. يعمل موقع الإنتاج برمز برمجي مختلف تمامًا ومُشوش. GitHub العام (وهمي) آخر تعديل: نوفمبر 2018 لا session_key المعلمة لا verification param لا /support_login.html لا يوجد «Google Tag Manager» كود نظيف وقابل للتدقيق موقع الإنتاج (الفعلي) يتم تحديثه بانتظام خلال الفترة 2024-2026 session_key باستخدام مفتاح العرض Base64 verification قناة التسريب /support_login.html باب خلفي إدخال جافا سكريبت عن بُعد في GTM كود مشوش وغير قابل للتدقيق الثغرة الخلفية وحقن التعليمات البرمجية عن بُعد يحتوي موقع الإنتاج على /support_login.html — نقطة نهاية إدارية مخفية غير موجودة على الإطلاق في مستودع GitHub. إلى جانب مدير علامات جوجل (حاوية GTM) بفضل هذه التكامل، يمكن للمشغل إدخال وتعديل جافا سكريبت عن بُعد على الموقع النشط في أي وقت — دون الحاجة إلى تحديث قاعدة الكود العامة. ويُعد هذا وسيلة لتنفيذ التعليمات البرمجية عن بُعد متخفية في شكل تحليلات. بنية تحتية محصنة لا يستخدم موقع xmrwallet.com خدمات استضافة مشتركة رخيصة. فهو يعمل على بنية تحتية متميزة ومحصنة تم اختيارها خصيصًا لمقاومة طلبات إزالة المحتوى وإجراءات سلطات إنفاذ القانون. مؤشرات الأداء الرئيسية (IOCs) الخاصة بالاستضافة والشبكات المؤشر | القيمة المجال | xmrwallet.com مسجل | NameSilo (2016 – 2031، تسجيل لمدة 15 عامًا) مزود خدمات الاستضافة | IQWEB FZ-LLC (550 دولارًا أمريكيًا أو أكثر شهريًّا) عنوان IP | 186.2.165.49 ASN | AS59692 CDN / الحماية من هجمات DDoS | DDoS-Guard خادم الويب | أباتشي 2.4.58 (أوبونتو) الخلفية | PHP 8.2.29 شهادة SSL | Let's Encrypt (يتم تجديده تلقائيًا) مرآة تور | xmrwalletdatuxms.onion التكلفة السنوية للبنية التحتية | $8,000 – $15,000+ مؤشرات الأداء الرئيسية للتتبع والتحليلات IOC ↔ أداة التتبع | الطلبات / الجلسة | المعرّف مدير علامات جوجل | 12 | حاوية GTM Google Analytics (UA) | 12 | UA-116766241-1 Google Analytics 4 | 5 | بث GA4 DoubleClick | 1 | بكسل تتبع الإعلانات ملفات تعريف الارتباط الخاصة بـ DDoS-Guard | — | __ddg8_, __ddg9_, __ddg10_, __ddg1_ $8K-$15K/Year for a "Free Volunteer Wallet" المحفظة المجانية الشرعية لا تنفق ما يزيد عن 550 دولارًا شهريًّا على خدمة الاستضافة المُحصّنة من شركة IQWEB FZ-LLC المدعومة بنظام DDoS-Guard — وهي بنية تحتية مصممة خصيصًا لمقاومة شكاوى إساءة الاستخدام ومذكرات الاستدعاء الصادرة عن سلطات إنفاذ القانون. كما أنها لا تسجل نطاقًا لمدة 15 عامًا. كما أنها لا تستخدم أداة تتبع Google Analytics على محفظة Monero «المركزة على الخصوصية». هذه البنية التحتية مصممة لغرض واحد فقط: السرقة المستمرة على نطاق واسع. تم تحديد هوية المشغلة: ناتالي روي تشير المعلومات الاستخباراتية المفتوحة المصدر إلى أن البنية التحتية لموقع xmrwallet.com ترتبط مباشرةً بشخص واحد. الميدان | التفاصيل الاسم | ناتالي روي الموقع | كندا اسم المستخدم على GitHub | ناثروي [https://github.com/nathroy] (رقم التعريف: 39167759) منظمة GitHub | xmrwallet [https://github.com/XMRWallet] (تم إنشاؤه في 10 مايو 2018) البريد الإلكتروني (الإدارة) | admin@xmrwallet.com البريد الإلكتروني (الشخصي) | royn5094@protonmail.com Reddit | u/WiseSolution [https://reddit.com/u/WiseSolution] (ممنوع من r/Monero) Twitter | @xmrwalletcom [https://twitter.com/xmrwalletcom] خادم البريد (MX) | mail.privateemail.com