NameSilo Defendió a un estafador de criptomonedas que se llevó 100 millones de dólares
— Entonces Nos han bloqueado la cuenta de Twitter
Un registrador acreditado por la ICANN publicó 4 mentiras documentadas para encubrir una operación de robo de Monero que llevaba 10 años en marcha, se ofrecieron a borrar su historial en VirusTotal mientras el drainer seguía activo y, a continuación, utilizaron una marca de verificación X Gold de pago para silenciar a los investigadores que demostraron que estaban equivocados. Su ingeniero de DevOps: exjefe de TI de una pirámide financiera rusa durante una década.
Este artículo es un avance. Las pruebas completas, los archivos IPFS y todo el material original se encuentran en el enlace anterior.
Antecedentes: ¿Qué es realmente xmrwallet.com?
xmrwallet.com no es una página de phishing. Es una una cartera de Monero totalmente funcional con una puerta trasera en el servidor creado en 2018 y en funcionamiento hasta mayo de 2026 —casi una década—. El repositorio de GitHub es una fachada pública. El código del robo solo existe en el servidor de producción, nunca se ha subido al repositorio ni se ha auditado.
Cada interacción del usuario envía la clave privada de visualización a los servidores del operador mediante una solicitud POST, codificada en Base64 en una variable denominada session_key — aproximadamente 40 transmisiones por sesión. La transacción del lado del cliente se descarta explícitamente (raw_tx_and_hash.raw = 0); el servidor genera la suya propia utilizando las claves robadas.
La auditoría de NewAlchemy obtuvo 67 votos positivos en Reddit y se utilizó como indicador de confianza durante años. Su alcance explícito: «Solo JavaScript del lado del cliente». Quedan expresamente excluidos del ámbito de aplicación: «numerosos puntos finales de la API de PHP». Esos puntos finales constituyen el mecanismo real del robo. La auditoría era estructuralmente incapaz de detectar la puerta trasera.
El robo está diseñado para ser selectivo. Los depósitos pequeños permanecen intactos durante años, lo que genera confianza y reseñas legítimas. Las cantidades elevadas se roban en cuestión de minutos. Una de las víctimas documentadas depositó 590 XMR, que desaparecieron en dos días. Cifra total estimada, basada en más de 15 víctimas documentadas: Entre 5.000 y más de 50.000 XMR robados (entre 1,5 y más de 15 millones de dólares a precios históricos). El 60 % de las publicaciones de las víctimas fueron denunciadas de forma masiva y eliminadas antes de que se pudieran recopilar las pruebas.
session_key al operador en cada sesión.Hemos recreado la exfiltración de claves basada en gtag en una demostración en un entorno aislado. Abre DevTools → pestaña «Red» → interactúa con el monedero. Observa session_key Las solicitudes POST se envían en tiempo real. Esto es lo que ha estado funcionando durante 10 años. Esto es lo que la «auditoría de seguridad» nunca tuvo en cuenta. Esto es lo que NameSilo defendió públicamente.
La frase que explicaba NameSilo
El 16 de febrero de 2026, el administrador de xmrwallet.com envió un correo electrónico a PhishDestroy exigiendo la eliminación de la denuncia. Firmó como «Nathalie Roy» — cuenta de GitHub nathroy, ID 39167759. Respondimos con un informe técnico detallado y una advertencia por escrito: «Lo que suceda a continuación dependerá totalmente de cómo decidas actuar».
Al día siguiente, nos envió una frase que lo decía todo sobre su relación con NameSilo:
Tres semanas antes de que NameSilo lo considerara la víctima
Nadie utiliza un desagüe de hace una década en $550/mo bulletproof Belize hosting, desde su puesto en la empresa rusa DDoS-Guard, te invita con toda tranquilidad a citar a su registrador —a menos que ya conozca la respuesta—. Otros tres registradores (PDR, WebNic y NICENIC) suspendieron sus dominios a los pocos días de conocer las mismas pruebas. NameSilo le redactó un comunicado de prensa y se ofreció a limpiar su historial.
21 de enero de 2026 — xmrwallet pagó a PR Newswire para que difundiera un comunicado de prensa en el que se afirmaba lo siguiente: «Las claves privadas nunca llegan a los servidores centrales». El session_key Durante todo este periodo se enviaron solicitudes POST en cada sesión de usuario al servidor de producción. PR Newswire es un servicio de distribución de pago: las empresas redactan y financian sus propios textos, sin revisión editorial. Fuente: PR Newswire, 21 de enero de 2026
Las cuatro mentiras de NameSilo, según consta oficialmente
El 13 de marzo de 2026, la cuenta oficial de NameSilo publicó un comentario en nuestro hilo de investigación. 11 300 visualizaciones antes de la captura. Archivado de forma permanente en ghostarchive.org/archive/CXXZ0. Cada frase queda refutada por fuentes primarias:
-
1«El dominio fue vulnerado hace unos meses (durante los cuales se sustituyó una copia de la página web por un programa de extracción de criptomonedas).»Los hash SHA-256 demuestran que el código no se modificó. El operador nos confirmó que así fue. su propio backend en PHP, escrito en 2018. No se introdujo nada. La historia del «hackeo» se inventó a posteriori.✗ INVENTADO
-
2«Antes de eso, no habíamos recibido ninguna denuncia de abuso relacionada con este dominio».Solo PhishDestroy envió Más de 20 informes a través del portal de NameSilo (2023-2026), con los recibos de entrega. Desde 2018 hay más de 100 quejas públicas en BitcoinTalk y Reddit. Desde que se hizo esta afirmación falsa, todas las denuncias que presentamos se publican con marcas de tiempo antes de su envío.✗ CONTRADICIDO POR LOS RECIBOS
-
3«Tras un exhaustivo análisis… en el que no ha participado el titular del registro».El operador nos escribió el 17 de febrero defendiendo su código como obra propia, antes de que NameSilo publicara su tuit. Nunca alegó que se tratara de un ataque informático. Su «revisión exhaustiva» llegó a conclusiones que contradicen las declaraciones por escrito de su propio titular del dominio.✗ AUTOCONTRADICTORIO
-
4«Colaboramos con el titular del dominio para eliminar la página web de los informes de VirusTotal».No se trata de la gestión de errores — ayudar a un estafador confeso a borrar las advertencias de seguridad mientras el «drainer» seguía activo. PDR, WebNic y NICENIC suspendieron los dominios a los pocos días de conocer las mismas pruebas. NameSilo se ofreció a borrar el registro.✗ DAÑO ACTIVO A LAS VÍCTIMAS
¿Quién es NameSilo?: una empresa de externalización de servicios de seguridad informática con una dirección postal en EE. UU.
