No nos pagan. Nos exponemos a sufrir consecuencias reales por parte de delincuentes acorralados que disponen de dinero. En esta página se explica por qué hemos elegido esta lucha, qué intentamos demostrar y cómo hemos diseñado esta investigación.
Independencia y capacidad
Operamos de forma independiente. Sin patrocinadores corporativos, sin subvenciones, sin influencia financiera que aprovechar. Esta autonomía nos permite perseguir objetivos que las empresas de seguridad tradicionales evitan debido a cuestiones de responsabilidad o a conflictos de intereses. Se han neutralizado más de 130 000 dominios de phishing. Años de experiencia en el sector. Conocemos a fondo la infraestructura de las estafas, el comportamiento de los operadores bajo presión, la gestión de las denuncias por uso indebido de las plataformas y los mecanismos de las campañas de supresión.
Cómo se puso en marcha la investigación
Se advirtió directamente a la operadora («Nathalie Roy»): no mientas, no agraves la situación. Tuvo múltiples oportunidades para solucionar el asunto discretamente: borrar dos incidencias de GitHub y dar por zanjado el tema. Si ninguna víctima se hubiera quejado, el asunto habría terminado ahí. En cambio, optó por amenazar, mentir e involucrar a su registrador. NameSilo publicó entonces un tuit que contenía cuatro afirmaciones falsables de forma independiente, defendiendo públicamente un programa de extracción de datos marcado por VirusTotal ante una audiencia de 11 000 personas. Ese error táctico desencadenó una operación forense a gran escala.
Nuestro objetivo está en nuestro nombre: PhishDestroy. NameSilo decidió formar parte de la operación de phishing —defendiéndola, publicando declaraciones falsas y ocultando pruebas—. La respuesta es de carácter procedimental: documentar la protección, neutralizar la estafa y remitir el caso a las fuerzas del orden.
Uno de nuestros investigadores está escribiendo un trabajo de investigación forense sobre la criminología del fraude en línea. Esta investigación constituye el estudio de caso principal. El artículo desarrolla una metodología para investigar el robo de criptomoneda imposible de rastrear (Monero) — donde el análisis tradicional de la cadena de bloques resulta imposible.
Monero no tiene un libro mayor público. No se puede demostrar un robo mediante el análisis de la cadena de bloques. Sin Etherscan, sin historial de transacciones, sin atribución de monederos. Por eso xmrwallet.com sobrevivió durante una década: nadie podía cuantificar el daño utilizando herramientas estándar. El artículo demuestra que, cuando no se puede seguir el rastro del dinero, aún así se puede demostrar el delito mediante:
Esta investigación demuestra que el método funciona. Todas las pruebas recopiladas aquí —los patrones de supresión, el comportamiento idéntico, la respuesta al CAPTCHA, los 21 millones de entradas registradas— se incorporan directamente al artículo. El caso tenía que existir para que la investigación pudiera llevarse a cabo. Su arrogancia lo hizo posible.
Metodología operativa y medidas de respuesta
Previmos cada una de las medidas que iban a tomar. Decidimos deliberadamente no publicar en Twitter que sabemos lo que les hacen a personas como nosotros, porque Son tan arrogantes que no se dieron cuenta de que no nos estaban oprimiendo. Estaban haciendo exactamente lo que queríamos.
Vías paralelas, simultáneamente:
¿Les tendimos una trampa? No. Hicimos lo que siempre hacemos: denunciamos los abusos, publicamos las conclusiones y documentamos las respuestas. Decidieron ocultarlo. Sabíamos perfectamente que lo harían, y estábamos grabándolo.
Hemos presentado 11-12 denuncias formales por abuso a NameSilo —no para engañarlos, sino para comprobar nuestra hipótesis—. Si fueran realmente independientes del operador, investigarían un sitio web señalado por VirusTotal, con víctimas documentadas y con los propios correos electrónicos del operador en los que admite tener el control. Los ignoraron todos y cada uno de ellos. Todos los demás registradores que probamos tomaron medidas.