محظور، مكشوف، لا يزال نشطًا تم استبعاد ناتالي روي من البطولة الرسمية منتدى r/Monero على موقع Reddit [https://reddit.com/r/monero] في عام 2018 للترويج لموقع xmrwallet.com. وقد تم آخر تحديث على GitHub في العام نفسه. وعلى مدار أكثر من 6 سنوات، ظل الكود المفتوح مجمدًا، في حين أن الموقع الفعلي يسرق الأموال بشكل نشط باستخدام كود مختلف تمامًا. وقد تم تجديد النطاق حتى عام 2031 — مما يعني أن المشغل لن يغادر المكان. الضحايا المسجلون على الأقل 15 حالة تم الإبلاغ عنها علنًا حالات سرقة الأموال على مواقع Trustpilot وSitejabber وReddit وGitHub Issues. أشخاص حقيقيون. أموال حقيقية. ضاعت. 15+ التقارير العامة 590 XMR أكبر مبلغ منفرد (177 ألف دولار) 10 سنوات من السرقة $2M-$15M+ الإجمالي التقديري 590 XMR (حوالي 177,000 دولار) — سرقة واحدة، أكبر حالة موثقة 17.44 XMR — موثقة برقم معرّف المعاملة على السلسلة سُرق 20 XMR خلال الليل — نفد رصيد المحفظة أثناء نوم المستخدم تقارير متعددة عن «معرّف معاملة غير معروف» — الـ swept توقيع العلامة تم حذف مشكلات GitHub رقم 13 وما فوق — يقوم المشغل بحذف تقارير الضحايا من قاعدة البيانات أدلة محذوفة، لا توجد محفظة تبرعات يقوم المشغل بحذف تقارير الضحايا بشكل نشط من قسم «GitHub Issues» (تم حذف جميع المشكلات التي تسبق رقم #13). ويزعم الموقع أنه يقبل التبرعات، لكن لم يتم نشر أي عنوان محفظة للتبرعات على الإطلاق. لماذا قد يرفض «مشروع مستقل» تنفق ما بين 8 آلاف و15 ألف دولار سنويًّا التبرعات؟ لأن إيراداته تأتي من السرقة. التسلسل الزمني للأحداث الجدول الزمني 2014-2024: سرقة أكثر من 10,000 مفتاح من موقع xmrwallet.com — بدءًا من إطلاق الموقع مرورًا بالضحايا الأوائل وصولاً إلى تحديد هوية المشغل 2016 تم تسجيل النطاق — xmrwallet.com تم التسجيل عبر NameSilo باستخدام فترة تسجيل مدتها 15 عامًا (2016-2031). تُقدم كمحفظة ويب مجانية ومفتوحة المصدر لعملة «مونيرو». مايو 2018 تم إنشاء منظمة على GitHub تم إنشاء منظمة xmrwallet على GitHub في 2018-05-10 بقلم nathroy (رقم التعريف: 39167759). تم نشر الكود للجمهور كمسرحية للشفافية. 2018 محظور وتجميد الرمز المشغل u/WiseSolution تم حظره من r/Monero بسبب الرسائل الترويجية غير المرغوب فيها. آخر عملية «كوميت» على GitHub في هذا الوقت تقريبًا. بدأ حذف تقارير المشكلات المقدمة من الضحايا (اختفت المشكلات من رقم #1 إلى رقم #12). 2018 – 2024 6 سنوات من الصمت تم تجميد المستودع العام. ويختلف كود الإنتاج تمامًا، حيث يحتوي على جافا سكريبت مشوش، ومعلمات غير موثقة، ونقاط نهاية خلفية. وتتزايد تقارير الضحايا على موقعي Trustpilot وReddit. 2025 – 2026 تحقيق «PhishDestroy» يكشف تحليل حركة مرور الشبكة عن session_key التسريب. ويؤكد ذلك فك تشفير جافا سكريبت raw_tx = 0 اختطاف المعاملات. أدلة نُشرت على GitHub Issues #35 [https://github.com/XMRWallet/Website/issues/35] & #36 [https://github.com/XMRWallet/Website/issues/36]. فبراير 2026 نُشر التقرير — النطاق لا يزال نشطًا تم نشر التقرير الفني الكامل. لا يزال موقع xmrwallet.com متاحًا على الإنترنت. تم دفع رسوم النطاق من خلال 2031. يوفر DDoS-Guard مقاومة لإزالة الخدمة. الأدلة الكاملة والمواد المرجعية كل ادعاء وارد في هذا المقال مدعوم بأدلة يمكن التحقق منها علنًا. قم بتنزيل التقارير. تحقق من الكود. افحص لقطات الشبكة بنفسك. التقرير الفني الكامل التحقيق الكامل مع جميع