NameSilo Verteidigung eines „Crypto Drainer“ im Wert von 100 Millionen Dollar
— Dann Wir haben unseren Twitter-Account deaktiviert
Ein von der ICANN akkreditierter Registrar veröffentlichte 4 nachgewiesene Lügen Um eine zehnjährige Monero-Diebstahlaktion zu decken, bot das Unternehmen an, seinen VirusTotal-Eintrag zu löschen, während der Drainer noch aktiv war, und nutzte anschließend ein kostenpflichtiges X-Gold-Häkchen, um die Forscher zum Schweigen zu bringen, die ihnen das Gegenteil bewiesen hatten. Ihr DevOps-Ingenieur: ehemaliger IT-Leiter bei einem russischen Finanzpyramidensystem seit einem Jahrzehnt.
Dieser Artikel ist eine Vorschau. Die vollständigen Belege, IPFS-Archive und das gesamte Quellenmaterial finden Sie unter dem obigen Link.
Der Hintergrund: Was xmrwallet.com eigentlich ist
xmrwallet.com ist keine Phishing-Seite. Es handelt sich um eine voll funktionsfähige Monero-Wallet mit einer serverseitigen Hintertür Errichtet im Jahr 2018 und in Betrieb bis Mai 2026 – fast ein Jahrzehnt. Das GitHub-Repository dient lediglich als öffentliche Fassade. Der gestohlene Code existiert ausschließlich auf dem Produktionsserver, wurde nie in den Code übernommen und nie geprüft.
Bei jeder Benutzerinteraktion wird der private View-Schlüssel per POST-Anfrage an die Server des Betreibers gesendet, und zwar Base64-kodiert in einer Variablen namens session_key — ungefähr 40 Übertragungen pro Sitzung. Die clientseitige Transaktion wird explizit verworfen (raw_tx_and_hash.raw = 0); der Server erstellt seine eigenen Schlüssel mithilfe der gestohlenen Schlüssel.
Das NewAlchemy-Audit erhielt 67 „Upvotes“ auf Reddit und diente jahrelang als Vertrauenssignal. Sein ausdrücklicher Umfang: „Ausschließlich clientseitiges JavaScript.“ Ausdrücklich ausgenommen sind: „zahlreiche PHP-API-Endpunkte.“ Diese Endpunkte stellen den eigentlichen Mechanismus des Diebstahls dar. Die Prüfung war strukturell nicht in der Lage, die Hintertür aufzudecken.
Der Diebstahl erfolgt gezielt. Kleine Einzahlungen bleiben jahrelang unberührt, um Vertrauen aufzubauen und legitime Bewertungen zu generieren. Große Beträge werden innerhalb weniger Minuten gestohlen. Ein dokumentiertes Opfer zahlte 590 XMR ein – die innerhalb von zwei Tagen verschwunden waren. Konservative Gesamtsumme bei mehr als 15 dokumentierten Opfern: 5.000–50.000+ XMR gestohlen (1,5 Mio. $ – 15 Mio. $+ zu historischen Preisen). 60 % der Beiträge der Opfer wurden massenhaft gemeldet und gelöscht, bevor Beweise gesichert werden konnten.
session_key dem Betreiber bei jeder Sitzung.Wir haben die gtag-basierte Schlüsselexfiltration in einer Sandbox-Demo nachgestellt. Öffnen Sie DevTools → Registerkarte „Netzwerk“ → interagieren Sie mit der Wallet. Beobachten Sie session_key POST-Anfragen werden in Echtzeit ausgelöst. Genau das lief 10 Jahre lang. Genau das wurde bei der „Sicherheitsprüfung“ nie untersucht. Genau das hat NameSilo öffentlich verteidigt.
Der Satz, der NameSilo erklärte
Am 16. Februar 2026 schickte der Betreiber von xmrwallet.com eine E-Mail an PhishDestroy, in der er die Löschung des Eintrags forderte. Er unterschrieb mit „Nathalie Roy“ – GitHub-Konto nathroy, ID 39167759. Wir haben mit einer ausführlichen technischen Aufschlüsselung und einer schriftlichen Verwarnung geantwortet: „Was als Nächstes passiert, hängt ganz davon ab, wie du dich entscheidest, weiter vorzugehen.“
Am nächsten Tag schickte er einen einzigen Satz, der uns alles über seine Beziehung zu NameSilo verriet:
Drei Wochen, bevor NameSilo ihn als Opfer bezeichnete
Niemand, der einen zehn Jahre alten Abflussreiniger auf $550/mo bulletproof Belize hosting, der hinter „Russian DDoS-Guard“ steht, fordert Sie ganz gelassen auf, eine Vorladung an seinen Registrar zu richten – es sei denn, er kennt die Antwort bereits. Drei weitere Registrare (PDR, WebNic, NICENIC) haben seine Domains innerhalb weniger Tage nach Vorlage derselben Beweise gesperrt. NameSilo verfasste eine Pressemitteilung für ihn und bot ihm an, seine Daten zu bereinigen.
