Trustname[.]com: Ein Blick hinter die Kulissen eines „unangreifbaren“, von der ICANN akkreditierten Registrars, der betrügerische Casinos bedient

Die estnische Shell: Fewmoretaps OÜ

Fewmoretaps OÜ ist im estnischen Handelsregister unter der Registernummer 16354846, MwSt. EE102702659, mit einer virtuellen Büroadresse – Roseni tn 13, Tallinn. Gegründet am 01.11.2021 mit einem Stammkapital von 2.500 €, das nie eingezahlt („Ohne Einlage gegründet“ – Jahresbericht 2022).

Eigentümerstruktur: Ein belarussischer Betreiber kontrolliert die estnische Mantelgesellschaft, die beiden „unabhängigen“ Datenschutz-Proxys sowie die Marketing-Fassade fewmoretaps.com.

Eigentümerkette

Finanzen: 120 € pro Jahr und steigende Verluste

Die in Estland vorgeschriebenen Jahresberichte sind öffentlich zugänglich. Die Zahlen sprechen eine klare Sprache:

Marketingaussagen vs. eingereichte Unterlagen: „Millionen vertrauen uns“ und „Fortune-500-Kunden“ auf der einen Seite — 120 € Umsatz, 1 Mitarbeiter, Liquidation andererseits.

Finanztabelle (EUR)

„Kugelsicher“ – ihre eigenen Worte

Das ist keine Marketing-Fassung von PhishDestroy – es steht buchstäblich in Trustnames eigenem DNS-TXT-Eintrag:

„Trustname ist von der ICANN akkreditiert und der weltweit vertrauenswürdigste unabhängige Domain-Registrar für datenschutzbewusste Privatpersonen und Unternehmen in sensiblen Branchen. Verlassen Sie sich auf uns als Ihren zuverlässiger Domain-Registrar„Wir sind vertrauenswürdig, zuverlässig und preiswert.“

Von jedem mit einem DNS-Client überprüfbar: dig TXT trustname.com. In der Hosting- und Registrar-Branche, „kugelsicher“ ist ein Fachbegriff – er bezieht sich eindeutig auf Dienste, die sich gegen missbräuchliche Löschungsanträge wehren und Betreiber illegaler Inhalte unterstützen.

Das Netzwerk betrügerischer Casinos

Innerhalb von einem eine Woche (8.–13. April 2026) wurden über Trustname sechs betrügerische Krypto-Casino-Domains registriert, die alle hinter Trustnames eigenen Datenschutz-Proxys verborgen waren:

Alle sechs Casinos nutzen identische Next.js-Vorlagen, Webpack-Chunk-Hashes und ein gemeinsames russischsprachiges Admin-Backend unter gambler-partners.is.

Bestätigte Betrugsdomains (alle über IANA #4318 registriert)

Offshore-Datenschutz-Proxys – im Besitz des Registrars

Trustname nutzt keine unabhängigen Datenschutzdienste von Drittanbietern. Das Unternehmen betreibt eigene Dienste:

Tallinn (Shell) → Charlestown, Nevis (Perfect Privacy LLC) → Orlando, FL (WHOIS Privacy LLC) → Minsk (Betreiber). Alle Knoten werden von derselben Person kontrolliert.

Wohin fließt das Geld?

Zahlungsmethoden: Stripe + BTC/ETH/LTC/XMR/ZEC. An die estnische Steuerbehörde gemeldete Zahlungen: 120 € pro Jahr. Die Finanzierungslücke wurde durch „langfristige Darlehen“ in Höhe von 175.310 € aus nicht genannten Quellen gedeckt.

Die Trustname-Plattform akzeptiert Kartenzahlungen über Stripe (/v2/users/billing/stripe/payment-methods) und Kryptowährung über die folgenden Wallet-Adressen, die in den authentifizierten API-Benachrichtigungsendpunkt eingebettet sind:

ETH:  0xdee6582dc53fa56180311393018121c6f1e8bd7c
LTC:  MEREvHtzqAUTJ1XvEevmci8UqMnDvfe2ri
ZEC:  t1d19KevpcXpesr9XA9UUyMW9XGYVDxkK9S
XMR:  8B5N29BocrTjkRCeGCARnkhKgBeHBhg4oH7ay4RfXfnL7RqBdyiuL4k6iN4GVUVxt1EQJvZRqLg8n4qgCNWmYHQQDZmfytM

Die Akzeptanz von Monero (XMR) — eine Kryptowährung, die speziell darauf ausgelegt ist, nicht zurückverfolgbar zu sein — in Verbindung mit einem regulierten Zahlungsdienstleister (Stripe), der eine Identitätsprüfung (KYC) verlangt, und gleichzeitig zu erklären, 120 € Jahresumsatz Für die estnischen Steuerbehörden ergibt sich daraus ein Compliance-Paradoxon. Eine einzige .com-Registrierung zum Großhandelspreis (~13 US-Dollar) übersteigt bereits den angegebenen Jahresumsatz.