NameSilo LLC está registrada en Phoenix, Arizona. Cotiza en la Bolsa de Valores de Canadá bajo el nombre de Brisio Innovations (CSE:BZI) y declaró unos ingresos de 65,5 millones de dólares canadienses en 2025. El equipo de ingeniería propiamente dicho se encuentra repartido por Rusia, Bielorrusia, Ucrania, Serbia, Argentina y Letonia. Se han identificado al menos 13 empleados de habla rusa. La persona con acceso completo a la infraestructura de DevOps se dedicó durante una década a gestionar los sistemas informáticos de una pirámide financiera rusa antes de incorporarse a NameSilo.
Aleksey Podashevskiy (Frontend) — Bielorrusia, jurisdicción sujeta a sanciones, que trabaja para un registrador acreditado por la ICANN y registrado en EE. UU. Se han identificado más de 13 empleados de habla rusa en total repartidos por Rusia, Bielorrusia, Serbia, Argentina y Letonia. No hay ningún servidor occidental en la cadena de infraestructura de xmrwallet.
Más de 5,18 millones de dominios analizados en toda la cartera de NameSilo; cada uno de ellos se ha cotejado con VirusTotal, URLhaus, PhishTank, abuse.ch, OpenPhish y SURBL.
Backend PHP de xmrwallet reconstruido íntegramente a partir de registros de comportamiento del lado del cliente —sin acceso al servidor, sin código fuente y sin colaboración alguna—. El mecanismo de robo se determinó únicamente a partir de patrones de red observables.
13 miembros del equipo cruzados con datos de LinkedIn, GitHub, HeadHunter, Telegram, registros mercantiles y expedientes judiciales de seis países. Patrones de eliminación en Trustpilot se ha realizado un seguimiento a lo largo de varios meses para identificar la periodicidad sistemática de las eliminaciones. Informes trimestrales de CSE:BZI se cotejó con los datos de la cartera de dominios para identificar la anomalía en los ingresos. 5,18 millones de dominios analizados en relación con seis fuentes de información sobre amenazas. Todos los datos sin procesar están disponibles públicamente en github.com/phishdestroy/namesilo-evidence. Presentada ante la ICANN, las fuerzas del orden de la UE y tres unidades nacionales de lucha contra la ciberdelincuencia.
La anomalía de los dominios: un 32,2 % nunca se ha activado — Una cortina de humo estadística
Recopilamos y analizamos todos los dominios de la cartera de NameSilo — los 5,18 millones en total—. Cada uno de ellos se analizó en VirusTotal, URLhaus, PhishTank, abuse.ch, OpenPhish y SURBL. Los datos brutos, la metodología y los resultados por dominio son públicos: github.com/phishdestroy/namesilo-evidence. Resultado: El 32,2 % de los dominios nunca se han activado — frente al 14,7–22,8 % de otros registradores comparables. Entre 10 000 y 17 000 registros masivos en un solo día (máximo: 17 180 el 19 de julio de 2025). Se gastaron 12 millones de dólares en dominios que nunca se activaron; el gasto anual ascendió a 3,2 millones de dólares en dominios que no sirven para nada. En 2024, cuando ShortDot, socio de NameSilo, adquirió nuevos TLD (.sbs, .cfd a unos 0,50 dólares al por mayor, vendidos a 14,95 dólares al por menor = 22–31× de margen), los registros de dominios inactivos se dispararon 615% en un solo año.
PrivacyGuardian oculta la identidad del comprador en más de 3 millones de dominios (registrados a nombre de pw-{hex}@privacyguardian.org). Se acepta Bitcoin. Sin KYC. Cada dominio fantasma hace que la proporción entre abusos y total parezca menor.
«casi nada»
cada 43.º sitio
1 intento de phishing por cada 2,5 mensajes legítimos
NameSilo registra unos ingresos de 65,5 millones de dólares canadienses (2025). Relación precio/beneficio: 143,8× frente a los 21× del sector. Ingresos por dominio real (activo): 68 dólares canadienses frente a los 10-15 dólares del sector. 95 registradores de la ICANN venden dominios .com más baratos. Si los registros masivos de dominios fantasma sirven para blanquear ingresos —con un margen de beneficio de entre 22 y 31 veces al convertir BTC en dominios—, estos aparecen como «ingresos legítimos de los registradores» en los informes trimestrales presentados en la Bolsa de Valores de Canadá. Este patrón está documentado y se ha remitido a las fuerzas del orden.
prnewswire.com — Reach Systems / Pedido de la NASA, 23 de junio de 2026
newswire.ca — Adquisición de SewerVUE, 12 de septiembre de 2025
prnewswire.com — xmrwallet «las claves privadas nunca llegan a los servidores», 21 de enero de 2026
Dos nombres. Un solo cerebro. ¿Puede ser una coincidencia?