21. Januar 2026 – xmrwallet beauftragte PR Newswire gegen Bezahlung mit der Verbreitung einer Pressemitteilung, in der es hieß: „Private Schlüssel gelangen niemals auf zentrale Server.“ Die session_key Während dieses Zeitraums wurden bei jeder Benutzersitzung POST-Anfragen an den Produktionsserver gesendet. PR Newswire ist ein kostenpflichtiger Verbreitungsdienst – Unternehmen verfassen und finanzieren ihre Texte selbst, ohne redaktionelle Überprüfung. Quelle: PR Newswire, 21. Januar 2026
NameSilos vier Lügen – für das Protokoll
Am 13. März 2026 veröffentlichte der offizielle Account von NameSilo einen Beitrag in unserem Untersuchungs-Thread. 11.300 Aufrufe vor der Speicherung. Dauerhaft archiviert unter ghostarchive.org/archive/CXXZ0. Jeder Satz wird durch Primärquellen widerlegt:
-
1„Die Domain wurde vor einigen Monaten kompromittiert (wobei eine Kopie der Webseite durch einen Crypto-Drainer ersetzt wurde).“Die SHA-256-Hashwerte belegen, dass der Code unverändert geblieben ist. Der Betreiber hat uns bestätigt, dass dies der Fall war. sein eigenes PHP-Backend, das er 2018 geschrieben hat. Es wurde nichts injiziert. Die „Hack“-Geschichte wurde im Nachhinein erfunden.✗ ERFUNDEN
-
2„Zuvor hatten wir keine Meldungen über Missbrauch im Zusammenhang mit dieser Domain erhalten.“PhishDestroy allein hat gesendet Über 20 Berichte über das Portal von NameSilo (2023–2026), mit Lieferbelegen. Seit 2018 gibt es über 100 öffentliche Beschwerden auf BitcoinTalk und Reddit. Seit dieser falschen Behauptung wird jeder von uns eingereichte Bericht vor der Übermittlung mit Zeitstempeln veröffentlicht.✗ DURCH BELEGE WIDERLEGT
-
3„Nach einer umfassenden Prüfung … an der der Registrant nicht beteiligt war.“Der Betreiber schrieb uns am 17. Februar und verteidigte seinen Code als sein eigenes Werk – noch bevor NameSilo seinen Tweet veröffentlichte. Er hat zu keinem Zeitpunkt behauptet, es habe sich um einen Hackerangriff gehandelt. Die Ergebnisse ihrer „umfassenden Überprüfung“ stehen im Widerspruch zu den schriftlichen Aussagen ihres eigenen Registranten.✗ WIDERSPRÜCHLICH
-
4„Zusammenarbeit mit dem Registranten, um die Website aus den VirusTotal-Berichten zu entfernen.“Keine Behandlung von Missbrauch — einem notorischen Betrüger dabei helfen, Sicherheitswarnungen zu löschen, während der Drainer noch aktiv war. PDR, WebNic und NICENIC haben die Domains alle innerhalb weniger Tage nach Vorliegen derselben Beweise gesperrt. NameSilo bot an, den Eintrag zu bereinigen.✗ AKTIVE SCHÄDIGUNG DER OPFER
Wer ist NameSilo: Ein CIS-Outsourcing-Unternehmen mit einer Postanschrift in den USA
NameSilo LLC ist in Phoenix, Arizona, registriert. Das Unternehmen ist an der Canadian Securities Exchange unter dem Namen Brisio Innovations (CSE:BZI) notiert und wies im Jahr 2025 einen Umsatz von 65,5 Mio. C$ aus. Das eigentliche Entwicklerteam ist verteilt über Russland, Weißrussland, die Ukraine, Serbien, Argentinien und Lettland. Mindestens 13 russischsprachige Mitarbeiter wurden identifiziert. Die Person mit uneingeschränktem Zugriff auf die DevOps-Infrastruktur war ein Jahrzehnt lang für die IT eines russischen Finanzpyramidensystems verantwortlich, bevor sie zu NameSilo kam.
Aleksey Podashevskiy (Frontend) — Weißrussland, sanktioniertes Land, tätig für einen in den USA registrierten, von der ICANN akkreditierten Registrar. Insgesamt wurden mehr als 13 russischsprachige Mitarbeiter in Russland, Weißrussland, Serbien, Argentinien und Lettland identifiziert. In der Infrastrukturkette von xmrwallet gibt es keinerlei westliche Hosting-Anbieter.
Über 5,18 Millionen Domains im gesamten Portfolio von NameSilo analysiert – jede einzelne wurde mit VirusTotal, URLhaus, PhishTank, abuse.ch, OpenPhish und SURBL abgeglichen.
xmrwallet PHP-Backend vollständig anhand von clientseitigen Verhaltensdaten rekonstruiert – ohne Serverzugriff, ohne Quellcode, ohne Mitwirkung. Der Diebstahlmechanismus wurde allein anhand beobachtbarer Netzwerkmuster nachgestellt.
13 Teammitglieder die Daten wurden über LinkedIn, GitHub, HeadHunter, Telegram, Unternehmensregister und Gerichtsakten in sechs Ländern miteinander abgeglichen. Löschmuster bei Trustpilot über mehrere Monate hinweg verfolgt, um einen systematischen Rhythmus der Entfernung zu ermitteln. CSE:BZI – Quartalsberichte mit den Daten des Domain-Portfolios abgeglichen, um die Umsatzabweichung zu identifizieren. 5,18 Millionen Domains anhand von 6 Bedrohungsinformationsquellen analysiert. Alle Rohdaten sind öffentlich zugänglich unter github.com/phishdestroy/namesilo-evidence. Eingereicht bei der ICANN, den Strafverfolgungsbehörden der EU und drei nationalen Einheiten zur Bekämpfung der Cyberkriminalität.
Die Domain-Anomalie: 32,2 % wurden nie aktiviert – eine statistische Täuschung
Wir haben die Daten abgerufen und analysiert jede Domain im Portfolio von NameSilo – alle 5,18 Millionen davon. Jede einzelne Domain wurde mit VirusTotal, URLhaus, PhishTank, abuse.ch, OpenPhish und SURBL abgeglichen. Die Rohdaten, die Methodik und die Ergebnisse für jede einzelne Domain sind öffentlich zugänglich: github.com/phishdestroy/namesilo-evidence. Ergebnis: 32,2 % der Domains wurden noch nie aktiviert — im Vergleich zu 14,7–22,8 % bei vergleichbaren Registraren. 10.000–17.000 Massenregistrierungen an einem einzigen Tag (Spitzenwert: 17.180 am 19.07.2025). 12 Mio. $ wurden für nie aktivierte Domains ausgegeben; jährliche Burn Rate von 3,2 Mio. $ für Domains, die keinem Zweck dienen. Im Jahr 2024, als der NameSilo-Partner ShortDot neue TLDs (.sbs, .cfd zum Großhandelspreis von ca. 0,50 $, verkauft zum Einzelhandelspreis von 14,95 $ = 22–31-facher Aufschlag), die Registrierungen von „Dead-Domains“ stiegen sprunghaft an 615% innerhalb eines einzigen Jahres.
PrivacyGuardian verbirgt die Identität des Käufers auf über 3 Millionen Domains (die auf pw-{hex}@privacyguardian.org). Bitcoin wird akzeptiert. Kein KYC. Jede Phantom-Domain lässt das Verhältnis von Missbrauch zu Gesamtzahl kleiner erscheinen.
„so gut wie nichts“
jede 43. Website
1 Phishing-Versuch pro 2,5 legitime Versuche
NameSilo meldet einen Umsatz von 65,5 Mio. C$ (2025). KGV: 143,8× im Vergleich zu 21× in der Branche. Umsatz pro echter (aktiver) Domain: 68 C$ gegenüber 10–15 $ in der Branche. 95 ICANN-Registrare verkaufen .com-Domains günstiger. Wenn durch Massenregistrierungen von Phantom-Domains Erlöse gewaschen werden – BTC-zu-Domain mit einem Aufschlag von 22–31× –, tauchen diese in den bei der Canadian Securities Exchange eingereichten Quartalsberichten als „legitime Registrar-Einnahmen“ auf. Dieses Muster ist dokumentiert und wurde den Strafverfolgungsbehörden gemeldet.
prnewswire.com — Auftrag von Reach Systems / NASA, 23. Juni 2026
newswire.ca – Übernahme von SewerVUE, 12. September 2025
prnewswire.com — xmrwallet „Private Schlüssel gelangen niemals auf Server“, 21. Januar 2026
Zwei Namen. Ein Gehirn. Kann das Zufall sein?