Marketingaussagen vs. Steuererklärungen

Was sie ihren Kunden sagen

• „Der am schnellsten wachsende unabhängige Domain-Registrar im Jahr 2025“
• „Millionen von Domain-Inhabern vertrauen darauf“
• „Von Fortune-500-Unternehmen geschätzt“
• „Ein Team von über 35 Mitarbeitern an verschiedenen Standorten weltweit“
• Niederlassungen in London, Beverly Hills und Melbourne
• Kunden: McDonald’s, Vodafone, Adidas, Tata, Yahoo, BCG (Logo-Wand auf fewmoretaps.com)
• „Seit 1997“ (fewmoretaps.com)

Was sie bei der estnischen Steuerbehörde einreichen

• 0 € Umsatz im Jahr 2023, 120 € Umsatz im Jahr 2024
• 1 Mitarbeiter (Vollzeitäquivalent) in beiden Jahren
• Eigenkapital −71.648 €, nicht eingezahltes Kapital in Höhe von 2.500 €
• Virtuelles Büro in der Roseni tn 13, Tallinn
• Eingetragen 2021, nicht 1997
• Unternehmen in Liquidation

Gefälschte Erfahrungsberichte („Wall of Love“)

30 Bewertungen. 11 verschiedene Vornamen. „Jack“ taucht 5 Mal auf, „Lily“ 6 Mal. Keine Fotos, keine Datumsangaben, keine überprüfbaren Profile, keine Links zu Trustpilot oder G2. Keine Nachnamen.

Analyse der trustname.com/wall-of-love Seite: 30 „Kundenbewertungen“, nur 11 verschiedene Vornamen. „Jack“ taucht fünfmal auf. „Lily“ sechsmal. „Megan“ dreimal. Alle Bewertungen bestehen aus allgemeinen, einzeiligen Lobeshymnen in einem einheitlichen Schreibstil. Es gibt keine Links zu unabhängigen Bewertungsplattformen. Keine überprüfbaren Kundenidentitäten. Zum Vergleich: Namecheap und Porkbun verfügen über Tausende verifizierter Bewertungen auf Trustpilot und G2.

Risiken im Bereich Infrastruktur und Sicherheit

Infrastrukturübersicht: Vercel-Frontend, AWS eu-central-1 Kubernetes mit öffentlich zugänglichen Kafka-Brokern auf Port 7777, offenes Strapi-Admin-Panel, ungeschütztes CoreNIC-WHOIS-System im Entwicklungsmodus.

trustname.com (Vercel / Next.js)
  ├── api.trustname.com              Fastify API (Swagger behind Basic Auth only)
  ├── admin.trustname.com            React-Admin panel (publicly accessible)
  ├── blog.trustname.com             Strapi CMS (admin UI exposed)
  ├── support.trustname.com          Freshdesk (EU instance)
  └── whois-fewmoretaps.corenic.net  Knipp DomainSRS (JSF Development mode)

fewmoretaps.com (WordPress) origin: 37.1.219.211
     Open ports: FTP:21 (vsftpd 3.0.5), SSH:22, HTTP:80, HTTPS:443

AWS eu-central-1 (EKS Kubernetes):
  35.156.29.145 / 18.196.68.81 / 52.28.105.156
  Port 7777 — Apache Kafka (Strimzi)
  SSL cert CN: kafka-staging-kafka   SAN: staging.kafka-0.trustname.com
  Namespace: backend-staging

Upstream registrar: OpenSRS (Tucows)
Invoicing: Quaderno · Payments: Stripe + Crypto
Email: Brevo  ·  Analytics: Google, Fuago
S3: domain-registrar-strapi-media (eu-central-1, leaked via CSP header)

Zeitleiste

Wer macht das möglich?

Jede größere Plattform, die mit diesem Vorgang in Berührung kommt, verfügt über eigene Nutzungsrichtlinien, die Betrug verbieten. Keine davon hat Maßnahmen ergriffen.

An die ICANN

• Wie konnte ein Unternehmen mit 0 € Umsatz und 0 Mitarbeiter Wurde zum Zeitpunkt der Antragstellung eine ICANN-Akkreditierung eingeholt? Welche Sorgfaltsprüfung wurde durchgeführt?
• Ein Registrar, dessen DNS-TXT-Eintrag wörtlich lautet: „absolut zuverlässiger Domain-Registrar“ und „sensible Nischen“ — Inwiefern steht dies im Einklang mit der Registrierungs-Akkreditierungsvereinbarung?
• Der Registrator steht nun unter Liquidation in Estland. Was geschieht mit laufenden Missbrauchsbeschwerden bezüglich Domains, die über IANA #4318 registriert wurden?
• Beide Eigentümer sind Staatsangehörige von Weißrussland — ein Land, gegen das seit 2020 umfassende Sanktionen der EU und der USA verhängt wurden. Wurde dies bei der Akkreditierung offengelegt?