Mientras escribíamos esta investigación, nos encontramos con un viejo conocido. A juzgar por la cantidad de artículos que publica sobre phishing, estafas, listas negras y cómo retirar dominios de ellas, NameSilo casi parece un colega nuestro. Al poner ambas operaciones una junto a la otra, aparece tres veces el mismo cerebro: reseñas, SEO y artículos pagados.
fabricar confianza
enterrar a la víctima
retransmisión email4pr
Ambos manipulan las reseñas: xmrwallet elimina las denuncias de robo y responde a las víctimas con la misma excusa de la sincronización; NameSilo inunda Trustpilot de elogios guionizados de cinco estrellas para agentes de soporte citados por su nombre, mientras desaparecen las reseñas negativas.
Ambos aplican la misma defensa SEO: xmrwallet publica artículos sobre «estafas», «seguridad», «recuperación» y «sincronización»; NameSilo publica artículos sobre «phishing», «listas negras», «exclusión» y «abusos». Ambos llenan con sus propios textos exactamente las búsquedas creadas por las acusaciones contra ellos.
Ambos usan el mismo recurso de artículos pagados: la distribución de PR Newswire y la retransmisión email4pr. NameSilo lo usa para comunicados a inversores del mercado canadiense. xmrwallet lo usó para vender como noticia de aspecto corporativo un relato falso sobre Tor y sobre «las claves nunca llegan al servidor».
Dos nombres. La misma manipulación de reseñas. El mismo SEO. El mismo canal de relaciones públicas pagadas. Un solo cerebro.
El mismo canal empresarial de relaciones públicas
Que una «cartera de código abierto gestionada por voluntarios» publique comunicados en una plataforma creada para empresas que cotizan en bolsa no es normal. Implica acceso a una cuenta corporativa de relaciones públicas o al mismo agente de prensa. Ese es el canal que eligió xmrwallet: la misma plataforma empresarial que NameSilo Technologies utiliza para sus anuncios en la Canadian Securities Exchange.
Apr 19, 2023 — “Upgrade Website to Support Charities”
Sep 26, 2023 — “Companies Embrace Cryptocurrency”
Contacto: Nathalie Roy,
+1 300-227-473, 407923@email4pr.com.
May 1, 2026 — 2025 Year-End Results
Además de resultados trimestrales y anuncios sobre SewerVUE, CommerceHQ, Reach Systems y ventas de filiales.
Para NameSilo, esta distribución alimenta el flujo de noticias sobre su matriz cotizada en Canadá. Para xmrwallet, vendió un falso relato de seguridad.
El comunicado de enero de 2026 anunció una «integración completa con Tor» para un proyecto de «código abierto» cuyo último commit real en GitHub databa del 6 de noviembre de 2018, más de siete años antes. Nunca se incorporó código de Tor. Pagaron por anunciar una función que no existía en el código público, al tiempo que afirmaban que las claves privadas nunca llegaban a un servidor central. El comunicado usó un número de teléfono no válido y una dirección de retransmisión empresarial de relaciones públicas. No era cobertura independiente, sino un texto redactado por el operador y cuya distribución se compró.
Comunicado archivado y datos de contacto · Repositorio público de GitHub
¿Quién creen estas plataformas que es su audiencia? Los inversores canadienses encuentran los comunicados corporativos pagados de NameSilo en un formato visual asociado con noticias financieras autorizadas. Ese mismo entorno de distribución llevó después la historia falsa de xmrwallet sobre Tor y la seguridad del servidor a esa audiencia inversora acomodada como otro anuncio de apariencia profesional.
La etiqueta de distribución pagada no pone fin a la cuestión de la responsabilidad. Republicar afirmaciones no sustentadas de un registrador y después de una estafa directamente asociada con ese registrador puede exponer precisamente a la audiencia que confía en la infraestructura de noticias financieras. La plataforma debería examinar la cuenta que hizo el pedido, la relación de facturación, el agente, los metadatos de envío y el rastro de aprobación de ambos grupos de comunicados.
Si la misma persona, cuenta o agente de relaciones públicas encargó la distribución tanto de xmrwallet como de NameSilo, la respuesta honesta no es el silencio. Conserven los registros, revelen la relación e infórmenla a los reguladores y autoridades policiales competentes. Pedimos a la plataforma que determine si fue una coincidencia o un comprador que utilizó dos veces su autoridad.
PR Newswire no es periodismo. El protagonista escribe el texto, paga su distribución y ese mismo texto se vuelve a publicar como «noticia». Después aparece en portales financieros y canales bursátiles como si alguien lo hubiera cubierto de forma independiente. Para NameSilo, este es un canal corporativo clave de cara a la bolsa canadiense. Para xmrwallet, fue una falsedad pagada vestida con el lenguaje visual de la información corporativa.
¿Por qué ambos seguían escribiendo sobre exactamente las mismas acusaciones?