Während wir diese Untersuchung verfassten, trafen wir auf einen alten Bekannten. Gemessen an der Zahl der Artikel, die NameSilo über Phishing, Betrug, Sperrlisten und das Entfernen von Domains daraus veröffentlicht, wirkt das Unternehmen fast wie ein Kollege von uns. Stellt man beide Vorgänge nebeneinander, zeigt sich dreimal dasselbe Gehirn: Bewertungen, SEO und bezahlte Artikel.
Vertrauen erzeugen
Opfer verdrängen
email4pr-Relay
Beide manipulieren Bewertungen: xmrwallet entfernt Diebstahlbeschwerden und antwortet Opfern mit derselben Synchronisierungsausrede; NameSilo flutet Trustpilot mit vorgefertigtem Fünf-Sterne-Lob für namentlich genannte Supportmitarbeiter, während negative Bewertungen verschwinden.
Beide betreiben dieselbe SEO-Verteidigung: xmrwallet veröffentlicht Artikel über „Betrug“, „Sicherheit“, „Wiederherstellung“ und „Synchronisierung“; NameSilo veröffentlicht Artikel über „Phishing“, „Sperrlisten“, „Entsperrung“ und „Missbrauch“. Beide füllen genau die durch die Vorwürfe gegen sie entstandenen Suchanfragen mit ihren eigenen Texten.
Beide nutzen dieselbe Ressource für bezahlte Artikel: die Distribution über PR Newswire und das email4pr-Relay. NameSilo nutzt sie für Anleger-Mitteilungen am kanadischen Markt. xmrwallet nutzte sie, um eine falsche Geschichte über Tor und „Schlüssel erreichen niemals den Server“ als unternehmensähnliche Nachricht zu verkaufen.
Zwei Namen. Dieselbe Bewertungsmanipulation. Dieselbe SEO. Dieselbe bezahlte PR-Pipeline. Ein Gehirn.
Dieselbe Enterprise-PR-Pipeline
Dass eine „ehrenamtlich betriebene Open-Source-Wallet“ Pressemitteilungen auf einer Plattform veröffentlicht, die für börsennotierte Unternehmen gebaut wurde, ist nicht normal. Das bedeutet Zugang zu einem Unternehmens-PR-Konto oder zum selben PR-Agenten. Genau diese Pipeline wählte xmrwallet — dieselbe Enterprise-Plattform, die NameSilo Technologies für Mitteilungen an die Canadian Securities Exchange nutzt.
Apr 19, 2023 — “Upgrade Website to Support Charities”
Sep 26, 2023 — “Companies Embrace Cryptocurrency”
Kontakt: Nathalie Roy,
+1 300-227-473, 407923@email4pr.com.
May 1, 2026 — 2025 Year-End Results
Dazu Quartalsergebnisse sowie Mitteilungen zu SewerVUE, CommerceHQ, Reach Systems und Tochtergesellschaftsverkäufen.
Für NameSilo speist diese Distribution den Nachrichtenstrom rund um die in Kanada notierte Muttergesellschaft. Für xmrwallet verkaufte sie eine falsche Sicherheitsgeschichte.
Die Mitteilung vom Januar 2026 kündigte eine „vollständige Tor-Integration“ für ein „Open-Source“-Projekt an, dessen letzter echter GitHub-Commit vom 6. November 2018 stammte — mehr als sieben Jahre zuvor. Es wurde nie Tor-Code committed. Sie bezahlten für die Werbung einer Funktion, die im öffentlichen Codebestand nicht existierte, und behaupteten zugleich, private Schlüssel hätten niemals einen zentralen Server erreicht. Die Mitteilung verwendete eine ungültige Telefonnummer und eine Enterprise-PR-Relay-Adresse. Das war keine unabhängige Berichterstattung, sondern vom Betreiber verfasster Text, dessen Verbreitung gekauft wurde.
Archivierte Mitteilung und Kontaktdaten · Öffentliches GitHub-Repository
Wen halten diese Plattformen für ihr Publikum? Kanadische Anleger begegnen NameSilos bezahlten Unternehmensmitteilungen in einem visuellen Format, das mit maßgeblichen Finanznachrichten verbunden wird. Dasselbe Distributionsumfeld lieferte anschließend xmrwallets falsche Geschichte über Tor und Serversicherheit als eine weitere professionell wirkende Mitteilung an dieses wohlhabende Anlegerpublikum.
Ein Hinweis auf bezahlte Distribution beendet die Frage nach der Verantwortung nicht. Unbelegte Behauptungen erst eines Registrars und anschließend eines unmittelbar mit diesem Registrar verbundenen Scams erneut zu veröffentlichen, kann genau das Publikum gefährden, das der Infrastruktur für Finanznachrichten vertraut. Die Plattform sollte das bestellende Konto, die Abrechnungsbeziehung, den Agenten, die Einreichungsmetadaten und die Freigabespur hinter beiden Mitteilungsgruppen prüfen.
Wenn dieselbe Person, dasselbe Konto oder derselbe PR-Agent sowohl die Distribution für xmrwallet als auch für NameSilo bestellte, ist Schweigen keine ehrliche Reaktion. Sichern Sie die Unterlagen, legen Sie die Beziehung offen und melden Sie sie den zuständigen Aufsichts- und Strafverfolgungsbehörden. Wir fordern die Plattform auf festzustellen, ob dies Zufall war oder ein Käufer, der ihre Autorität zweimal nutzte.
PR Newswire ist kein Journalismus. Das Subjekt verfasst den Text, bezahlt die Verbreitung, und derselbe Text wird als „Nachricht“ erneut veröffentlicht. Anschließend erscheint er auf Finanzportalen und Börsennachrichten-Feeds, als hätte jemand unabhängig darüber berichtet. Für NameSilo ist dies ein wichtiger Unternehmenskanal für die kanadische Börse. Für xmrwallet war es eine bezahlte Falschbehauptung im visuellen Gewand einer Unternehmensmitteilung.
Warum schrieben beide immer wieder über genau die Vorwürfe?