An OpenSRS (Tucows)

• OpenSRS stellt die Upstream-API bereit, die Trustname zur Registrierung von Domains nutzt (bestätigt durch opensrsOrderId (in den Transaktionsdaten). Führt Tucows Compliance-Prüfungen bei Wiederverkäufern durch, die sich offen als „bulletproof“ vermarkten?
• Sechs Domains von Betrugs-Casinos – darunter eine, die bereits von Cloudflare markiert wurde – wurden innerhalb einer Woche über OpenSRS via Trustname registriert. Welche automatisierten Maßnahmen zur Betrugserkennung gibt es auf Reseller-Ebene?

An AWS, Stripe, Vercel, Cloudflare

• AWS: Der EKS-Cluster, der S3-Bucket und drei öffentlich zugängliche Kafka-Broker befinden sich in eu-central-1. Die AWS-Nutzungsrichtlinien verbieten Dienste, die Betrug begünstigen.
• Streifen: Kartenzahlungen werden über /v2/users/billing/stripe/payment-methods. Die Liste der unzulässigen Geschäftsbereiche von Stripe verbietet Dienste, die illegale Aktivitäten ermöglichen. Wurde das Kundenportfolio überprüft?
• Vercel: trustname.com und admin.trustname.com werden auf Vercel gehostet. Die Nutzungsbedingungen von Vercel verbieten „Dienste, die betrügerische Machenschaften fördern“.
• Cloudflare: jopexplay.com wird als „mutmaßlich irreführende Website“ gekennzeichnet. Die anderen fünf Casinos, die identische Vorlagen verwenden, sind weiterhin aktiv. Warum diese Uneinheitlichkeit?

Über Weißrussland und Monero

• Beide Eigentümer sind In Belarus steuerlich ansässige Personen. Weltweite Einkünfte müssen in Belarus gemäß belarussischem Steuerrecht angegeben werden. Die belarussischen Behörden haben mit den meisten westlichen Staaten kein Amtshilfeabkommen (MLAT) geschlossen – die Durchsetzung läuft daher praktisch ins Leere.
• Trustname akzeptiert Monero (XMR), eine Kryptowährung, die so konzipiert ist, dass sie nicht zurückverfolgt werden kann. Wie werden XMR-Zahlungen im Hinblick auf Mehrwertsteuer, Geldwäschebekämpfung und die estnische Finanzberichterstattung ausgewiesen? Der Jahresbericht zeigt 120 €. Gehört Kryptowährung dazu? Wenn nicht, wo wird sie dann eingeordnet?

Anzeichen für eine Kompromittierung

Registrar-Kennungen

IANA ID:        4318
WHOIS Server:   whois.fewmoretaps.com
Abuse email:    abuse@trustname.com
Abuse phone:    +372.6884747

Infrastruktur

trustname.com
fewmoretaps.com
harakiri.org
whoispps.com
gambler-partners.is
pictures-cdn.is

37.1.219.211      fewmoretaps.com origin (FTP, SSH, HTTP, HTTPS)
195.253.23.47     CoreNIC WHOIS origin
35.156.29.145     AWS Kafka broker
18.196.68.81      AWS Kafka broker
52.28.105.156     AWS Kafka broker

Bestätigte Betrugsdomains

noawin.com          henofex.com         jopexplay.com
bezowin159.pro      noswin152.pro       bazowin781.pro

Verwandte Forschungsarbeiten

Quellen & Überprüfung

Jede Aussage in diesem Bericht stützt sich auf öffentlich zugängliche Unterlagen oder auf Daten, die über das eigene, authentifizierte Konto des Forschers abgerufen wurden. Nachstehend sind die Primärquellen mit Anweisungen zur unabhängigen Überprüfung aufgeführt.

Handelsregister und Steuerunterlagen

ICANN- und Registrar-Kennungen

WHOIS- und DNS-Nachweise

Marketingaussagen (live + archiviert)

• trustname.com/about — „über 35 Personen“, „Kir N., Geschäftsführer“
• trustname.com Startseite – „Nr. 1 beim Wachstum“, „Millionen vertrauen darauf“, „Fortune 500“
• trustname.com/wall-of-love — die 30 Bewertungen / 11 verschiedene Vornamen
• fewmoretaps.com — „seit 1997“, „100 % Projektabwicklung“, Wand mit den Logos der Fortune-500-Unternehmen
• fewmoretaps.com/anfrage — Adressen in London / Beverly Hills / Melbourne
• whoispps.com — „Postsendungen werden entsorgt“
• harakiri.org — Perfect Privacy LLC, St. Kitts und Nevis
• Historische Momentaufnahmen: Wayback Machine für trustname.com

