NameSilo hat unseren Twitter-Account lahmgelegt Weil wir die Wahrheit über sie gesagt haben

Die Belege: X widerspricht sich selbst schriftlich

Zwei offizielle E-Mails vom X-Support. Dasselbe Konto. Derselbe Einspruch. Gegensätzliche Entscheidungen. Die zweite ist die aktuellere. Lesen Sie sie der Reihe nach.

E-Mail Nr. 2 ist die jüngere Entscheidung. Sie hebt E-Mail Nr. 1 ausdrücklich auf. Darin heißt es – schriftlich, auf dem eigenen Briefkopf von X –, dass das Konto wieder voll funktionsfähig gemacht. Das Konto wurde nicht wiederhergestellt. Das kostenpflichtige Abonnement wird weiterhin in Rechnung gestellt. Es gibt keine dritte E-Mail, die E-Mail Nr. 2 widerruft. Die jüngste Zusage von X gegenüber uns wird schlichtweg nicht eingehalten.

Warum das passiert ist

Am 27. März haben wir veröffentlicht Das Ende von xmrwallet[.]com: NameSilo hat gelogen, um einen Krypto-Dieb zu schützen. Die Untersuchung war reproduzierbar: PHP-Endpunkt-Dumps, archivierte Anweisungen, mehr als 15 dokumentierte Opfer. Drei andere Registrare (Indien, Malaysia, China) prüften dieselben Beweise und sperrten ihre xmrwallet Domains in Tagen. Nur NameSilo hat den Betrüger verteidigt.

Was als Nächstes geschah, ist entscheidend. Die Reihenfolge ist entscheidend:

1. Der Betrüger hat uns zunächst direkt per E-Mail kontaktiert — noch bevor NameSilo eine öffentliche Stellungnahme abgegeben hatte, noch bevor Berufung eingelegt worden war. In seiner E-Mail forderte er uns auf, „den Registrar zu verklagen“. Das ist kein Satz, den ein einzelner Betrüger an einen Forscher schreibt, der ihm auf den Fersen ist. Das ist ein Satz, den jemand schreibt, der bereits weiß, dass der Registrar hinter ihm stehen wird. Eine solche Reaktion haben wir bei keinem anderen Betrüger beobachtet, den wir bisher dokumentiert haben.
2. NameSilo gab daraufhin eine öffentliche Erklärung ab die zwei nachweisbare Unwahrheiten enthält, wörtlich zitiert und in unserer Medium-Recherche archiviert:
   • „Die Domain wurde vor einigen Monaten gehackt.“ — war durch die Tatsache widerlegt wird, dass der eigene Diebstahlschutzcode des Betreibers zum Zeitpunkt der Erklärung von NameSilo noch in der Produktion lief.
   • „Zuvor hatten wir keine Meldungen über Missbrauch erhalten.“ — was durch unsere Empfangsbestätigungen für mehrere frühere Missbrauchsmeldungen mit umfassenden technischen Beweisen widerlegt wird.
   In derselben Erklärung hieß es außerdem: „Der Registrant bemüht sich um die Streichung aus den VT-Berichten,“ war bestätigt, dass NameSilo den Versuch des Betreibers, die Erkennungen bei VirusTotal zu entfernen, während der Diebstahlcode aktiv war, ausdrücklich unterstützt hat.
3. In derselben Erklärung, NameSilo tat unsere Untersuchung als unseriös ab und bot öffentlich an, dem Betreiber dabei zu helfen, die Erkennungen von Sicherheitsanbietern (VirusTotal, Fortinet) entfernen zu lassen – während der gestohlene Code noch aktiv war.
4. Wir sachlich geantwortet zu dieser öffentlichen Stellungnahme. Keine Belästigung. Kein Spam. Kein Doxing. Wir haben die Sachverhaltsdarstellung an derselben Stelle richtiggestellt, die NameSilo gewählt hatte.
5. Sieben Tage später, Zwei PhishDestroy X-Konten wurden gesperrt. Als Grund wurde „Zahlung“ angegeben. Die Abonnements waren bezahlt. Am 14. April wurde der Grund in „unzulässiges Verhalten“ geändert. Nach Einlegung eines Einspruchs lautete der Grund erneut „kein Verstoß, wiederhergestellt“. Die Sperre und die nicht zurückerstatteten Zahlungen blieben jedoch unverändert.