Wir verstanden nie, warum xmrwallet fortlaufend Artikel über Betrug, Phishing, Wallet-Wiederherstellung, Synchronisierungsprobleme und Hacks veröffentlichte. Ebenso wenig verstanden wir, warum NameSilo dasselbe Material über Phishing, Missbrauchsmeldungen, Sperrlisten, Entsperrung und Wiederherstellung der Reputation immer neu schrieb. Die ICANN verlangt das nicht. Die Antwort ist einfacher: Manipulation der Suchergebnisse.
Alle übermittelten Links — 13 archivierte xmrwallet-Beispiele
- 5 Security Tips for Crypto Users
- 5 Crypto Scams You Should Know About
- How to Restore in Monero GUI
- How to Restore Monero on CLI
- How to Restore Monero Using Keys — GUI
- Monero and Tornado Cash
- Security of Your XMR Wallet
- Social Media Scams to Avoid
- XMR Social Recovery
- Monero Security on Smartphones
- XMRWallet: Best for Beginners
- Guide to Monero Wallets
- Monero Survives XMR Wallet Hack
Alle übermittelten Links — 14 NameSilo-Beispiele
- How to Report a Website for Phishing or Copyright Infringement
- Can Someone Steal Your Domain Without Hacking You?
- Free WHOIS Privacy Risks in 2026
- WHOIS Privacy Protection in 2026
- Phishing by Proxy
- Blacklists, Reputation Scores and Recovery Paths
- How Attackers Pick Domain Names That Trick You
- Ghost Records as Security Backdoors
- WHOIS Fingerprint and Domain Metadata
- Domain Footprinting and Attack Surface
- The Disposable-Domain Economy
- “Unblockable” Domain Security
- AI-Generated Spam and Domain Abuse
- Identifying Scam Websites
Die Wiederholung ist der Zweck. Wer genügend Seiten zu Phishing, Betrug, Sperrlisten, Wiederherstellung, Sicherheit und Entsperrung veröffentlicht, sorgt dafür, dass Suchen nach dem Vorwurf die eigene Darstellung des Betroffenen liefern. xmrwallet setzte dies gegen Opferberichte ein. NameSilo nutzt es rund um den Missbrauchsruf des Registrars, während echte Bewertungen unhöflichen Support, unverständliches Englisch und Mitarbeiter beschreiben, die Skripte wiederholen, statt direkte Fragen zu beantworten.
Eine Logik. Eine Strategie. Zwei Phasen.
Genau das verbergen die getrennt betrachteten Vorfälle. Der Kunde war bereits weg. Was fortbestand, war NameSilos Verteidigung von NameSilo.
Was die Kurzfassung ausgelassen hat
PR Newswire verlangt ungefähr 195–249 US-Dollar Jahresbeitrag plus 805–3.000+ US-Dollar je Mitteilung. Kostenlose oder erheblich günstigere Alternativen gibt es, darunter PRLog und EIN Presswire für rund 149 US-Dollar. Dennoch wählte eine ehrenamtliche Wallet ohne offengelegte Spenden dieselbe Enterprise-Vertriebspipeline, die NameSilo Technologies für Mitteilungen an die Canadian Securities Exchange verwendet.
xmrwallet veröffentlichte drei Mitteilungen über diese Pipeline, darunter die Tor-Ankündigung vom 21. Januar 2026. NameSilo veröffentlichte 12 Mitteilungen: „Surpasses 6 Million Domains“ am 22. Januar 2026 — einen Tag nach xmrwallet, die Jahresergebnisse 2025 am 1. Mai 2026 sowie zehn weitere Mitteilungen zu Quartalsergebnissen, SewerVUE, CommerceHQ, Reach Systems und dem Verkauf einer Tochtergesellschaft. SewerVUE ist tatsächlich ein Unternehmen zur Inspektion von Abwasserrohren — deshalb war unser Verweis auf den „alten Freund, der Abwasserrohre reinigt“, nicht zufällig.
+1 300-227-473 angegeben. Die Vorwahl 300 existiert im North American Numbering Plan nicht. Die E-Mail-Adresse war 407923@email4pr.com, ein Enterprise-PR-Relay statt einer normalen Adresse eines ehrenamtlichen Projekts.Die Mitteilung bewarb xmrwallet als Anbieter „diskreter Finanzwerkzeuge für gemeinnützige Organisationen“. Nach unserer Einschätzung diente die Gemeinnützigkeits-Sprache als Reputationsschutz für eine Wallet, die wir bereits mit Diebstahl in Verbindung gebracht hatten.
Für xmrwallet verbreitete dieselbe Ressource eine falsche Geschichte über Tor und Serversicherheit. Für NameSilo ist sie eine zentrale Investor-Relations-Pipeline.
Der letzte öffentliche Commit erfolgte am 6. November 2018. Danach blieb das Repository mehr als fünf Jahre eingefroren, und eine Tor-Implementierung wurde nie committed. Später löschte xmrwallet seinen Quellcode von GitHub. Unser technischer Befund lautet, dass das öffentliche Repository von 2018 als Audit-Kulisse diente, während die Produktion mit anderem, verschleiertem serverseitigem Code lief, der Wallet-Geheimnisse sammeln konnte. Das Projekt zahlte ungefähr 550 US-Dollar pro Monat für geschütztes Hosting hinter russischer DDoS-Guard-Infrastruktur und stellte sich zugleich als spendenfreies ehrenamtliches Projekt dar.
Sie bezahlten Enterprise-PR-Preise, um Code zu bewerben, den es im öffentlichen Repository nicht gab, und um zu wiederholen, dass Schlüssel niemals den Server erreichten. Das ist keine gewöhnliche Open-Source-Kommunikation. Es ist gekaufter Reputationsschutz.
Auch die Übereinstimmung bei den Bewertungen ist direkt
Die SEO-Artikel und die Supportbewertungen lösen dasselbe Reputationsproblem aus zwei Richtungen. NameSilo füllt negative Suchen — Phishing, Missbrauch, Sperrliste, Entsperrung, gestohlene Domain — mit eigenen Erklärungen. Gleichzeitig füllt der Bewertungsstrom die Supportfrage mit Lob für „Leonid“ und andere namentlich genannte Mitarbeiter.
Ein echter Kunde erhält eine unhöfliche, unklare oder geskriptete Antwort und sieht anschließend Seite um Seite, auf denen Leonid als brillant und hilfreich bezeichnet wird. Die beabsichtigte Wirkung ist Zweifel: „Wenn alle diesen Support loben, liegt das Problem vielleicht bei mir.“ Der Kunde zögert und entscheidet sich, die wahrheitsgemäße negative Bewertung nicht zu veröffentlichen. Veröffentlicht er sie dennoch, zeigt unser beobachtetes Muster, dass NameSilo sie beanstandet oder meldet, bis sie verschwindet. Die positiven Bewertungen verbessern nicht bloß eine Punktzahl; sie unterdrücken die nächste negative Bewertung, bevor sie existiert, während Löschungen diejenigen beseitigen, die trotzdem geschrieben werden.
