# PhishDestroy — de/trustwallet-panel-exposed ================================================================ Title: Trust-Wallet-Phishing: 239.000 $ gestohlen | PhishDestroy Canonical: https://phishdestroy.io/de/trustwallet-panel-exposed Published: 2026-03-01T00:00:00 Updated: 2026-03-01 Author: PhishDestroy Research Schema: Organization, ImageObject, ContactPoint, WebSite, SearchAction, EntryPoint, NewsArticle, BreadcrumbList, ListItem, WebPage OG image: https://phishdestroy.io/assets/images/covers-v4/trustwallet-panel-exposed.webp ## SUMMARY ---------------------------------------------------------------- Ein falscher Support-Chat im Namen von Trust Wallet erbeutete in 14 Monaten über 239.000 $. Eine IDOR-Lücke legte 1.900 Opfer-Chats und 6 Betreiber offen. ## STRUCTURE ---------------------------------------------------------------- - Phishing-Panel von Trust Wallet aufgedeckt: 239.000 Dollar gestohlen, 6 Betreiber identifiziert - Zusammenfassung - So funktioniert der Betrug: Ablauf des Angriffs - Finanzieller Schaden: Die höchsten bestätigten Verluste - Der tatsächliche Schaden dürfte weitaus höher sein - Identifizierung des Bedieners - Hauptbetreiber: Vasiliy Navrotsky - In den Chat-Protokollen identifizierte Teammitglieder - Social-Engineering-Taktiken - Die Ironie - Trichter zur Einbindung von Opfern - Infrastrukturanalyse - Kernbereichsarchitektur: tttadmin.com - Hosting-Infrastruktur - Phishing-Domains (rotierend) - Kritische Sicherheitslücken - 11 Nicht authentifizierte API-Endpunkte - Funktionen des Admin-Panels (Quellcode-Analyse) - Forschungsaktivitäten Dritter festgestellt - Reverse-Shell-Payload in Chat Nr. 1 gefunden - Zeitplan der Operation - Empfehlungen für Nutzer - Vollständiger technischer Bericht mit Chat-Protokollen - Diese Untersuchung teilen - Verwandte Ermittlungen ## CONTENT ---------------------------------------------------------------- Zurück zu den Nachrichten ERMITTLUNGEN ZU EINER AKTIVEN BEDROHUNG Phishing-Panel von Trust Wallet aufgedeckt: 239.000 Dollar gestohlen, 6 Betreiber identifiziert tttadmin.com · Live-Chat-Betrug · IDOR · Seit 14 Monaten aktiv · März 2026 9 Minuten Lesezeit· Aktualisiert März 2026· PhishDestroy Research Artikel anhören 0:00 / --:-- Als PDF herunterladen – Offizieller Bericht Auf dieser Seite01 / 12 1,900 Chat-Sitzungen für Betroffene $239K+ Als gestohlen bestätigt (USDT/ETH/BTC) 21 Betrüger-Wallets identifiziert 6 Benannte Operatoren Zusammenfassung Diese Untersuchung dokumentiert TrustWalletPanel — eine raffinierte Phishing-Aktion, bei der über die Backend-Domain vorgetäuscht wurde, es handele sich um Trust Wallet tttadmin.com. Kandidat für 14 Monate (Januar 2025 – Februar 2026) richtete sich die Aktion über einen gefälschten Support-Chat gegen Krypto-Nutzer, wobei Seed-Phrasen abgegriffen und unter dem Vorwand der „OFAC-Konformität“ und des „Vermögensersatzes“ Einzahlungen gefordert wurden. Alle 1.900 Gespräche mit den Opfern wurden über eine kritische IDOR-Sicherheitslücke abgefangen. Die Identität des Hauptbetreibers wurde aufgedeckt. So funktioniert der Betrug: Ablauf des Angriffs Die Vorgehensweise folgt einem sorgfältig ausgearbeiteten 5-stufigen Ablauf, um aus jedem Opfer den größtmöglichen Gewinn zu erzielen: Stufe 1 Entdeckung — Die Opfer stoßen über Telegram-Gruppen, Liebesbetrugsmaschen (unter dem Decknamen „Sofia“) oder Suchmaschinenergebnisse auf die Phishing-Domain Phase 2 Gefälschte Geldbörse — Phishing-Seite ahmt die