Nunca entendimos por qué xmrwallet seguía publicando artículos sobre estafas, phishing, recuperación de carteras, problemas de sincronización y hackeos. Tampoco entendimos por qué NameSilo seguía reescribiendo el mismo material sobre phishing, denuncias de abuso, listas negras, exclusión de listas y recuperación de reputación. La ICANN no lo exige. La respuesta es más sencilla: manipulación de los resultados de búsqueda.
Todos los enlaces proporcionados — 13 ejemplos archivados de xmrwallet
- 5 Security Tips for Crypto Users
- 5 Crypto Scams You Should Know About
- How to Restore in Monero GUI
- How to Restore Monero on CLI
- How to Restore Monero Using Keys — GUI
- Monero and Tornado Cash
- Security of Your XMR Wallet
- Social Media Scams to Avoid
- XMR Social Recovery
- Monero Security on Smartphones
- XMRWallet: Best for Beginners
- Guide to Monero Wallets
- Monero Survives XMR Wallet Hack
Todos los enlaces proporcionados — 14 ejemplos de NameSilo
- How to Report a Website for Phishing or Copyright Infringement
- Can Someone Steal Your Domain Without Hacking You?
- Free WHOIS Privacy Risks in 2026
- WHOIS Privacy Protection in 2026
- Phishing by Proxy
- Blacklists, Reputation Scores and Recovery Paths
- How Attackers Pick Domain Names That Trick You
- Ghost Records as Security Backdoors
- WHOIS Fingerprint and Domain Metadata
- Domain Footprinting and Attack Surface
- The Disposable-Domain Economy
- “Unblockable” Domain Security
- AI-Generated Spam and Domain Abuse
- Identifying Scam Websites
La repetición es el objetivo. Publica suficientes páginas sobre phishing, estafas, listas negras, recuperación, seguridad y exclusión de listas, y las búsquedas de la acusación devolverán el encuadre del propio acusado. xmrwallet lo utilizó contra las denuncias de las víctimas. NameSilo lo utiliza en torno a la reputación de abuso del registrador, mientras que las reseñas reales describen un soporte grosero, un inglés poco claro y agentes que repiten guiones en lugar de responder preguntas directas.
Una lógica. Una estrategia. Dos fases.
Esto es lo que ocultan los incidentes vistos por separado. El cliente ya no estaba. Lo que continuó fue la defensa de NameSilo por parte de NameSilo.
Lo que omitió la versión breve
PR Newswire cobra aproximadamente 195–249 dólares al año por la membresía más 805–3.000+ dólares por cada comunicado. Existen alternativas gratuitas o mucho más baratas, como PRLog y EIN Presswire por unos 149 dólares. Sin embargo, un monedero voluntario sin donaciones declaradas eligió el mismo canal de distribución empresarial que NameSilo Technologies utiliza para sus comunicaciones a la Canadian Securities Exchange.
xmrwallet publicó tres comunicados mediante este canal, incluido su anuncio de Tor del 21 de enero de 2026. NameSilo publicó 12 comunicados: «Surpasses 6 Million Domains» el 22 de enero de 2026 — un día después de xmrwallet, sus resultados anuales de 2025 el 1 de mayo de 2026 y otros diez comunicados sobre resultados trimestrales, SewerVUE, CommerceHQ, Reach Systems y la venta de una filial. SewerVUE es literalmente una empresa de inspección de tuberías de alcantarillado; por eso nuestra referencia al «viejo amigo que limpia tuberías de alcantarillado» no era casual.
+1 300-227-473. El código de área 300 no existe en el Plan de Numeración de Norteamérica. El correo era 407923@email4pr.com, un relay empresarial de relaciones públicas, no una dirección normal de un proyecto voluntario.El comunicado promocionaba xmrwallet como proveedor de «herramientas financieras discretas para organizaciones benéficas». Según nuestra evaluación, el lenguaje benéfico era una cobertura reputacional para un monedero que ya habíamos vinculado con robos.
Para xmrwallet, el mismo recurso difundió una historia falsa sobre Tor y la seguridad del servidor. Para NameSilo es un canal central de relaciones con inversores.
El último commit público fue el 6 de noviembre de 2018. Después el repositorio permaneció congelado durante más de cinco años y nunca se incorporó ninguna implementación de Tor. Más tarde, xmrwallet eliminó su código fuente de GitHub. Nuestro hallazgo técnico es que el repositorio público de 2018 era un decorado para la auditoría, mientras que la producción ejecutaba otro código de servidor ofuscado capaz de recopilar los secretos del monedero. El proyecto pagaba aproximadamente 550 dólares al mes por alojamiento protegido tras infraestructura rusa de DDoS-Guard mientras se presentaba como un proyecto voluntario sin donaciones.
Pagaron precios de relaciones públicas empresariales para anunciar código que no existía en el repositorio público y repetir que las claves nunca llegaban al servidor. Eso no es comunicación normal de código abierto. Es defensa reputacional comprada.
La coincidencia en las reseñas también es directa
Los artículos SEO y las reseñas sobre soporte resuelven el mismo problema reputacional desde dos direcciones. NameSilo llena las búsquedas negativas — phishing, abuso, lista negra, desbloqueo, dominio robado — con sus propias explicaciones. Al mismo tiempo, el flujo de reseñas llena la cuestión del soporte con elogios a «Leonid» y otros agentes nombrados.