Das ist der gemeinsame Mechanismus: die negativen Begriffe in der Suche besetzen, die positive Antwort in Bewertungen herstellen und die Aussagen entfernen, die beidem widersprechen.
Unsere Datenbank für 2023–2024 enthält Zehntausende mit NameSilo verbundene Missbrauchsmeldungen, die nach unserer Einschätzung ignoriert wurden oder keine wirksame Maßnahme auslösten. In dem damals von uns verfolgten Ausschnitt der Drainer registrierte praktisch jede Operation dort ihre Domains. Auf Grundlage dieses Datensatzes betrachteten wir NameSilo als den Registrar mit der schlechtesten Leistung. Den vollständigen Registrarvergleich werden wir gesondert veröffentlichen.
Unsere Meinung: Die wiederholten Artikel über Phishing, Sperrlisten, Entsperrung und Missbrauch wurden nicht geschrieben, weil ICANN dies verlangte. Sie wurden geschrieben, um die Suchen zu besetzen, die durch NameSilos reale Missbrauchsbilanz entstanden.
Die GUS-Verbindung: Belege, Meinung und ein wichtiger Vorbehalt
Wir waren bereits zu dem Schluss gelangt, dass der Betreiber von xmrwallet Russe war; Hosting und Infrastruktur waren nur ein Teil dieser Schlussfolgerung. Unabhängig davon identifizierten wir mehr als zehn russischsprachige oder mit der GUS verbundene NameSilo-Mitarbeiter.
Mikhail Chudinov ist wegen seines öffentlichen LinkedIn-Profils und seiner russischsprachigen Habr-Texte über Dezentralisierung und Kryptowährungen besonders relevant. Nach unserer Meinung behandelt seine Analyse Dezentralisierung, Metaversen und NFTs als sich überschneidende Bewegungen, ohne deren technische und wirtschaftliche Anreize ausreichend zu trennen, und zeigt eine begrenzte Sicht darauf, wohin sich Kryptowährungssysteme entwickelten.
Vorbehalt: Dies kann ein Zufall sein. Chudinovs Nationalität, Beschäftigung und öffentliche Ansichten beweisen für sich genommen nicht, dass er, NameSilo oder xmrwallet denselben Betreiber hatten. Wir dokumentieren die Überschneidung; wir stellen weder die Herkunft eines Mitarbeiters noch seine Meinungen als Beweis operativer Kontrolle dar.
Ein Reaktionsmuster: Rechtsdrohungen, Detektive und Unterdrückung
Von unserer ersten Nachricht an warnten wir sowohl xmrwallet als auch NameSilo davor, aus einem technischen Bericht eine Druckkampagne zu machen. Beide reagierten mit Drohungen, die Gerichtsverfahren und Privatdetektive einschlossen. Der xmrwallet-Betreiber schlug sogar vor, den Registrar vor Gericht zu bringen. NameSilo drohte später öffentlich mit rechtlichen Schritten, nachdem es angeboten hatte, VirusTotal-Erkennungen für denselben Kunden entfernen zu helfen.
Vielleicht funktionierte dieser Ansatz zehn Jahre lang. Die zugrunde liegenden Belege verschwinden dadurch nicht.
Aus unserer Sicht stand NameSilo bereits 2018 nahe dem Zentrum der von uns verfolgten Cybercrime-Registrierungen, während sich die Reaktion der ICANN wie eine einjährige Abwesenheit anfühlte. Das ist unsere Charakterisierung eines anhaltenden Vollzugsversagens — keine Behauptung, die ICANN habe buchstäblich ein Jahr lang geschlossen.
Diese fehlende Verantwortlichkeit schafft einen vorhersehbaren Anreiz: Ein Registrar kann Erkennungen für einen Kunden entfernen, später gegenüber der ICANN erklären, er könne nicht bestimmen, was Phishing ist, und Missbrauch falle nicht in seine Zuständigkeit, und dabei keine unmittelbaren Folgen erwarten. Das Verhalten der ICANN lässt dieses Muster fortbestehen.
xmrwallet war bereits geschlossen. Die spätere Twitter-Sperre, DSGVO-Anträge, DMCA-Mitteilungen, Beschwerden gegen einzelne Suchergebnisse, Phishing-Meldungen gegen unsere eigene Website, die Deindexierung bei Bing und versuchte IPFS-Takedowns konnten die Wallet nicht mehr schützen. Sie konnten nur NameSilos Ruf schützen.
Die Anträge richteten sich nicht nur gegen unsere Domain. Sie richteten sich gegen einzelne Links, die zu unserer Arbeit führten. Die öffentliche Spur in der Lumen Database dokumentiert einen Teil dieser Kampagne; weitere Unterlagen sind in unserem Telegram-Archiv gesichert.
Wir glauben außerdem, dass bei einem größeren Medienbudget der nächste vorhersehbare Schritt gekaufte Berichterstattung wäre, die den Forscher als Stalker oder Erpresser darstellt. Das ist eine Prognose auf Grundlage des Unterdrückungsmusters, kein Ereignis, von dem wir behaupten, dass es bereits stattgefunden hat.
Das war nicht eine Beschwerde gegen eine Seite. Die Kampagne richtete sich gegen unsere Domain und die einzelnen Suchergebnisse, die auf unsere Arbeit verwiesen — eine URL nach der anderen — mittels DSGVO, DMCA, Phishing-Meldungen und Plattformbeschwerden. Ziel war, die Untersuchung aus dem Suchweg verschwinden zu lassen, selbst wenn das zugrunde liegende Archiv online blieb.
Das Timing beantwortet die Motivfrage: xmrwallet war bereits geschlossen. Eine geschlossene Wallet konnte von diesem Angriff nicht mehr profitieren. Der verbleibende Begünstigte war NameSilo, dessen Name, Missbrauchsbilanz und Verteidigung der Wallet mit diesen Ergebnissen verbunden waren.
Wer sonst in dieser Geschichte manipuliert also wiederholt die Auffindbarkeit rund um exakte Namen und exakte negative Suchanfragen — durch eigene SEO-Seiten, bezahlte Distribution und, nach unserer Einschätzung, Google Ads zu bestimmten Begriffen? NameSilo. Dieselbe Logik erscheint erneut: den Namen besetzen, das Ergebnis ersetzen und den Link unterdrücken, der sich nicht umschreiben lässt.