Benutzeroberfläche von Trust Wallet nach; erfasst die mnemonische Seed-Phrase und das Passwort bei der „Wallet-Erstellung“ Stufe 3 Live-Chat-Auslöser — Auszahlungsversuche schlagen absichtlich fehl; der Chat-Mitarbeiter erscheint als „Trust Wallet Support“ Stufe 4 Social Engineering — Die Betreiber behaupten, Vermögenswerte seien aufgrund von Verstößen gegen OFAC- und AML-Vorschriften eingefroren worden, und verlangen Kryptowährungseinzahlungen als „Ersatz“ oder zur „Überprüfung“ Etappe 5 Wiederholte Extraktion — Ständige Forderungen nach zusätzlichen Zahlungen unter Einsatz von Drucktaktiken und Fristsetzung Finanzieller Schaden: Die höchsten bestätigten Verluste ↔ Chat-ID | Betrag | Vermögenswert | Kontext #1795 | 197.000 USDT | TRON (TRC-20) | Von der Ex-Frau ausgeliehen #481 | ~45,77 ETH | Ethereum | Mehrere Einzahlungen #965 | ~16.000 USDT | USDT | Fortlaufende Einzahlungen #720 | 8.000 USDT | TRC-20 | Eintägiger Transfer #1090 | 5.839 USDT | USDT | Alleinerziehende Mutter, Verlust bestätigt #1430 | ~3.686 USDT | USDT | Zwei getrennte Einzahlungen #92 | 3.340,23 USDT | USDT | Bestätigter genauer Betrag #1089 | 0,3201 BTC | Bitcoin | Aus der Ledger-Hardware-Wallet Der tatsächliche Schaden dürfte weitaus höher sein Es handelt sich hierbei um unbestätigte Angaben aus Chat-Protokollen. Viele Opfer haben die Beträge nie gemeldet. Aufgrund der regelmäßigen Wechsel der Wallets lassen sich die Gesamtbeträge in der Blockchain ohne eine vollständige Rückverfolgung der Blockchain nicht berechnen. Identifizierung des Bedieners Hauptbetreiber: Vasiliy Navrotsky Parameter | Wert Vollständiger Name | Vasiliy Navrotsky (Василий Навроцкий) Telegram-ID | 6005741623 Aktueller Handle | @Addmeks Benutzernamen-Verlauf | @Slo221, @Li_Sin_main, @Handert, @Surr2201, @surr2204 Gültigkeitszeitraum | Juli 2023 – Mai 2025 Nachverfolgte Nachrichten | 249 in 61 Telegram-Gruppen Wichtige Gruppen | Binance RU (34), P2P LAB (9), Trust Wallet RU (6) In den Chat-Protokollen identifizierte Teammitglieder 👤 Lyokha / Alexey Haupt-Chat-Mitarbeiter 👤 Dima Operator (Chat Nr. 92) 👤 Maksim Moderator (Chat Nr. 446, 201 Nachrichten) 👤 Andrey Betreiber (Chat Nr. 579) 👤 Aleksander Telegram-Personalvermittler 👤 Sofia Fiktive Identität bei Liebesbetrug Social-Engineering-Taktiken ↔ Taktik | Nachrichten | Beschreibung Identitätsbetrug im Zusammenhang mit Trust Wallet | 1,905 | Gibt sich als offizieller Support von Trust Wallet aus Anträge auf Sperrung/Blockierung von Wallets | 360 | Behauptung, das Wallet sei aufgrund „verdächtiger Aktivitäten“ gesperrt worden Angebote zum Austausch von Vermögenswerten | 305 | Das Versprechen, eingefrorene Vermögenswerte nach der Einzahlung zu „ersetzen“ Drohungen mit OFAC-Sanktionen | 210 | Falsche Behauptungen über Sanktionen des US-Finanzministeriums gegen eine Wallet Forderungen nach einer Kaution zur Freischaltung | 185 | Kryptowährungseinzahlung erforderlich, um die Wallet zu „entsperren“ Gefälschte Staking-Angebote | 161 | Benutzerdefinierte APY-Staking-Pools im Admin-Bereich Vorwürfe im Zusammenhang mit Geldwäschebekämpfung und Terrorismusfinanzierung | 66 | Opfern Geldwäsche vorwerfen Die Ironie Russischsprachige Betrüger, die es auf russischsprachige Opfer abgesehen haben (51 % der Chats auf Russisch) und mit folgenden Drohungen arbeiten: Sanktionen des US-Finanzministeriums (OFAC) — ein Regulierungsmechanismus, der in geografischer Hinsicht keinen Bezug zu den Betroffenen hat. Vorlagenbasiertes Social Engineering