Distribución multiplataforma y seguimiento de supresiones
Lo publicamos el varias plataformas de forma deliberada. Medium, dev.to, nuestra propia web. No porque no pudiéramos publicarlo todo en un solo sitio, sino porque Necesitábamos que lo suprimieran por separado en cada plataforma.. La plataforma receptora registra cada acción de supresión: identidad del solicitante, dirección IP, marca de tiempo y método. Las fuerzas del orden pueden acceder a todos los registros de la plataforma mediante los procedimientos legales habituales.
Artículo de Medium: 304 «claps», 15 comentarios, 19 minutos de lectura. Una de las muchas plataformas en las que publicamos de forma deliberada.
«Honeytokens» y señuelos de supresión
No les «tendimos una trampa». Hicimos exactamente lo que hace cualquier investigador especializado en phishing: publicamos nuestros hallazgos, denunciamos los abusos y documentamos las respuestas. Prefirieron silenciarlo en lugar de responder. Ya nos lo esperábamos, porque ese es el patrón que siguen todos los operadores que hemos estudiado. La diferencia es que, esta vez, había alguien observando y grabando.
Tenemos No tengo ningún interés en difamar a NameSilo. No nos importa el precio de sus acciones. Publicamos un tuit para ver cómo reaccionaban. Y así fue: uno de sus inversores intentó revelar la identidad de un investigador y luego borró los tuits. NameSilo respondió con la misma respuesta estándar que puso de manifiesto su comportamiento primitivo y predecible, idéntico al del operador. Nuestro objetivo está en nuestro nombre: PhishDestroy. Acabamos con el phishing. Eso es todo.
Hemos sacrificado nuestra cuenta de Twitter —más de 200 000 tuits, años de pruebas— porque así lo exigía la investigación. Esperamos que el proceso permita recuperar todo lo que se ha ocultado, ya que cada tuit eliminado, cada enlace suprimido y cada artículo desindexado constituyen en sí mismos pruebas sujetas a verificación. Todas las plataformas en las que nos han censurado guardan registros. Durante una década lograron eliminar con éxito todo lo negativo de los resultados de búsqueda; nuestro análisis de SEO lo demuestra. Solo dejaron lo que les convenía.
Hemos publicado dos artículos en Medium. El artículo n.º 1 solo mencionaba xmrwallet; no se hacía referencia alguna a NameSilo. El artículo n.º 2 estaba orientado específicamente al SEO de NameSilo. Ambos fueron eliminados del índice. En nuestra propia web ocurre lo mismo: contenido exclusivamente sobre xmrwallet y contenido específico sobre NameSilo. Más de 20 enlaces por palabra clave, todos ocultados. Si NameSilo y el operador no tienen relación alguna, ¿quién está limpiando los resultados de búsqueda de NameSilo? ¿El operador que está limpiando la reputación de su registrador? Las entidades independientes no funcionan así.
Todos los análisis que publicamos incluían una advertencia sobre el registrador y la verdad acerca de su conducta. A ellos no les gustó. Pero lo que ellos ven como una «batalla» —nuestras publicaciones frente a sus retiradas— — Nunca fue una batalla. Fue una operación planificada. Cada medida se diseñó con un único objetivo: hacer que generaran pruebas en su contra. Creen que estaban respondiendo a ataques. En realidad, estaban mordiendo el anzuelo. Cada solicitud de retirada, cada desindexación, cada notificación DMCA — pruebas que ellos mismos fabricaron en su contra.
Monero es imposible de rastrear. No deja rastro en la cadena de bloques. Los métodos de investigación tradicionales no sirven en este caso. Así que nos hemos adaptado: Si no podemos seguir el rastro del dinero, seguimos el de su comportamiento. Nos convertimos en el objetivo para que pudieran demostrar el patrón. Un cazador no persigue por el bosque a una presa imposible de rastrear: coloca trampas y espera. Y ellos cayeron en todas y cada una de ellas.