Un cliente real recibe una respuesta grosera, poco clara o de guion y luego ve página tras página diciendo que Leonid es brillante y servicial. El efecto buscado es la duda: «Si todo el mundo elogia este soporte, quizá el problema sea yo». El cliente vacila y decide no publicar la reseña negativa veraz. Si la publica de todos modos, el patrón que observamos es que NameSilo la impugna o denuncia hasta que desaparece. Las reseñas positivas no solo mejoran una puntuación: suprimen la siguiente reseña negativa antes de que exista, mientras que las eliminaciones borran las que aun así se escriben.
Ese es el mecanismo compartido: capturar las palabras negativas en las búsquedas, fabricar la respuesta positiva en las reseñas y eliminar el testimonio que contradice ambas cosas.
Nuestra base de datos de 2023–2024 contiene decenas de miles de denuncias de abuso asociadas con NameSilo que, según nuestra evaluación, fueron ignoradas o no produjeron medidas eficaces. En el segmento de drainers que seguíamos entonces, prácticamente todas las operaciones registraban allí sus dominios. En ese conjunto de datos, considerábamos a NameSilo el registrador con peor desempeño. Publicaremos por separado la comparación completa de registradores.
Nuestra opinión: los repetidos artículos sobre phishing, listas negras, desbloqueo y abuso no se escribieron porque ICANN los exigiera. Se escribieron para ocupar las búsquedas generadas por el historial real de abuso de NameSilo.
La conexión con la CEI: pruebas, opinión y una salvedad importante
Ya habíamos concluido que el operador de xmrwallet era ruso; el alojamiento y la infraestructura eran solo una parte de esa conclusión. Por separado, identificamos a más de diez empleados de NameSilo rusoparlantes o vinculados con la CEI.
Mikhail Chudinov es especialmente relevante por su perfil público de LinkedIn y sus textos en ruso en Habr sobre descentralización y criptomonedas. En nuestra opinión, tras leer esos textos, su análisis trata la descentralización, los metaversos y los NFT como movimientos superpuestos sin separar adecuadamente sus incentivos técnicos y económicos, y muestra una visión limitada de hacia dónde se dirigían los sistemas de criptomonedas.
Salvedad: esto puede ser una coincidencia. La nacionalidad, el empleo y las opiniones públicas de Chudinov no prueban por sí solos que él, NameSilo o xmrwallet compartieran un operador. Documentamos la superposición; no presentamos el origen ni las opiniones de un empleado como prueba de control operativo.
Un patrón de respuesta: amenazas legales, detectives y supresión
Desde nuestro primer mensaje advertimos tanto a xmrwallet como a NameSilo que no convirtieran un informe técnico en una campaña de presión. Ambos respondieron con amenazas de litigios y detectives privados. El operador de xmrwallet incluso sugirió llevar al registrador ante los tribunales. Más tarde NameSilo amenazó públicamente con acciones legales, después de ofrecerse a ayudar a eliminar las detecciones de VirusTotal para el mismo cliente.
Tal vez este método funcionó durante diez años. No hace desaparecer las pruebas subyacentes.
Para 2018, desde nuestra perspectiva, NameSilo ya estaba cerca del centro de los registros relacionados con ciberdelincuencia que seguíamos, mientras la respuesta de ICANN parecía una ausencia de un año. Esa es nuestra caracterización de un fallo prolongado de aplicación, no una afirmación de que ICANN cerrara literalmente durante un año.
Esa falta de rendición de cuentas crea un incentivo previsible: un registrador puede eliminar detecciones para un cliente, decir más tarde a ICANN que no puede determinar qué es phishing y que el abuso queda fuera de su responsabilidad, y esperar que no haya consecuencias inmediatas. El comportamiento de ICANN permite que este patrón continúe.
xmrwallet ya estaba cerrado. El posterior bloqueo de Twitter, las solicitudes del RGPD, los avisos DMCA, las denuncias contra resultados de búsqueda individuales, los reportes de phishing contra nuestro propio sitio, la desindexación de Bing y los intentos de retirada en IPFS ya no podían proteger al monedero. Solo podían proteger la reputación de NameSilo.
Las solicitudes no apuntaron únicamente a nuestro dominio. Apuntaron a enlaces individuales que llevaban a nuestro trabajo. El rastro público de la base de datos Lumen registra parte de esta campaña; conservamos registros adicionales en nuestro archivo de Telegram.
También creemos que, con un presupuesto mediático mayor, el siguiente paso previsible sería comprar cobertura que presentara al investigador como acosador o extorsionador. Es una previsión basada en el patrón de supresión, no un hecho que afirmemos que ya ha ocurrido.
No fue una denuncia contra una sola página. La campaña apuntó a nuestro dominio y a los resultados de búsqueda individuales que enlazaban nuestro trabajo — una URL tras otra — mediante el RGPD, la DMCA, reportes de phishing y denuncias ante plataformas. El objetivo era hacer desaparecer la investigación del recorrido de búsqueda incluso cuando el archivo subyacente siguiera en línea.
El momento responde a la pregunta del motivo: xmrwallet ya estaba cerrado. Un monedero cerrado ya no podía beneficiarse de este ataque. El beneficiario restante era NameSilo, cuyo nombre, historial de abuso y defensa del monedero estaban unidos a esos resultados.
Entonces, ¿quién más en esta historia manipula repetidamente el descubrimiento en torno a nombres exactos y consultas negativas exactas mediante páginas SEO propias, distribución pagada y, según nuestra evaluación, Google Ads en términos específicos? NameSilo. Aparece de nuevo la misma lógica: capturar el nombre, reemplazar el resultado y suprimir el enlace que no se puede reescribir.