Gibt es eine Verbindung zwischen NameSilo und dem Betrüger?

Die xmrwallet[.]com Der Betreiber reagierte souverän auf Missbrauchsmeldungen, twitterte gemeinsam mit der Registrierungsstelle unter Verwendung abgestimmter Argumente und hat die Domain in zehn Jahren voller Beschwerden nie verlegt. So verhalten sich nervöse Betrüger nicht. So verhalten sich Betrüger, die eine Absprache haben.

In den mehr als hundert Fällen von Phishing-Betreibern, die wir dokumentiert haben, ist uns diese spezielle Abfolge bisher noch nie begegnet:

Die Infrastruktur des Betreibers entspricht nicht der eines Hobbybetreibers. Laut unseren Mittlere Untersuchung, xmrwallet[.]com wird gehostet auf $550/month bulletproof hosting via IQWeb FZ-LLC (eingetragen in Belize), hinter DDoS-Guard (Russland). Das ist eine professionelle, gut vorbereitete und gegen Angriffe geschützte Infrastruktur – keine einmalige Betrugsseite. Ein einzelner Betreiber, der eine gut vorbereitete, absolut sichere Infrastruktur betreibt und gleichzeitig seinen Registrar dazu bringt, öffentlich eine Stellungnahme zu seiner Verteidigung abzugeben, ist zumindest eine ungewöhnlich gut koordinierte Aktion.

Wir können keinen Zusammenhang außerhalb der Bücher von NameSilo nachweisen. Das könnten nur deren interne Unterlagen. Doch angesichts der vorliegenden Beweise bleiben zwei Erklärungen: Entweder ist der Betreiber der selbstbewussteste Krypto-Betrüger des letzten Jahrzehnts und hat richtig darauf gesetzt, dass sein Registrar ihn instinktiv schützen würde — oder Zwischen ihnen besteht eine nicht offengelegte Verbindung. Der erste Fall verdient öffentliche Aufmerksamkeit. Der zweite Fall rechtfertigt eine Vorladung. Die Strafverfolgungsbehörden in den EU-Mitgliedstaaten bearbeiten derzeit den zugrunde liegenden Fall.

Direkte Beweise: Was NameSilo öffentlich gesagt hat vs. was tatsächlich passiert ist

Die obigen Absätze beschreiben ein Muster. In diesem Abschnitt werden die konkreten sachlichen Widersprüche zwischen den öffentlichen Erklärungen von NameSilo und unseren eigenen Aufzeichnungen aus erster Hand dokumentiert. Wir verlangen von niemandem, uns blind zu glauben – jeder der folgenden Punkte lässt sich anhand von Archiven Dritter, Zustellbestätigungen und der Wayback Machine überprüfen.

Das Löschmuster: Beiträge, nicht nur Kommentare

Im Laufe unserer dreijährigen Untersuchung konnten wir in Echtzeit beobachten, wie die Unterdrückungsschicht auf drei verschiedenen Plattformen wirkte. Das Muster war so konsistent, dass wir jedes Mal vor der Veröffentlichung damit begannen, die Daten zu archivieren.