Infraestructura descentralizada y mitigación de riesgos
Porque no somos una sola persona. 4 o más investigadores Se ha trabajado en esta investigación. Las víctimas han colaborado. Se ha informado a las fuerzas del orden de varios países. Las pruebas se encuentran en IPFS: son inmutables, descentralizadas y cuentan con supervisión automática. Si algún servidor espejo deja de funcionar, se activa automáticamente uno nuevo.
Creen que borrar los enlaces hace que las pruebas desaparezcan. No es así. Genera más pruebas. Cada eliminación queda registrada. Cada intento de supresión constituye una prueba más en el expediente del caso.
Publicación en dev.to — publicada también en otras plataformas para crear varios registros de supresión en todas ellas.
Evaluación de amenazas para el operador
El operador nos envió un correo electrónico: «Contraté a un abogado y a un detective privado». No apareció ningún abogado. No apareció ningún investigador privado. Lo que sí apareció: notificaciones de retirada en virtud de la DMCA, denuncias masivas, ataques DDoS procedentes de njal.la (un distribuidor de NameSilo) y una manipulación coordinada de Trustpilot. Cada amenaza, cada acción, cada marca de tiempo: todo queda documentado.
Google Search Console: todos los dominios que ves aquí se crearon con un único objetivo: ser eliminados. Y así fue. Todos y cada uno de ellos.
Fíjate en esa captura de pantalla. Cada subdominio de Azure, cada URL de artículo — Las creamos expresamente para que fueran denunciadas y eliminadas. ¿Por qué alguien crearía una docena de copias del mismo contenido en diferentes plataformas? Porque las necesitábamos para presentar una docena de solicitudes de retirada independientes. La plataforma registra cada solicitud. Cada registro contiene la identidad del solicitante, la dirección IP, la marca de tiempo y el método utilizado. Las plataformas conservan durante años los registros de retiradas en virtud de la DMCA y el RGPD.
No se lo pensaron dos veces. En cuanto vieron contenido negativo, pulsaron «denunciar». Tanto en NameSilo como en xmrwallet. El mismo patrón, la misma rapidez, las mismas plataformas. Nunca se pararon a preguntarse: ¿Por qué PhishDestroy no deja de crear nuevos enlaces? ¿Por qué un «voluntario loco» seguiría fabricando espejos que no dejan de ser retirados? Porque cada retirada es una prueba. Cada denuncia en virtud de la DMCA es una huella digital forense. Y cuando los investigadores citan a Google, Bing, Twitter, Trustpilot y Medium — El patrón será idéntico en ambas entidades. El mismo solicitante. El mismo método. El mismo calendario. No se trata de dos empresas sin relación entre sí. Se trata de una misma operación.
Hemos investigado cientos de operaciones fraudulentas. Ninguno de ellos tenía este aspecto. La mayoría de los autores de ataques de phishing huyen, se esconden o dejan de actuar cuando se les descubre. Estos no lo hicieron. Hicieron todo lo contrario:
Esto es lo que hace que el caso resulte interesante desde el punto de vista forense. El patrón de supresión idéntico tanto en NameSilo como en xmrwallet Es la huella que nos propusimos capturar. No necesitamos demostrar la conexión mediante correos electrónicos o pagos: la demostramos a través del comportamiento. Les dimos unos objetivos. Los eliminaron de forma idéntica en ambas entidades: mismas plataformas, misma velocidad, mismos métodos. Ese patrón de comportamiento es la prueba. Y es lo único que no pueden borrar, porque figura en los registros de la plataforma de todas las empresas a las que nos han denunciado.