Tengan cuidado al confiar en este registrador. En nuestra experiencia, NameSilo reacciona de forma muy distinta ante la crítica independiente que ante los elogios centrados en Leonid o las publicaciones pagadas con texto suministrado por la empresa. El dominio que había defendido terminó trasladándose a otro registrador. Como xmrwallet no era una página de aterrizaje de phishing, sino un monedero funcional con un mecanismo de robo en el servidor, ese traslado nos parece una contención de la exposición de NameSilo, no una medida contra un dominio de phishing.
Establecimos la regla desde el principio: la presión contra nosotros produce una respuesta documentada por vías legales. Cada solicitud de desindexación, intento de retirada y amenaza se convierte en otra prueba. Eso no es una represalia fuera de la ley; es conservación, publicación y denuncia formal.
La estimación del dinero: claramente separada de los hallazgos establecidos
Nuestra hipótesis de trabajo es que la operación robó al menos 80 millones de dólares. Esa cifra es nuestra estimación, no un total forense establecido. La muestra documentada de víctimas solo respalda un rango conservador inferior; la hipótesis de 80 millones extrapola más allá de los casos documentados públicamente.
Una segunda hipótesis independiente es que un fuerte pico de actividad, comparado con las cronologías de empleados e infraestructura, podría reflejar un periodo de lavado de Monero a gran escala. No hemos establecido esa conclusión.
Tampoco hemos establecido una relación directa con Tornado Cash ni clientes compartidos. El artículo de xmrwallet sobre Tornado Cash, el momento y la actividad circundante lo convierten en una cuestión que creemos que los investigadores deberían examinar, no en un hecho que afirmemos.
Invitamos a cualquiera con conocimiento directo a corregir el importe desde una dirección desechable. Entonces podríamos retirar esa estimación o reducir la intensidad con que seguimos esa línea concreta, pero ningún mensaje anónimo borraría las pruebas ni convertiría esta investigación en una negociación.
Mientras reescribían los mismos artículos SEO, compraban anuncios de apariencia corporativa, fabricaban elogios al soporte e intentaban borrar nuestros enlaces, la operación que protegían fue cerrada. No la cerró la víctima a la que engañaron, ni un investigador famoso ni una empresa comercial de seguridad. La cerramos nosotros: un proyecto de investigación no comercial que trabaja por cero dólares.
La posterior campaña de supresión empeora el contraste. Cuentas corporativas, denuncias legales, solicitudes de desindexación e intentos de retirada se dirigieron contra investigadores sin presupuesto para medios pagados. Aun así no pudieron eliminar los archivos, revertir las pruebas ni reabrir el monedero. Cada intento solo creó otra marca de tiempo y otra prueba sin coste para nosotros.
Eso no es fortaleza operativa. Es incompetencia estratégica. Tenían dinero, infraestructura y acceso a plataformas. Nosotros teníamos pruebas, archivos públicos y 0 dólares; y lo que desapareció fue la estafa.
Una lógica, una estrategia: fabricar reseñas, ocupar la acusación en las búsquedas, comprar cobertura de apariencia corporativa, eliminar detecciones, trasladar el dominio defendido, amenazar a los investigadores y después suprimir todos los caminos que llevan a sus pruebas. El cliente desapareció. La estrategia continuó porque su segunda fase era la defensa de la propia NameSilo.
Qué pasó después de que lo publicáramos
Tras la publicación de nuestro reportaje, se puso en marcha una campaña coordinada de acciones legales y de supresión en las plataformas, dirigida contra todos los principales espacios en los que PhishDestroy tenía presencia. Tres mecanismos —cada uno de ellos registrado, archivado y que ahora forma parte de la reclamación n.º 1479 ante la ICANN—.
Antes de que se activara el bloqueo, publicamos un tuit en el que predijimos que NameSilo utilizaría las tácticas de supresión propias de los estafadores y lo archivamos con marca de tiempo en GhostArchive. Hicieron exactamente lo que dijimos, tal y como habíamos previsto. La predicción con marca de tiempo —que demuestra que anticipamos la táctica antes de que se utilizara— se incluye en la denuncia presentada ante la ICANN contra NameSilo (ICANN n.º 1479).
Todo está en marcha IPFS (phishdestroy.eth), Arweave, GhostArchive y Wayback Machine. 61 capturas de pantalla verificadas con SHA-256. Cero impugnaciones legales exitosas contra ninguna de las denuncias. Cero refutaciones técnicas por parte del operador o de NameSilo. Cero respuestas basadas en hechos: solo amenazas legales, ataques ad hominem y tuits eliminados. La investigación completa, con los datos sin procesar, el expediente del equipo, el análisis de blanqueo y los recursos para las víctimas, se encuentra en phishdestroy.eth.limo — replicado en IPFS, Arweave, GhostArchive y Wayback Machine. Ninguno de ellos cuenta con la marca de verificación dorada.
Red «Escape Domain»: preparada meses antes de su desmantelamiento
Inicio 4 de febrero de 2026 —la misma semana en que el operador se puso en contacto por primera vez con PhishDestroy— empezó a registrar en secreto dominios de escape a través de cuatro registradores diferentes, con renovaciones prepagadas de entre 5 y 10 años cada uno. La infraestructura estaba diseñada para sobrevivir a cualquier cierre puntual. No sobrevivió a la investigación.