• GitHub. Gesamte Konten die Beiträge oder Kommentare gepostet haben, in denen auf xmrwallet[.]com wurden gelöscht – nicht einzelne Kommentare, nicht ganze Threads, sondern die gesamten Konten. Wir verfügen über Wayback-Archivierungen von Threads zu diesem Thema, bei denen das Profil des Kommentators nun einen 404-Fehler zurückgibt. Jeder, der Nachforschungen anstellt, kann GitHub im Rahmen eines ordnungsgemäßen rechtlichen Verfahrens fragen, wie viele Benutzerkonten mit Beiträgen, in denen xmrwallet zwischen 2018 und 2026 geschlossen wurden und aus welchem angegebenen Grund. Wir gehen davon aus, dass die Zahl nicht unerheblich sein wird.
• Trustpilot. Dutzende wahrheitsgemäße negative Bewertungen wurden in mehreren aufeinanderfolgenden Wellen entfernt. Die Löschungen konzentrierten sich jeweils auf die Zeiträume öffentlicher Beschwerden, was eher auf eine koordinierte Meldung als auf eine organische Moderation hindeutet. Auch hier gilt das interne Löschprotokoll von Trustpilot, das im Rahmen einer Vorladung vorgelegt wurde, als maßgeblicher Nachweis.
• X (Twitter). Kritische Antworten auf die betrugsähnlichen Konten verschwanden in einem Ausmaß, das sich mit den üblichen Richtlinien der Plattform kaum erklären lässt. Nach unserem @Phish_Destroy Als das Konto schließlich unter einer sich ständig ändernden Begründung gesperrt wurde (siehe die oben aufgeführten E-Mail-Bestätigungen), ergab sich für mich das Gesamtbild. Das gleiche Unterdrückungsschema, das seit Jahren gegen einzelne Beschwerdeführer angewendet wurde, wurde nun auch gegen ein Forschungskonto eingesetzt.

Wir möchten klarstellen: Wir behaupten nicht, dass es sich um Telepathie handelt. Wir behaupten, dass es eine dokumentierte Chronologie gibt. Beitrag veröffentlichen. Archivieren lassen. Löschen lassen. Das Ganze wiederholt sich über drei Plattformen hinweg, für dieselbe Zielgruppe, ein Jahrzehnt lang, während der Registrar die Domain nie umzieht. Für diese Chronologie braucht es keine Verschwörungstheorie. Es reicht ein Antrag auf Zugang zu öffentlichen Unterlagen.

Wenn Sie Opfer von xmrwallet[.]com — Bitte treten Sie vor

Wir wissen, dass es noch mehr von Ihnen gibt. Wir wurden privat von Personen kontaktiert, die Geld verloren haben und sich nicht öffentlich zu Wort melden wollten, solange der Betreiber noch aktiv war und sein Registrar ihn noch öffentlich verteidigte. Die Situation hat sich nun geändert. Der Betrieb wurde aufgedeckt, die Infrastruktur ist dokumentiert, und die Strafverfolgungsbehörden in den EU-Ländern arbeiten an dem zugrunde liegenden Fall.

An die Institutionen, die tatsächlich eine Offenlegung erzwingen können – ICANN Compliance, die GDPR-Behörden, das kanadische Anti-Betrugs-Zentrum (der Betreiber ist kanadisch), die zuständigen Steuerbehörden sowie jedes Gericht, das für die Betriebsgesellschaft von NameSilo zuständig ist: Das Primärquellenmaterial wird aufbewahrt und ist auf Anfrage verfügbar. Zustellungsbelege, Wayback-Archiv-Snapshots, ein Artikel auf Medium, ein Diagramm zur Infrastruktur von Domain-Report sowie Zeugenaussagen von Opfern mit unterzeichneter Einwilligung. Wir halten keine Beweise zurück. Wir stellen sie Ihnen in einer Form zur Verfügung, die Sie tatsächlich nutzen können.

Wenn man Schwarz als Weiß bezeichnet, wird es dadurch noch lange nicht weiß. Ein Jahrzehnt öffentlicher Beweise, mehr als 20 dokumentierte Missbrauchsmeldungen, eine auf „Bulletproof“ gehostete Diebstahlplattform, koordinierte Kontolöschungen auf drei Plattformen, ein gesperrtes Forschungs-Konto und ein namentlich genannter Betreiber, dessen Identität bereits öffentlich bekannt ist – das ist kein PR-Problem. Es ist ein rechtliches Problem. Wir sind zuversichtlich, dass die öffentlich zugänglichen Unterlagen bereits genügend Material enthalten, um das Problem zu lösen.