Contaminación de bases de datos y contaminación de la telemetría
Porque Nuestro objetivo es proteger a las personas — y mientras xmrwallet.com estuvo activo, la gente seguía perdiendo dinero. Creamos un script de Cloudflare Workers que introducía carteras en todos los dominios de xmrwallet (.com, .me, .cc, .biz, .net) de forma continua —en los mismos campos de entrada donde las víctimas reales introducen sus claves—. Si se trata de una cartera legítima del lado del cliente (como afirman), esto no afecta a nada. Las entradas de la frase de semillas en una cartera legítima se procesan localmente. No hay nada que «atacar».
Pero xmrwallet.com roba todas las frases de semilla que se introducen. Llevamos a cabo una operación sistemática de «envenenamiento de datos», inyectando 21 millones de señuelos criptográficos para hacer que sus conjuntos de datos robados resulten inútiles desde el punto de vista operativo. No nos habríamos detenido. No hasta que el sitio hubiera dejado de funcionar. Da igual si hubieran añadido hCaptcha, Cloudflare Turnstile o cualquier otra cosa: habríamos seguido accediendo a los monederos y protegiendo a la gente de ellos. Eso es, literalmente, lo que significa nuestro nombre.
Nuestras carteras no se limitaron a autorizar la operación y marcharse. En cada sesión comportamiento realista simulado de los usuarios — hacer clic en enlaces, navegar por páginas, esperar intervalos variables, imitar a diferentes tipos de usuarios (explorador, remitente, usuario avanzado, principiante, paranoico). Entendemos cómo funcionan los sistemas de análisis, y xmrwallet.com funciona Google Analytics, Google Tag Manager y un píxel de seguimiento de Google en una cartera «anónima». Nuestras sesiones se diseñaron con un alto grado de aleatoriedad, de modo que el operador no pudo distinguir nuestras entradas de las de las víctimas reales por el comportamiento de la sesión, el tiempo de conexión o los patrones de navegación. Cada monedero robado que aparece en sus registros queda perdido en nuestro enorme montón de datos.
Después de que nuestra herramienta llevara semanas en funcionamiento, el operador añadió un CAPTCHA —un sencillo desafío cuadrático de fuerza bruta que se puede resolver en unos 0,1 segundos con Python—. Una cartera legítima no necesita un CAPTCHA al introducir la frase de semillas. Ledger no lo tiene. Trezor no lo tiene. MyMonero no lo tiene. Ninguna cartera legítima lo tiene, porque las carteras legítimas procesan las semillas de forma local. La única razón para añadir un CAPTCHA es si estás recoger y registrar cada entrada en el lado del servidor. El propio CAPTCHA es una prueba del mecanismo de robo.
Esperábamos que implementaran una solución de verdad: hCaptcha, Cloudflare Turnstile, algo que funcionara bien. Pero no lo hicieron. Implementaron un problema trivial que se podía resolver por fuerza bruta en 0,1 segundos. Esto lo dice todo sobre su nivel técnico. Protegían su red de robos, no a sus usuarios.
xmrwallet.com: 4.743 sesiones · xmrwallet.me: 114.031 sesiones. Ejemplo de registro de una ejecución. La herramienta se reinició y se actualizó en varias ocasiones —cuando se eliminaron o modificaron dominios, o cuando se introdujo el CAPTCHA—. Los registros completos de todas las ejecuciones suman aproximadamente 21 millones de participaciones válidas en todos los dominios de xmrwallet, de febrero a abril de 2026. El conjunto de datos completo está a disposición de las fuerzas del orden previa solicitud.
5,4 RPS en total para todas las acciones, pero No más de una autorización cada 7-10 segundos. Esto no supone ningún problema para un monedero que funciona del lado del cliente, ¿verdad? A menos que funcione del lado del servidor. A menos que registren cada una de las entradas. A menos que lo roben todo y escriban el registro completo. Que es exactamente lo que hacen.