Análisis técnico inicial con toda la documentación: github.com/phishdestroy/NO-UTILICES-xmrwallet-com
| Dominio | Secretario | Prepago | IP | Estado |
|---|---|---|---|---|
| xmrwallet.cc | Registro de dominio público | 8 años | 185.129.100.248 | SUSPENDIDO |
| xmrwallet.biz | WebNic.cc | 5 años | 190.115.31.40 | SUSPENDIDO |
| xmrwallet.net | NICENIC International | 10 años | 190.115.31.40 ← | DNS INACTIVO |
| xmrwallet.me | Key-Systems GmbH | 10 años | 185.129.100.248 ← | ACTIVO — se ha denunciado un caso de abuso |
Agrupación de direcciones IP: 185.129.100.248 compartido por .cc y .me — mismo servidor. 190.115.31.40 Compartidos por .biz y .net — mismo servidor. Cuatro registradores, dos grupos de direcciones IP. 33 años de registro prepagado. Todos registrados de forma secreta tras el primer contacto con los investigadores.
Reputación comprada: Wikipedia, Forbes y más de 15 artículos patrocinados
La reputación pública de NameSilo es artificial. Wikipedia: etiqueta de «contenido pagado/promocional». Forbes: declaración de afiliación «Obtenemos una comisión». SmartCustomer: 1,8/5 — sin ningún resultado negativo en Google.
NameSilo tiene un artículo en Wikipedia — señalado por los editores como artículo patrocinado o promocional, y no una cobertura editorial imparcial. Historial de ediciones (archivado): en.wikipedia.org/w/index.php?title=NameSilo&action;=history
NameSilo aparece en Forbes Advisor con una declaración explícita sobre su programa de afiliados: «Forbes Advisor se rige por estrictas normas de integridad editorial... Recibimos una comisión». Forbes Advisor obtiene ingresos cuando los usuarios se registran a través de sus enlaces, lo que genera un incentivo económico directo para ofrecer una cobertura positiva. Fuente: forbes.com/advisor/business/software/namesilo-review/
NameSilo cuenta con un Valoración de 1,8/5 en SmartCustomer — fuente: smartcustomer.com/reviews/namesilo.com. A pesar de las docenas de críticas negativas registradas, una búsqueda en Google no arroja ningún resultado negativo: se trata de una supresión activa que utiliza las mismas herramientas del RGPD y la DMCA que se han aplicado contra nuestra investigación.
NameSilo Technologies Corp. (CSE:BZI / OTC: URLOF — sociedad matriz de NameSilo LLC que cotiza en bolsa) utiliza PR Newswire para sus comunicados corporativos. PR Newswire es un servicio de distribución de pago: la empresa redacta el texto y paga por su publicación. Ejemplos de comunicados de prensa de pago de NameSilo Technologies:
- Adquisición de SewerVUE Technology Corp. — newswire.ca, 12 de septiembre de 2025
- La filial Reach Systems recibe un pedido de la NASA — prnewswire.com, 23 de junio de 2026
El mismo mecanismo: xmrwallet utilizó PR Newswire el 21 de enero de 2026 para publicar su artículo de portada («las claves privadas nunca llegan a los servidores centrales») mientras la puerta trasera estaba activa. Distribución de pago que presentaba un texto redactado por el operador como contenido de interés periodístico.
Tres puestos. Una empresa. Ninguno de ellos sobrevive al contacto con los demás.
NameSilo no mantuvo una versión coherente. Adoptaron sucesivamente tres posturas mutuamente excluyentes —el experto seguro de sí mismo, la víctima amenazada y el humilde funcionario público— en función del riesgo legal al que se enfrentaban en cada momento.
«Tus afirmaciones son falsas, calumniosas y difamatorias. NameSilo toma medidas y revisa todas las denuncias por abuso que se nos envían. Si tiene algún caso de este tipo, envíelo a abuse@namesilo.com. De lo contrario, póngase en contacto directamente con el proveedor de alojamiento web o con el titular del dominio. Y deje de difundir falsedades sobre nosotros o nos veremos obligados a emprender acciones legales».
Si tu equipo de atención a las víctimas de maltrato tuviera la capacidad para llevar a cabo una revisión exhaustiva y detallada, determinar que el dominio había sido pirateado, identificar al titular del dominio como la víctima y empezar a ayudarle a eliminar las detecciones de VirusTotal — entonces estás afirmando explícitamente que tienes más autoridad y más competencia técnica que todos los proveedores de antivirus que han señalado este dominio como malicioso.
No podrás alegar más adelante que tú simplemente procesar informes y no cuentan con los conocimientos necesarios para detectar el phishing. La denuncia presentada ante la ICANN no te pide una competencia que no tienes. Lo que te pregunta es por qué utilizaste la competencia que, como se ha demostrado, sí tienes: para ayudar al estafador, y no a las víctimas.
Trustpilot: granjas de bots que compiten entre sí
Una valoración de 5 estrellas para NameSilo (enero de 2026): «Leonid fue de gran ayuda… ¡5 estrellas!» La otra reseña: sobre Otrium, una empresa con reseñas en las que se le acusa de fraude y de apropiación indebida de dinero. Una cuenta de bot, dos empresas relacionadas con estafas. Patrón: agentes de atención al cliente con nombre propio, se elogia el tiempo de respuesta, lenguaje basado en plantillas. Los compradores reales de dominios valoran los precios y la experiencia de usuario del panel. Las reseñas de los bots elogian a «Leonid».