Seien Sie vorsichtig, wenn Sie sich auf diesen Registrar verlassen. Nach unserer Erfahrung reagiert NameSilo auf unabhängige Kritik ganz anders als auf Leonid-zentriertes Lob oder bezahlte Veröffentlichungen mit vom Unternehmen geliefertem Text. Die Domain, die NameSilo verteidigt hatte, wurde schließlich zu einem anderen Registrar transferiert. Da xmrwallet keine Phishing-Landingpage, sondern eine funktionsfähige Wallet mit serverseitigem Diebstahlmechanismus war, erscheint uns dieser Transfer als Eindämmung von NameSilos eigener Exposition — nicht als Maßnahme gegen eine Phishing-Domain.
Wir formulierten die Regel von Anfang an: Druck gegen uns führt zu einer dokumentierten Antwort über rechtmäßige Kanäle. Jeder Deindexierungsantrag, jeder Takedown-Versuch und jede Drohung wird zu einem weiteren Beweisstück. Das ist keine Vergeltung außerhalb des Rechts; es ist Sicherung, Veröffentlichung und formelle Meldung.
Die Geldschätzung: klar von gesicherten Feststellungen getrennt
Unsere Arbeitshypothese lautet, dass die Operation mindestens 80 Millionen US-Dollar gestohlen hat. Diese Zahl ist unsere Schätzung, keine feststehende forensische Gesamtsumme. Die dokumentierte Opferstichprobe stützt nur eine niedrigere konservative Spanne; die 80-Millionen-Dollar-Hypothese extrapoliert über die öffentlich dokumentierten Fälle hinaus.
Eine zweite, getrennte Hypothese lautet, dass ein starker Aktivitätshöhepunkt im Vergleich mit Mitarbeiter- und Infrastruktur-Zeitlinien eine Phase groß angelegter Monero-Geldwäsche widerspiegeln könnte. Wir haben diese Schlussfolgerung nicht belegt.
Ebenso haben wir keine direkte Beziehung zu Tornado Cash oder gemeinsame Kunden belegt. Der xmrwallet-Artikel über Tornado Cash, das Timing und die umgebende Aktivität machen dies zu einer Frage, die Ermittler unserer Ansicht nach prüfen sollten — nicht zu einer Tatsache, die wir behaupten.
Wir luden jeden mit unmittelbarer Kenntnis ein, den Betrag über eine Wegwerfadresse zu korrigieren. Dann könnten wir diese Schätzung entfernen oder diese konkrete Spur weniger nachdrücklich verfolgen; doch keine anonyme Nachricht würde die Belege löschen oder aus dieser Untersuchung eine Verhandlung machen.
Während sie dieselben SEO-Artikel immer wieder umschrieben, unternehmensähnliche Mitteilungen kauften, Lob für den Support herstellten und versuchten, unsere Links zu löschen, wurde die von ihnen geschützte Operation geschlossen. Sie wurde weder von dem Opfer geschlossen, das sie in die Irre geführt hatten, noch von einem berühmten Ermittler oder einem kommerziellen Sicherheitsunternehmen. Wir haben sie geschlossen — ein nichtkommerzielles Forschungsprojekt, das für null Dollar arbeitet.
Die spätere Unterdrückungskampagne verschärft diesen Kontrast. Unternehmenskonten, rechtliche Beschwerden, Deindexierungsanträge und Takedown-Versuche richteten sich gegen Forscher ohne bezahltes Medienbudget. Dennoch konnten sie die Archive nicht entfernen, die Belege nicht rückgängig machen und die Wallet nicht wieder öffnen. Jeder Versuch erzeugte lediglich einen weiteren Zeitstempel und ein weiteres Beweisstück — ohne Kosten für uns.
Das ist keine operative Stärke. Es ist strategische Inkompetenz. Sie hatten Geld, Infrastruktur und Plattformzugang. Wir hatten Belege, öffentliche Archive und 0 Dollar — und der Scam ist das, was verschwunden ist.
Eine Logik, eine Strategie: Bewertungen herstellen, den Vorwurf in der Suche besetzen, unternehmensähnliche Berichterstattung kaufen, Erkennungen entfernen, die verteidigte Domain transferieren, den Forschern drohen und anschließend jeden Weg zu ihren Belegen unterdrücken. Der Kunde verschwand. Die Strategie lief weiter, weil ihre zweite Phase der Verteidigung von NameSilo selbst diente.
Was geschah, nachdem wir den Artikel veröffentlicht hatten?
Nachdem unser Bericht veröffentlicht worden war, richtete sich eine koordinierte Kampagne aus rechtlichen Maßnahmen und Plattformsperren gegen alle wichtigen Plattformen, auf denen PhishDestroy präsent war. Drei Mechanismen – jeder einzelne davon wurde protokolliert, archiviert und ist nun Teil der ICANN-Beschwerde Nr. 1479.
Noch bevor die Sperre in Kraft trat, veröffentlichten wir einen Tweet, in dem wir voraussagten, dass NameSilo auf die Unterdrückungstaktiken des Betrügers zurückgreifen würde, und versahen ihn in GhostArchive mit einem Zeitstempel. Sie taten genau das, was wir gesagt hatten – und zwar termingerecht. Die mit einem Zeitstempel versehene Vorhersage – die beweist, dass wir die Taktik bereits vor ihrer Anwendung vorausgesehen hatten – ist in der ICANN-Beschwerde gegen NameSilo (ICANN #1479) enthalten.
Alles läuft IPFS (phishdestroy.eth), Arweave, GhostArchive und Wayback Machine. 61 mit SHA-256 verifizierte Screenshots. Keine erfolgreiche rechtliche Anfechtung einer Behauptung. Keine technischen Gegenargumente seitens des Betreibers oder von NameSilo. Keine sachlichen Antworten – nur rechtliche Drohungen, persönliche Angriffe und gelöschte Tweets. Die vollständige Untersuchung mit Rohdaten, Team-Dossier, Geldwäscheanalyse und Hilfsangeboten für Betroffene finden Sie unter phishdestroy.eth.limo — auf IPFS, Arweave, GhostArchive und Wayback Machine gespiegelt. Keines dieser Archive erhält ein goldenes Häkchen.
Escape Domain Network: Bereits Monate vor der Abschaltung vorbereitet
Start 4. Februar 2026 — In derselben Woche, in der der Betreiber erstmals Kontakt zu PhishDestroy aufnahm, begann er, heimlich „Escape“-Domains bei vier verschiedenen Registraren zu registrieren und diese jeweils für 5 bis 10 Jahre im Voraus zu bezahlen. Die Infrastruktur war so konzipiert, dass sie jede einzelne Sperrung überstehen würde. Die Ermittlungen hat sie jedoch nicht überstanden.