Die Opfer: Wer wurde tatsächlich geschädigt?

Das implizite Argument von NameSilo, das statt einer Rücknahme auf die Schaltfläche zum Melden von Missbrauch greift, lautet: „Es hat uns nicht gefallen, bloßgestellt zu werden.“ Das ist verständlich. Es gefällt den meisten Menschen selten, bloßgestellt zu werden. Aber man muss die beiden Schäden gegeneinander abwägen.

Die Dauerakte

Das Sperren eines Twitter-Kontos beseitigt die Beweise nicht. Alles, was für diesen Fall relevant ist, wird archiviert:

• Jede öffentliche Stellungnahme von NameSilo zur Verteidigung der xmrwallet Operator — Wayback Machine, Archive.today, unser GitHub-Repository für Belege.
• Screenshots des Live-Diebstahlcodes in der Produktion, mit Zeitstempeln.
• 8 PHP-Endpunkte wurden rückentwickelt und veröffentlicht.
• Die gesamte Konversationskette zur Meldung des Missbrauchs.
• Unsere gesamte X-Timeline wird auf Mastodon, Bluesky, Medium, Telegram, GitHub und IPFS gespiegelt.
• Stündliche Momentaufnahmen von phishdestroy.io selbst, 14-tägige Aufbewahrungsfrist, eigens eingerichtet, damit nichts, was wir geschrieben haben, still und leise verschwinden kann.

Sollte ein einzelner Mirror ausfallen, bleibt der Inhalt auf den anderen sieben erhalten. Die Architektur ist älter als NameSilo. Sie wird NameSilo überdauern.

War das fair? Fünf Fragen an alle Leser

Das sind keine rhetorischen Fragen. Lesen Sie die oben genannten Argumente durch und entscheiden Sie dann selbst – ganz privat, auf Ihrer Timeline oder während Sie darüber nachdenken, ob Sie Ihre Domains behalten oder umziehen möchten.

1. Ist es gerechtfertigt, einen Sicherheitsforscher zu sperren, weil er öffentlich auf die eigene öffentliche Stellungnahme eines Registrars reagiert hat? Der Protokollführer brachte das Gespräch in Gang. Der Forscher antwortete mit Fakten. Nur eine Seite wurde zum Schweigen gebracht.
2. Ist es akzeptabel, dass ein Registrar in einer öffentlichen Stellungnahme dokumentierte Forschungsergebnisse als unseriös abtut und gleichzeitig einem Betrüger anbietet, ihm dabei zu helfen, Sicherheitserkennungen zu umgehen? Beides geschah in einer einzigen Erklärung von NameSilo. Die Opfer werden darin an keiner Stelle erwähnt.
3. Ist es zulässig, dass X seine eigene Begründung für die Sperre ausdrücklich schriftlich zurückzieht („kein Verstoß, wieder freigeschaltet“) und die Sperre dennoch aufrechterhält? Laut der jüngsten Entscheidung von X selbst sollte der Account aktiv sein.
4. Ist es zulässig, dass ein kostenpflichtiges Verifizierungsabonnement weiterhin in Rechnung gestellt wird, während das zugehörige Konto gesperrt ist? Wenn die Dienstleistung nicht erbracht wird, handelt es sich dann um ein Produkt – oder um eine Vertragsverletzung?
5. Was bedeutet der Begriff „good standing“ bei einem von der ICANN akkreditierten Registrar? Kann ein akkreditierter Registrar die Missbrauchskanäle einer Drittanbieterplattform als Waffe einsetzen, um den Forscher zum Schweigen zu bringen, der das Versagen bei der Reaktion auf den Missbrauch dokumentiert? Dies ist eine Frage der Compliance und wird in die bestehende RAA § 3.18-Einreichung aufgenommen.