Análisis de datos: 2.280 opiniones sobre NameSilo frente a 2.480 sobre Namecheap
| Métrico | NameSilo | Namecheap |
|---|---|---|
| Opiniones de 5 estrellas | 88.9% | 74.0% |
| Opiniones de 1 estrella | 7.2% | 16.7% |
| Cuentas con una sola reseña | 62.4% | 59.6% |
| Sin avatar (cuentas nuevas) | 67.3% | 51.5% |
| Opiniones sobre la atención al cliente/el servicio | 70.0% | 60.2% |
| Opiniones sobre el precio/coste | 9.8% | 37.5% |
| Agente con el nombre en clave «Leonid» | 5.7% | 0.0% |
| Geolocalización en EE. UU. | 35.1% | 26.5% |
Leonid apareció el 13 de abril de 2025. Antes no se había mencionado en absoluto. Luego recibió 65 reseñas en sus dos primeros meses. Mayo de 2025: 106 reseñas (5 veces más de lo habitual), un 95 % de cinco estrellas y ninguna de una estrella. Ni un solo cliente insatisfecho en las 106 opiniones sobre un registrador que ocupa el puesto n.º 96 en precios de dominios .com.
El 43 % de las reseñas sobre Leonid tienen menos de 80 caracteres. Cuatro de ellas solo tienen el título «Leonid». Tres más: «Leonid fue de gran ayuda». Entre los revisores: «Satoshi Nakamoto», «Autor», «Виктор -», «Anna Koroleva», «Boris Martin», «Andrei Dobrescu», junto con «Brad», «LaToya» y «Patty Johnson». Un generador de nombres que recorre los continentes. El nombre Leonid es ruso.
Cero valoraciones de cuatro estrellas. Cero de tres estrellas. Cero de cualquier otro tipo. El 91 % son cuentas con una sola valoración. A lo largo de 7 años. China: el 94 % son valoraciones de cinco estrellas, el 80 % con una sola valoración. Singapur: el 95 % son valoraciones de cinco estrellas. Un total de 168 valoraciones procedentes de mercados de habla china, casi todas ellas falsas.
¿Por qué China? NameSilo lleva a cabo una campaña de marketing activa en ese país: namesilo-china.com, bcbay.com/namesilo, entradas de blog chinas pagadas, un artículo de la Wikipedia china. Cuando los investigadores se preguntan «¿quién compra 4,22 millones de dominios inactivos?», NameSilo señala a China. Los datos de Trustpilot muestran que llevan construyendo esta coartada desde 2019, una reseña falsa tras otra.
Análisis forense independiente de la API de Claude — Prueba a ciegas
Se enviaron a Claude API 2.480 opiniones de Trustpilot sobre NameSilo y 2.480 sobre Namecheap, anonimizadas como «Empresa A» (NameSilo) y «Empresa B» (Namecheap). La IA no sabía cuál era cuál.
| Indicador forense | NameSilo (A) | Namecheap (B) |
|---|---|---|
| Proporción de 5 estrellas | 89.1% | 74.0% |
| Porcentaje de valoraciones de 1 estrella | 7.1% | 16.7% |
| Cuentas desechables a las que se les dan 5 estrellas | 92% | ~65% |
| Opiniones en las que se menciona el precio | 11.2% | 39.2% |
| Mencionado como único agente en las reseñas | Leonid: 168 | ninguno |
| Diversidad de vocabulario de 5 estrellas (TTR) | 0.073 | ~0.15 |
| HK: 100 % de valoraciones de cinco estrellas | 57/57 | n/a |
| Pico en mayo-junio de 2025 (5 veces lo normal) | 215 opiniones | ninguno |
| Veredicto sobre la manipulación mediante IA | 92% | 15% |
«La empresa A presenta numerosas pruebas multidimensionales de manipulación sistemática de las revisiones mediante la generación artificial coordinada. La probabilidad de que estos patrones se produzcan de forma espontánea es prácticamente nula».
Análisis completo: phishdestroy.eth.limo/namesilo-trustpilot.html · Datos brutos: trustpilot-forensic-report-final.txt
Resultados de la investigación
Tras la investigación y la publicación de PhishDestroy, xmrwallet.com cesó sus actividades. La operadora envió un mensaje de despedida y, cabe destacar, ya no lo firmó como «Nathalie Roy». La identidad que había sido la imagen pública de xmrwallet durante años se abandonó discretamente. No se dio ninguna explicación.
xmrwallet.com acabó redirigiéndose a su repositorio de GitHub, la misma fachada pública que sirvió como coartada de «código abierto» durante una década. Se necesitaron tres intentos. El repositorio llevaba inactivo desde 5 años antes de la redirección: sin confirmaciones, sin actualizaciones, sin mantenimiento — en consonancia con un proyecto cuyo código real se alojaba exclusivamente en un servidor de producción no auditado y que nunca se destinó a la revisión pública.
xmrwallet.com se transfirió a Namecheap en mayo de 2026 y está registrado hasta 2036. Al parecer, NameSilo considera que este asunto está resuelto. No lo es.
¿Pensabas que los expertos capaces de superar a todos los fabricantes de antivirus se darían por vencidos cuando se cambiara de dominio? La investigación se está llevando a cabo en IPFS. Se está llevando a cabo en Arweave. Se encuentra en el sistema oficial de denuncias de la ICANN. Está en manos de las fuerzas del orden de la UE. Está en manos de tres unidades nacionales de lucha contra la ciberdelincuencia. La amenaza legal añadió una marca de tiempo más al expediente. La transferencia del dominio añadió una prueba más. Cada medida adoptada para obstaculizar esta investigación constituye en sí misma una prueba documentada del patrón que hemos descrito.
No erais los más listos en esta situación. Simplemente, durante un tiempo, teníais más dinero.
Investigaciones relacionadas