¿Se trata de un ataque? No. Introducimos datos en un formulario web público. Eso es todo. No eludimos la autenticación, no aprovechamos vulnerabilidades, no accedimos a ningún sistema al que no debiéramos acceder. Utilizamos la página tal y como estaba previsto: como una «billetera». Si la página funciona tal y como se anuncia (solo del lado del cliente), lo que introducimos no tiene ningún sentido. Si lo que introducimos les importa… eso demuestra que el mecanismo de robo existe.
Notificamos formalmente a DDoS-Guard (su proveedor de alojamiento) la naturaleza de nuestra actividad, describimos el mecanismo de recopilación de frases semilla y facilitamos las direcciones IP de los servidores. Nunca se pusieron en contacto con nosotros, nunca pusieron objeciones, nunca nos pidieron que parásemos. El silencio significa que no hay problema. Nuestro script consumía menos de 50 MB de RAM y funcionaba a un ritmo de 5,4 solicitudes por segundo — menos del 1 % de la capacidad del servidor. Sabemos más o menos qué servidor utilizaron. Nuestro tráfico era invisible.
Y ahora viene lo mejor. Al tratarse de una «cartera privada del lado del cliente», xmrwallet.com afirma que no guarda registros. Pero si ellos hacer llevan registros (porque roban), y ahora tienen más o menos el mismo número de entradas que nosotros — 21 millones. ¿Y si lo que intentan es procesar, evaluar y vaciar cada cartera? Son 21 millones de carteras de Monero que hay que escanear, cargar y comprobar sus saldos. El coste computacional que supone evaluar 21 millones de carteras es enorme. Cada cartera vacía supone una pérdida de tiempo y recursos. La cartera de cada víctima real queda sepultada en un pajar de entradas. De eso se trataba precisamente.
¿Quieres acusarnos de un atentado? Solicita nuestros registros. Te proporcionaremos gigabytes de datos que muestran 21 millones de entradas de frases de semillas en tu «monedero legítimo del lado del cliente». Explica ante un tribunal por qué un monedero del lado del cliente registró, procesó e intentó utilizar todas ellas.
En todos los dominios de xmrwallet (.com, .me, .cc, .biz, .net), nuestra herramienta registró aproximadamente 21 millones de entradas correctas en el monedero. «Éxito» significa que xmrwallet.com aceptó la frase de semillas, la procesó en el servidor e intentó acceder al monedero, exactamente igual que hace con las víctimas reales. Tenemos registros de cada uno de estos casos. Cada entrada es una prueba de que el sitio recopila y procesa las frases de semillas en el servidor. Si fuera realmente «solo del lado del cliente», no habría nada que registrar, nada que procesar y ninguna razón para añadir un CAPTCHA que nos impidiera el acceso.
La ironía: Intentaron proteger su mecanismo de robo en lugar de protegerse a sí mismos. Añadieron CAPTCHAs para seguir robando. Deberían haber estado preparando una defensa legal. Cada resolución de CAPTCHA, cada desafío de DDoS-Guard, cada sesión del lado del servidor… todo quedó registrado y con marca de tiempo. Estaban tan ocupados defendiendo su capacidad para robar a la gente que se olvidaron de que alguien lo estaba grabando todo.
Las frases de semilla de Monero no almacenan la fecha de creación del monedero (altura de restauración). Esto plantea un dilema crucial para el atacante: si solo analiza los bloques recientes, se le escapan los monederos más antiguos, que podrían contener cantidades enormes. Los estafadores son codiciosos. Para asegurarse de que no se les escapa ningún titular a largo plazo, se ven obligados a analizar toda la cadena de bloques de Monero —desde el bloque Génesis de 2014 hasta la actualidad— en busca de cada una de las frases semilla.
Incluso con una infraestructura optimizada y nodos locales, un análisis criptográfico de toda la cadena tarda aproximadamente De 2 a 5 minutos de elevada carga de la CPU por monedero.