statt kontextbezogenes Verständnis. Trichter zur Einbindung von Opfern Erste Sitzungen 1,900 100% Auf den Chat geantwortet 679 35.7% Intensive Interaktion (10+ Nachrichten) 175 9.2% Bestätigte Überweisungen ~20 1% Sprachen: Russisch 51 % (3.013 Nachrichten) · Englisch 40 % (2.995 Nachrichten) · Sonstige 9 % (365 Nachrichten) Höchstaktivität: November 2025 (959 Nachrichten). Arbeitszeiten 10:00–13:00 UTC, am Wochenende 40 % weniger. Infrastrukturanalyse Kernbereichsarchitektur: tttadmin.com IDORKEINE AUTHENTIFIZIERUNGQUELLENKARTEN ENTHÜLLTCORS FALSCH KONFIGURIERT Komponente | Details Victim-API | appp.tttadmin.com Admin-Backend | core.tttadmin.com / app.tttadmin.com Statisches CDN | static.tttadmin.com Backend-Stack | Java Spring Boot + Spring Security, JWT RS256 Datenbank | PostgreSQL (JPA/Hibernate) Frontend | React CRA + Material UI (339 Quelldateien wiederhergestellt) Webserver | nginx/1.18.0 (Ubuntu) Hosting-Infrastruktur ↔ IP | Standort | Anbieter | Rolle 45.144.30.6 | Moskau, RU | UFO Hosting (AS33993) | In erster Linie auf die Opfer ausgerichtet 2.56.178.117 | Moskau, RU | UFO Hosting (AS33993) | Anfangsphase (Jan.-Feb. 2025) 185.170.198.121 | Vilnius, LT | Hostinger (AS47583) | Phishing-Frontend 69.10.62.71 | New York, USA | Interserver (AS19318) | Opferorientiert 69.49.231.166 | Atlanta, Georgia | Netzwerklösungen | Aktuelle Primärdomäne – alle *.tttadmin.com 94.131.121.154 | Moskau, RU | UFO Hosting (AS33993) | Phishing 146.185.239.62 | Madrid, ES | GTHost (AS63023) | Sekundär (Casino + Next.js) Phishing-Domains (rotierend) ALIVE (Cloudflare) wallet-premium.com PARKED (Epik) trustarter.io DEAKTIVIERT trust-multi-chain.com trust-multichain.com trust-multi.online coinbridge.online premium-trust.com ROMANCE-SCAM-FEEDER rynova-qw.shop Kritische Sicherheitslücken Die Infrastruktur des Betrugs-Panels war voller Schwachstellen, die eine vollständige Datenextraktion zum Kinderspiel machten: 11 Nicht authentifizierte API-Endpunkte # IDOR - enumerate all 1,900 chats by sequential ID POST /chat/get → Vollständiges Chat-Protokoll, ohne Authentifizierung# Returns latest victim session data POST /session/get → Passphrase + Passwort sind durchgesickert# Inject messages into any victim chat POST /message/save → Keine Authentifizierung erforderlich# Create fake victim sessions POST /session/init → Erfasst Seed-Phrasen# Full system config POST /system/get → swap_percent, status_support# All token/network config (174KB) POST /network/get → Vollständige Netzwerkdaten POST /token/info/get/all → Aktuelle Kurse auf CoinMarketCap POST /stake/get/all → Konfigurationen für Staking-Pools# Admin login - no rate limiting POST /admin/sign-in → Unbegrenzte Brute-Force-Angriffe IDOR auf /chat/get Alle 1.900 Chats können ohne Authentifizierung aufgerufen werden Quellkarten enthüllt 339 Quelldateien (3,4 MB) wiederhergestellt CORS falsch konfiguriert Gibt jede Herkunft mit Anmeldedaten wieder Keine Ratenbegrenzung Unbegrenzte Brute-Force-Angriffe auf den Admin-Login Funktionen des Admin-Panels (Quellcode-Analyse) Aus offengelegten Quellcode-Maps der Produktionsumgebung wurden 339 Quelldateien wiederhergestellt (main.3924229a.js.map). Das Podium besteht aus: Wallet-Manager Alle Wallets der Opfer mit Mnemonik-Phrasen anzeigen/bearbeiten Live-Chat (1-Sekunden-Umfrage) Echtzeit-Chat mit Opfern unter dem Namen „Trust Wallet Support“ Transaktionssteuerung Status bearbeiten, gefälschte Transaktionen einfügen Staking-Pools Individuelle