Technische Infrastruktur (nicht-intrusiv)

Analyse von Casino-Netzwerken

• Casino-Inhalte („Elon Musks offizielles Casino“) — curl https://henofex.com
• Cloudflare-Phishing-Blockierung — curl https://jopexplay.com Zeigt eine Cloudflare-Zwischenseite an
• Gemeinsame Vorlage (identische Chunk-Hashes) – vergleichen _next/static/chunks/ in allen sechs Bereichen
• Russischsprachiges Admin-Panel — curl https://gambler-partners.is gibt den Titel zurück „Gambler | Startseite“

Verwendete Werkzeuge

DNS / WHOIS:    dig, nslookup, whois
Port scanning:  nmap (service / version detection only)
HTTP:           curl (header + content retrieval)
SSL:            openssl s_client
JavaScript:     manual deobfuscation of publicly served bundles
PDF:            PyPDF2 (annual report text extraction)

Methodik zur Ermittlung der finanziellen Kosten

Die Mindestbetriebskosten von 35.000–50.000 Euro Diese Zahl basiert auf öffentlich zugänglichen Preisangaben:

• ICANN-Akkreditierungsgebühr: ~$4,000/year (Von der ICANN veröffentlichte Tarife)
• OpenSRS-Großhandel .com: $8–12/domain (Preise für Tucows-Wiederverkäufer)
• AWS eu-central-1 (3× m5.large für Kafka + EKS-Steuerungsebene + S3): $500–2,000/month (AWS-Preisrechner)
• Vercel Pro: 20 $/Monat, Freshdesk: 15 $/Agent/Monat, Brevo: 25 $/Monat (öffentliche Preislisten)
• Ausgewiesene Personalkosten für 2024: 24.084 € (der eigene Geschäftsbericht des Unternehmens)

Ethik und Methodik

Offenlegung und Berichterstattung

Diese Untersuchung wurde in voller Länge veröffentlicht als Offenlegung. PhishDestroy ist ein OSINT-Rechercheteam und keine regulierte meldepflichtige Einrichtung; daher besteht keine gesetzliche Verpflichtung gemäß § 306 des estnischen Strafgesetzbuchs (KarS) oder vergleichbarer EU-Rechtsvorschriften, eine private Meldung bei den Behörden einzureichen – diese Verpflichtung gilt ausschließlich für Banken, VASPs und ähnliche regulierte meldepflichtige Einrichtungen.

Sollten Missbrauchsmeldungen, die gegen über IANA #4318 registrierte Domains eingereicht wurden, weiterhin ignoriert werden, wird dieses Dossier offiziell an folgende Stelle weitergeleitet:

1. Einhaltung der ICANN-Vorgaben — icann.org/compliance/complaint · RAA § 3.7.8 (Richtigkeit der WHOIS-Daten) und § 3.18 (Umgang mit Missbrauch)
2. Tucows / OpenSRS — Upstream-Registrar; abuse@tucows.com, compliance@opensrs.com
3. CERT-EE (RIA) — cert@cert.ee
4. Estnische Steuerbehörde (MTA) (Maksu- ja Tolliamet, Steuer- und Zollbehörde) — Hotline für Hinweise auf Steuerbetrug vihjeliin@emta.ee
5. Estnische FIU (Statistisches Amt) — rab@politsei.ee im Zusammenhang mit Geldwäsche (AML) und nicht lizenzierten VASP-Aktivitäten
6. Stellen zur Bekämpfung von Missbrauch auf Plattformen — AWS Trust & Safety, Stripe Risk, Vercel Abuse, Cloudflare Trust & Safety
7. EU FIU.net über die estnische FIU – für den Teil, der die Sanktionen gegen Weißrussland betrifft

Vorerst wurde eine formelle Eskalation bewusst zurückgestellt: Die Registrierungsstelle befindet sich in Estland bereits in Liquidation, die Betreiber haben ihren Sitz in Weißrussland (kein MLAT ⇒ Vollstreckungssackgasse), und ein öffentlicher Bericht hat mehr Gewicht als ein Ticket in der Warteschlange. Wir werden die Lage neu bewerten, sollten sich die Umstände ändern – oder sollte jemand, der dies liest, ein Argument vorbringen, das dies rechtfertigt.

Diese Untersuchung wurde ausschließlich unter Verwendung von OSINT-Methoden und nicht-intrusiver technischer Analyse durchgeführt. Alle Datenquellen sind öffentlich zugänglich oder wurden über das eigene, authentifizierte Konto des Forschers auf der Plattform bezogen. Zu keinem Zeitpunkt wurde ein unbefugter Zugriff vorgenommen. Korrekturen, Gegenbeweise oder zusätzliche Daten: @PhishDestroy_bot · @Phish_Destroy · github.com/PhishDestroy.