تحليلات الأكواد، وعمليات التقاط بيانات الشبكة، ونتائج OSINT متاح على GitHub Pages [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] العدد رقم 35: اختطاف المعاملات raw_tx = 0 دليل • إعادة بناء المعاملة من جانب الخادم • دليل علامة "swept" [https://github.com/XMRWallet/Website/issues/35] العدد رقم 36: تسريب مفاتيح العرض أكثر من 40 عملية التقاط للشبكة • فك تشفير مفتاح الجلسة (session_key) باستخدام Base64 • 6 نقاط نهاية معرضة للتسريب [https://github.com/XMRWallet/Website/issues/36] مستودع أبحاث PhishDestroy جميع المواد المصدرية، والكود الذي تمت إزالة التعتيم عنه، ونتائج التحليل [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] بدائل آمنة لا تقم أبدًا بإدخال المفاتيح الخاصة في أي محفظة إلكترونية على الويب. نقطة. استخدم برامج تم التحقق من صحتها وتدقيقها، وتُشغَّل محليًّا على جهازك. محافظ سطح المكتب واجهة المستخدم الرسومية لـ Monero [https://getmonero.org/downloads/] — محفظة رسمية، كاملة الميزات، مفتوحة المصدر، خضعت للتدقيق محفظة «فيذر» [https://featherwallet.org/] — محفظة سطح مكتب خفيفة الوزن وسريعة وتركز على الخصوصية المحافظ الإلكترونية مونيروجو [https://monerujo.io/] (Android) — برنامج مفتوح المصدر يدعم شبكة Tor محفظة كيك [https://cakewallet.com/] (iOS/Android) — يدعم عملات متعددة، ويتم صيانته جيدًا القاعدة الذهبية في عالم العملات المشفرة لا تقم أبدًا بإدخال عبارة البذرة أو المفاتيح الخاصة أو مفاتيح العرض على أي موقع إلكتروني. تعمل المحافظ الشرعية محليًّا — ولا تحتاج أبدًا إلى إرسال مفاتيحك إلى خادم. إذا طلبت منك محفظة ويب تقديم مفاتيحك الخاصة، فهذا احتيال. ولتحقيق أقصى درجات الأمان، استخدم محفظة أجهزة (Ledger، Trezor) مع برنامج Monero الرسمي. حماية المجتمع يقوم موقع xmrwallet.com بسرقة عملة مونيرو منذ 10 سنوات. الأدلة متاحة للجميع. وقد تم تحديد هوية المشغل. شاركوا هذا التحقيق. أبلغوا عن هذا النطاق. ساعدونا في إغلاقه. التقرير الفني الكامل [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] مستودع الأبحاث [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] الإبلاغ عن التهديدات التحقيقات ذات الصلة التحقيق نهاية موقع xmrwallet.com: «NameSilo» كذبت لحماية سارق عملات مشفرة بقيمة 2 مليون دولار تحقيق معمق لوحة التصيد الاحتيالي الخاصة بـ «Trust Wallet»: سرقة 239 ألف دولار، و6 مشغلين تحقيق معمق مجموعة أدوات «Crypto Drainer»: الكشف عن موزعي «Angel Drainer» شارك هذا المقال X [https://twitter.com/intent/tweet?text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys&url=https://phishdestroy.io/xmrwallet-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/xmrwallet-exposed&text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/xmrwallet-exposed&title=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Keys] ## EXTERNAL REFERENCES ---------------------------------------------------------------- github.com (8 mentions) gitlab.com (6 mentions) reddit.com (3 mentions) twitter.com (2 mentions) t.me (2 mentions) getmonero.org (1 mention) featherwallet.org (1 mention) monerujo.io (1 mention) cakewallet.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/ar/xmrwallet-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.