Falls eine Antwort lautete: „Nein, das ist nicht fair“

Hier sind drei konkrete Maßnahmen, die keine Kosten verursachen, geordnet nach ihrer Wirksamkeit (aufsteigend).

1. Öffentlich teilen

Stille Missbilligung bringt nichts. Sichtbarer Druck hingegen schon. Ein Klick, bereits ausgefüllt:

2. Fragen Sie die Parteien namentlich

Markiert sie. Stille Missbilligung bringt nichts. Sichtbare Fragen von Lesern werden wahrgenommen.

• @NameSilo — ist das @Phish_Destroy Sperre im Zusammenhang mit Ihrer öffentlichen Erklärung, in der Sie angeboten haben, dem xmrwallet Werden die Erkennungen des Betreibers entfernt?
• @X / @XSupport / @elonmusk — In E-Mail Nr. 2 heißt es: „wieder voll funktionsfähig“. Das Konto ist gesperrt. Welche Entscheidung ist maßgeblich?
• @ICANN — Fällt die Vergeltung von Registraren gegenüber Forschern unter RAA § 3.18?
• @Tucows — Sind Vergeltungsmaßnahmen gegen Forscher wegen missbräuchlicher Nutzung der Plattform mit Ihren OpenSRS-Reseller-Standards vereinbar?

3. Domains umziehen (das ist der unangenehmste Schritt)

Unternehmen reagieren auf Umsatzverluste, nicht auf Tweets. Überweisungen dauern etwa fünfzehn Minuten. Unsere Seite mit den Registrierungsstatistiken listet Registrare mit einwandfreier Bilanz bei der Reaktion auf Missbrauchsfälle auf. Jede umgezogene Domain ist ein Datenpunkt zur Verlängerungszahl, den die Geschäftsführung von NameSilo im nächsten Quartal sehen wird.

Wenn Sie eine Organisation sind – sei es ein Krypto-Projekt, eine Bug-Bounty-Plattform, ein journalistisches Medium oder ein Unternehmen für Bedrohungsinformationen – mit irgendein Domain bei NameSilo: Überlegen Sie sich, was es bedeutet, den Registrar zu unterstützen, der eine Diebstahlsaktion im Wert von über 20 Millionen Dollar gedeckt und anschließend den Forscher zum Schweigen gebracht hat, der dies dokumentiert hat. Sie können diesen Schritt öffentlich vollziehen. Das hat Gewicht.

Schlusswort

Man kann nicht zehn Jahre lang eine Diebstahlsmasche im Wert von über 20 Millionen Dollar decken, in der Öffentlichkeit darüber lügen, Vergeltungsmaßnahmen gegen den Forscher ergreifen, der einen überführt hat – und dann erwarten, dass die ganze Sache stillschweigend in Vergessenheit gerät. Vor allem nicht, solange die Strafverfolgungsbehörden der EU an dem Fall arbeiten.

Wir verlangen nicht, dass Sie uns einfach beim Wort nehmen. Jede der oben genannten Tatsachenbehauptungen ist verlinkt, dokumentiert, mit einem Zeitstempel versehen, extern archiviert und nachvollziehbar. Wir bitten Sie, sich die Beweise anzusehen, die fünf Fragen für sich selbst zu beantworten und entsprechend Ihrer eigenen Antwort zu handeln. So sieht Fairness aus – ein Leser, der die Beweise liest und selbst entscheidet. Genau das soll durch das Schweigen verhindert werden.

PhishDestroy ist ein unabhängiger Anbieter von Bedrohungsinformationen. Keine Zahlungen, keine Sponsoren, keine Gefälligkeiten. Wir veröffentlichen, was wir finden. NameSilo hat uns deswegen gesperrt.

Ursprüngliche Untersuchung: phishdestroy.io/xmrwallet-NameSilo-exposed
Recherche in den Medien (Primärquelle): PhishDestroy.medium.com/xmrwallet-com-2953f35b8a79
Beweismittel-Repo: github.com/PhishDestroy