APY-Zinssätze, Bindungsfristen, gefälschte Renditen Forschungsaktivitäten Dritter festgestellt Reverse-Shell-Payload in Chat Nr. 1 gefunden Es wurde eine Base64-kodierte Reverse-Shell-Nutzlast entdeckt, die über den nicht authentifizierten /message/save Endpunkt auf 6. Mai 2025 — etwa 10 Monate vor dieser Untersuchung. Dies deutet darauf hin, dass die Sicherheitslücken über einen längeren Zeitraum öffentlich ausgenutzt werden konnten und ein anderer Forscher sie schon lange vor uns entdeckt hatte. Zeitplan der Operation Januar 2025 Die ersten Opfer-Sitzungen tauchen auf (845 Nachrichten). Infrastruktur mit IP-Adressen aus Moskau. Mai 2025 Externer Forscher entdeckt IDOR und injiziert eine Reverse-Shell-Payload Nov. 2025 Höchstaktivität: 959 Nachrichten in einem einzigen Monat. SSL-Zertifikate wurden erneuert. Februar 2026 Neuestes Zertifikat ausgestellt. Betrieb weiterhin aktiv, neue Sitzungen erstellt. 1. März 2026 Ermittlungsbericht zu „PhishDestroy“ veröffentlicht. Alle 1.900 Chats wurden extrahiert und analysiert. Empfehlungen für Nutzer Gib deine Seed-Phrasen niemals weiter per Chat, E-Mail oder über einen anderen Supportkanal – Trust Wallet wird niemals danach fragen Support-Ansprechpartner überprüfen ausschließlich über die offiziellen Kanäle von Trust Wallet OFAC-/AML-Bedrohungen erkennen als gängige Betrugsvorwände – seriöse Dienste sperren Wallets nicht per Chat Phishing-Domains melden an das Sicherheitsteam von Trust Wallet und PhishDestroy [https://t.me/PhishDestroy_bot] Verwenden Sie Hardware-Wallets zur Unterschrift bei Auszahlungen, um unbefugte Überweisungen zu verhindern Wallet-Status überprüfen über den Blockchain-Transaktionsverlauf, nicht über eine „Support“-Oberfläche Vollständiger technischer Bericht mit Chat-Protokollen Vollständige Ermittlungsdaten einschließlich aller Chat-Protokolle, Wallet-Adressen, Betreiberanalysen und interaktiver Visualisierungen Den vollständigen Bericht auf GitHub anzeigen → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/] Alle 1.900 Chat-Protokolle anzeigen → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/chats.html] (GitLab [https://phishdestroy.gitlab.io/ScamIntelLogs/TrustWalletPanel/chats.html]) Diese Untersuchung teilen X / Twitter [https://twitter.com/intent/tweet?text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators&url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Telegram [https://t.me/share/url?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] Reddit [https://reddit.com/submit?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&title=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] LinkedIn [https://www.linkedin.com/sharing/share-offsite/?url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Verwandte Ermittlungen GRÜNDLICHE UNTERSUCHUNG Crypto Drainer Toolkit: Wiederverkäufer von „Angel Drainer“ entlarvt UNTERSUCHUNG BUYTRX entlarvt: 55 Domains & TRON-Approval-Drainer GRÜNDLICHE UNTERSUCHUNG Anatomie des Krypto-Phishings: 8 echte Seed-Phrase-Stealer im Rückentwicklungsverfahren analysiert ## EXTERNAL REFERENCES ---------------------------------------------------------------- t.me (3 mentions) github.com (2 mentions) gitlab.com (2 mentions) phishdestroy.github.io (2 mentions) phishdestroy.gitlab.io (1 mention) twitter.com (1 mention) reddit.com (1 mention) www.linkedin.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/de/trustwallet-panel-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.