Hemos creado asimetría computacional absoluta: a nosotros nos lleva unos milisegundos generar e introducir un señuelo válido, pero a ellos les supone una infraestructura tangible, miles de dólares en gastos de servidores y un riesgo operativo enorme evaluarlo. No solo hemos contaminado su base de datos, sino que — Utilizaron su propia codicia como arma para agotar sus recursos informáticos.
Por eso hay quien considera que nuestros métodos son agresivos. Nosotros los consideramos proporcional y plenamente ético. Sin proxies. Sin botnets. Sin servicios de ataque de pago. Sin infraestructuras ilegales. Sin colaboración con proveedores del mercado gris. Todo funciona con Cloudflare Workers estándar: ligero, legal y transparente. No necesitamos herramientas caras ni ilegales para proteger a las personas. Las soluciones sencillas y legales son más eficaces, y se sostienen ante los tribunales.
Google Search Console — phishdestroy.github.io/DO-NOT-USE-xmrwallet-com: datos de indexación y rendimiento.
En este asunto no hay término medio.
Una página web o es una estafa o no lo es. No hay término medio. No nos importa quién se beneficie de ella, cuánto paguen ni quién los proteja. El operador es un delincuente. El registrador o bien no lo sabía (negligencia) o bien sí lo sabía (complicidad). Las pruebas apuntan a lo segundo.
¿Cometiste errores a propósito?
Sí. Nosotros marcadores de IA dejados a propósito a la vista y tomamos prestados patrones de comportamiento de otras investigaciones: pequeños errores que hacían que el operador y el encargado del registro se sintieran seguros de su campaña de supresión. Queríamos que nos subestimaran. Queríamos que pulsaran «denunciar» con plena confianza en que funcionaría, en que éramos aficionados que acabaríamos rindiéndonos. Cada medida de represión que llevaron a cabo con total seguridad es ahora una prueba documentada con fecha y hora. Los detalles se publicarán en un próximo artículo académico sobre análisis forense del fraude en línea, concretamente sobre la identificación de los autores de estafas a partir de su comportamiento.
¿Cuál es el objetivo final?
Las pruebas se han presentado ante Cumplimiento contractual de la ICANN y fuerzas del orden federales. La investigación continúa por la vía oficial. Este archivo existe para que nada pueda ser borrado, modificado u ocultado. Cada afirmación está respaldada. Cada captura de pantalla tiene un hash. Cada acción está documentada.
Si niegan haber eliminado reseñas, presentamos las capturas de pantalla de Wayback Machine. Si niegan haber ignorado las quejas, presentamos los acuses de recibo. Si niegan la conexión, presentamos las marcas de tiempo de PR Newswire, la coincidencia del patrón de supresión y los registros de compra del dominio.
Lo retiraron Entre 30 y 50 o más enlaces de los resultados de búsqueda en Google, Bing y múltiples plataformas — para ambas entidades. Esto demuestra una de estas dos cosas: o bien son extraordinariamente estúpidos y no se dan cuenta de que cada solicitud de retirada queda registrada y genera un rastro forense, o bien Tienen un acuerdo permanente con alguien para eliminar el contenido negativo.. En cualquier caso, los registros existen, el patrón es idéntico en ambas empresas y todo ello puede ser objeto de una citación judicial. Toda esta investigación se diseñó precisamente para obtener este conjunto de datos, tanto para el artículo académico como para las fuerzas del orden.
Esto nunca fue una discusión a gritos. Este es un expediente judicial.
Perfil de PhishDestroy Medium: una de las múltiples plataformas de publicación utilizadas para documentar y difundir pruebas.
Cada una de las afirmaciones anteriores cuenta con pruebas públicas. Empecemos por los casos más destacados:
Equipo de investigación de PhishDestroy
Iniciativa independiente contra el phishing — fundada en 2019
← Volver a PhishDestroy · Archivo de noticias · abuse@phishdestroy.io
PhishDestruir