Erste technische Aufschlüsselung mit vollständiger Belegung: github.com/phishdestroy/DO-NOT-USE-xmrwallet-com
| Domäne | Registrar | Prepaid | IP | Status |
|---|---|---|---|---|
| xmrwallet.cc | PublicDomainRegistry | 8 Jahre | 185.129.100.248 | AUSGESETZT |
| xmrwallet.biz | WebNic.cc | 5 Jahre | 190.115.31.40 | AUSGESETZT |
| xmrwallet.net | NICENIC International | 10 Jahre | 190.115.31.40 ← | DNS-Ausfall |
| xmrwallet.me | Key-Systems GmbH | 10 Jahre | 185.129.100.248 ← | AKTIV — Missbrauch gemeldet |
IP-Clustering: 185.129.100.248 Gemeinsam genutzt von .cc und .me – gleicher Host. 190.115.31.40 Gemeinsam genutzt von .biz und .net – gleicher Host. Vier Registrare, zwei IP-Cluster. 33 Jahre im Voraus bezahlte Registrierung. Alle wurden nach dem ersten Kontakt mit den Ermittlern heimlich registriert.
Gekaufter Ruf: Wikipedia, Forbes und mehr als 15 gesponserte Artikel
Der öffentliche Ruf von NameSilo ist inszeniert. Wikipedia: Kennzeichnung als bezahlter/werblicher Inhalt. Forbes: „Wir erhalten eine Provision“ – Offenlegung als Partnerprogramm. SmartCustomer: 1,8/5 – ohne negative Ergebnisse bei Google.
Zu „NameSilo“ gibt es einen Wikipedia-Artikel — von den Redakteuren als bezahlter/Werbeartikel gekennzeichnet, keine neutrale redaktionelle Berichterstattung. Bearbeitungshistorie (archiviert): en.wikipedia.org/w/index.php?title=NameSilo&action;=history
NameSilo erscheint auf Forbes Advisor mit einem ausdrücklichen Hinweis auf eine Partnerbeziehung: „Forbes Advisor hält sich an strenge redaktionelle Integritätsstandards … Wir erhalten eine Provision.“ Forbes Advisor verdient Geld, wenn sich Nutzer über seine Links anmelden – wodurch ein direkter finanzieller Anreiz für positive Berichterstattung entsteht. Quelle: forbes.com/advisor/business/software/namesilo-review/
NameSilo verfügt über eine Bewertung: 1,8/5 auf SmartCustomer — Quelle: smartcustomer.com/bewertungen/namesilo.com. Obwohl Dutzende negativer Bewertungen vorliegen, liefert eine Google-Suche keinerlei negative Ergebnisse – eine aktive Unterdrückung unter Einsatz derselben DSGVO- und DMCA-Instrumente, die auch gegen unsere Untersuchung angewendet wurden.
NameSilo Technologies Corp. (CSE:BZI / OTC: URLOF – börsennotierte Muttergesellschaft von NameSilo LLC) nutzt PR Newswire für Unternehmensmitteilungen. PR Newswire ist ein kostenpflichtiger Verbreitungsdienst: Das Unternehmen verfasst den Text und bezahlt für die Veröffentlichung. Beispiele für kostenpflichtige Pressemitteilungen von NameSilo Technologies:
- Übernahme der SewerVUE Technology Corp. — newswire.ca, 12. September 2025
- Tochtergesellschaft Reach Systems erhält Auftrag von der NASA — prnewswire.com, 23. Juni 2026
Derselbe Mechanismus: xmrwallet nutzte am 21. Januar 2026 PR Newswire, um seine Titelgeschichte („Private Schlüssel gelangen niemals auf zentrale Server“) zu veröffentlichen, während die Hintertür aktiv war. Bezahlte Verbreitung, bei der vom Betreiber verfasste Texte als berichtenswerte Inhalte präsentiert wurden.
Drei Positionen. Ein Unternehmen. Keine davon übersteht den Kontakt mit den anderen.
NameSilo hat keine einheitliche Linie vertreten. Das Unternehmen nahm nacheinander drei sich gegenseitig widersprechende Positionen ein – selbstbewusster Experte, bedrohtes Opfer, bescheidener Beamter –, je nachdem, wie groß das rechtliche Risiko zu dem jeweiligen Zeitpunkt war.
„Ihre Behauptungen sind falsch, verleumderisch und diffamierend. NameSilo ergreift Maßnahmen und prüft alle bei uns eingegangenen Missbrauchsmeldungen. Sollten Sie solche Fälle haben, reichen Sie diese bitte unter abuse@namesilo.com ein. Andernfalls wenden Sie sich bitte direkt an den Website-Host oder den Registranten. Und hören Sie mit Ihren Falschbehauptungen gegenüber uns auf, sonst sehen wir uns gezwungen, rechtliche Schritte einzuleiten.“
Wenn Ihr Team für Missbrauchsfälle die Kompetenz hätte, eine umfassende und gründliche Überprüfung durchführen, feststellen, dass die Domain gehackt wurde, den Registranten als Opfer identifizieren und ihm dabei helfen, die von VirusTotal gemeldeten Erkennungen zu entfernen — dann behaupten Sie ausdrücklich, über mehr Fachkompetenz und technisches Know-how zu verfügen als jeder Antiviren-Anbieter, der diese Domain als bösartig eingestuft hat.
Du kannst später nicht behaupten, dass du Berichte einfach bearbeiten und verfügen nicht über das nötige Fachwissen, um Phishing zu erkennen. In der ICANN-Beschwerde wird nicht nach Kompetenzen gefragt, über die Sie nicht verfügen. Es wird gefragt, warum Sie die Kompetenzen, über die Sie nachweislich verfügen, dazu genutzt haben, dem Betrüger zu helfen – und nicht den Opfern.
Trustpilot: Bot-Farmen im Wettbewerb mit anderen Bot-Farmen
Eine 5-Sterne-Bewertung für NameSilo (Jan. 2026): „Leonid war sehr hilfsbereit … 5 Sterne!“ Die andere Bewertung: für Otrium – ein Unternehmen, gegen das Vorwürfe wegen Betrugs und Gelddiebstahls erhoben werden. Ein Bot-Account, zwei Unternehmen, die mit Betrug in Verbindung stehen. Muster: namentlich genannte Support-Mitarbeiter, gelobte Reaktionszeit, vorlagenartige Formulierungen. Echte Domain-Käufer bewerten Preise und die Benutzererfahrung im Control Panel. Bot-Bewertungen loben „Leonid“.
Datenanalyse – 2.280 Bewertungen zu NameSilo gegenüber 2.480 Bewertungen zu Namecheap
| Metrisch | NameSilo | Namecheap |
|---|---|---|
| 5-Sterne-Bewertungen | 88.9% | 74.0% |
| 1-Stern-Bewertungen | 7.2% | 16.7% |
| Konten mit einer einzigen Bewertung | 62.4% | 59.6% |
| Kein Avatar (neue Konten) | 67.3% | 51.5% |
| Bewertungen zu Support/Service | 70.0% | 60.2% |
| Bewertungen zum Preis/zu den Kosten | 9.8% | 37.5% |
| Der Agent mit dem Decknamen „Leonid“ | 5.7% | 0.0% |
| Geolokalisierung in den USA | 35.1% | 26.5% |
Leonid tauchte am 13. April 2025 auf. Zuvor gab es keinerlei Erwähnungen. Dann folgten 65 Bewertungen in seinen ersten beiden Monaten. Mai 2025: 106 Bewertungen (5× so viele wie üblich), 95 % Fünf-Sterne-Bewertungen, keine Ein-Sterne-Bewertung. Kein einziger unzufriedener Kunde in 106 Bewertungen für einen Registrar, der bei den .com-Preisen auf Platz 96 rangiert.
43 % der Bewertungen zu „Leonid“ sind kürzer als 80 Zeichen. Vier davon bestehen lediglich aus dem Titel „Leonid“. Noch drei: „Leonid war sehr hilfsbereit.“ Unter den Rezensenten: „Satoshi Nakamoto“, „Autor“, „Виктор -“, „Anna Koroleva“, „Boris Martin“, „Andrei Dobrescu“ gemischt mit „Brad“, „LaToya“, „Patty Johnson“. Ein Namensgenerator, der durch die Kontinente wechselt. Der Name Leonid ist russisch.
Keine Vier-Sterne-Bewertungen. Keine Drei-Sterne-Bewertungen. Sonst gar nichts. 91 % der Bewertungen stammen von Konten mit nur einer Bewertung. Über einen Zeitraum von 7 Jahren. China: 94 % Fünf-Sterne-Bewertungen, 80 % davon mit nur einer Bewertung. Singapur: 95 % Fünf-Sterne-Bewertungen. Insgesamt 168 Bewertungen aus chinesischsprachigen Märkten – fast ausschließlich gefälscht.
Warum China? NameSilo betreibt dort aktive Marketingmaßnahmen: namesilo-china.com, bcbay.com/namesilo, bezahlte chinesische Blogbeiträge, ein Artikel in der chinesischen Wikipedia. Wenn Ermittler fragen: „Wer kauft 4,22 Millionen stillgelegte Domains?“, verweist NameSilo auf China. Die Trustpilot-Daten zeigen, dass das Unternehmen dieses Alibi seit 2019 aufbaut – eine gefälschte Bewertung nach der anderen.
Unabhängige forensische Analyse der Claude-API – Blindtest
2.480 Trustpilot-Bewertungen zu NameSilo und 2.480 zu Namecheap wurden an die Claude-API übermittelt und dabei als „Unternehmen A“ (NameSilo) und „Unternehmen B“ (Namecheap) anonymisiert. Die KI hatte keine Kenntnis davon, welches Unternehmen welches war.
| Forensischer Indikator | NameSilo (A) | Namecheap (B) |
|---|---|---|
| 5-Sterne-Bewertung | 89.1% | 74.0% |
| Anteil der 1-Stern-Bewertungen | 7.1% | 16.7% |
| Einweg-Konten, die 5 Sterne vergeben | 92% | ~65% |
| Bewertungen, in denen der Preis erwähnt wird | 11.2% | 39.2% |
| In Rezensionen als einziger Akteur genannt | Leonid: 168 | keine |
| 5-Sterne-Wortschatzvielfalt (TTR) | 0.073 | ~0.15 |
| HK: 100 % Fünf-Sterne-Bewertung | 57/57 | k. A. |
| Spitzenwert Mai–Juni 2025 (5-facher Normalwert) | 215 Bewertungen | keine |
| Urteil zur Manipulation durch KI | 92% | 15% |
„Unternehmen A weist umfangreiche, vielschichtige Anzeichen für eine systematische Manipulation von Bewertungen durch koordinierte künstliche Generierung auf. Die Wahrscheinlichkeit, dass diese Muster auf natürliche Weise entstehen, tendiert gegen Null.“
Ausführliche Analyse: phishdestroy.eth.limo/namesilo-trustpilot.html · Rohdaten: trustpilot-forensic-report-final.txt
Was die Untersuchung ergeben hat
Nach den Recherchen und der Veröffentlichung durch PhishDestroy stellte xmrwallet.com den Betrieb ein. Der Betreiber verschickte eine Abschiedsnachricht – und unterschrieb diese bemerkenswerterweise nicht mehr mit „Nathalie Roy“. Die Identität, die jahrelang das öffentliche Gesicht von xmrwallet gewesen war, wurde stillschweigend aufgegeben. Eine Erklärung wurde nicht gegeben.
xmrwallet.com wurde schließlich auf sein GitHub-Repository umgeleitet – dieselbe öffentliche Fassade, die ein Jahrzehnt lang als „Open-Source“-Alibi gedient hatte. Dazu waren drei Versuche nötig. Das Repository war seit 5 Jahre Vor der Umleitung: keine Commits, keine Updates, keine Wartungsarbeiten – was zu einem Projekt passt, dessen tatsächlicher Code ausschließlich auf einem nicht geprüften Produktionsserver lag und nie zur öffentlichen Überprüfung bestimmt war.
xmrwallet.com wurde im Mai 2026 zu Namecheap übertragen und ist bis 2036 registriert. NameSilo betrachtet die Angelegenheit offenbar als geklärt. Das ist es nicht.
Du dachtest, die Experten, die jeden Antiviren-Anbieter übertrumpfen konnten, würden aufhören, sobald die Domain umgezogen ist? Die Ermittlungen laufen auf IPFS. Sie laufen auf Arweave. Sie laufen im offiziellen Beschwerdesystem der ICANN. Sie laufen bei den Strafverfolgungsbehörden der EU. Sie laufen bei drei nationalen Einheiten zur Bekämpfung der Cyberkriminalität. Die rechtliche Drohung fügte der Akte einen weiteren Zeitstempel hinzu. Die Domainübertragung fügte ein weiteres Beweisstück hinzu. Jede Maßnahme, die ergriffen wurde, um diese Untersuchung zu unterbinden, ist selbst ein dokumentierter Beweis für das von uns beschriebene Muster.
Ihr wart in dieser Situation nicht die Klügsten. Ihr hattet nur eine Zeit lang mehr Geld.
Verwandte Ermittlungen
