NameSilo nos ha dejado sin Twitter Porque dijimos la verdad sobre ellos
El 3 de abril de 2026, X bloqueado dos cuentas de PhishDestroy alegando un «problema de pago» y prometiendo que se reembolsarían las suscripciones pagadas. No se recibió ningún reembolso. Once días después, el 14 de abril, X presentó una nueva justificación: «Comportamientos poco auténticos: no procede la revocación». Presentamos un recurso. El propio sistema automatizado de X respondió por escrito: «No se ha detectado ninguna infracción: la cuenta ha recuperado todas sus funciones».Las cuentas siguen bloqueadas. El dinero aún no se ha devuelto. El motivo aducido ya ha cambiado tres veces. Hace dos semanas denunciamos que NameSilo daba cobijo a una operación de robo de Monero por valor de más de 20 millones de dólares, que ahora es objeto de una investigación penal en curso por parte de la UE.
«The Receipts»: X se contradice a sí misma por escrito
Dos correos electrónicos oficiales del servicio de asistencia de X. La misma cuenta. La misma reclamación. Resoluciones opuestas. El segundo es el más reciente. Léelos en orden.
Hola,
Hemos revisado tu solicitud de recurso sobre la cuenta, @phish_destroy.
Nuestro equipo de atención al cliente ha determinado que efectivamente se produjo una infracción de nuestras Normas, concretamente:
Incumplir nuestras normas contra comportamientos poco auténticos.
Hemos tenido en cuenta la información adicional facilitada y ha decidido que, en este caso, no procede revocar nuestra resolución inicial. Por lo tanto, no vamos a revocar nuestra decisión de bloquear tu cuenta.
Gracias,
Soporte técnico X
Hola,
Hemos revisado tu solicitud de recurso sobre la cuenta, @phish_destroy.
Nuestros sistemas automatizados han determinado que no se ha producido ninguna infracción y han restablecido el pleno funcionamiento de tu cuenta.
Gracias,
Soporte técnico X
El correo electrónico n.º 2 es la resolución más reciente. Anula explícitamente el correo electrónico n.º 1. En él se indica —por escrito, en papel con membrete de la propia empresa X— que la cuenta ha sido ha recuperado su pleno funcionamiento. La cuenta no se ha restablecido. La suscripción de pago sigue facturándose. No hay ningún tercer correo electrónico que rectifique el correo n.º 2. El compromiso más reciente de X con nosotros, sencillamente, no se está cumpliendo.
O bien el correo electrónico n.º 2 es auténtico — El departamento de automatización revisó el recurso, concluyó que no se había producido ninguna infracción y, sin embargo, una parte no identificada sigue manteniendo la prohibición a pesar de esa resolución.
O bien, el correo electrónico n.º 2 no es real — Se envió por error; la decisión real sigue siendo la del correo electrónico n.º 1, y X no ha publicado ninguna rectificación por escrito.
No hay una tercera posibilidad. Ambas opciones dan una mala imagen de X. Una de ellas, además, tiene consecuencias catastróficas.
Por qué ocurrió esto
El 27 de marzo publicamos El fin de xmrwallet[.]com: NameSilo mintió para proteger a un ladrón de criptomonedas. La investigación fue reproducible: volcados de datos de puntos finales PHP, sentencias archivadas y más de 15 víctimas documentadas. Tres registradores homólogos (India, Malasia y China) revisaron las mismas pruebas y eliminaron sus xmrwallet dominios en días. Solo NameSilo salió en defensa del estafador.
Lo que ocurrió a continuación es importante. El orden es importante:
- El estafador nos envió primero un correo electrónico directamente — antes de que NameSilo hiciera ninguna declaración pública, antes de que se presentara ningún recurso. En su correo electrónico nos decía que «demandáramos al registrador». Esa no es una frase que un estafador que actúa en solitario le escriba a un investigador que le está persiguiendo. Es una frase que escribe alguien que ya sabe que el registrador le respaldará. Nunca hemos visto esa reacción en ningún otro estafador que hayamos documentado.
- A continuación, NameSilo emitió un comunicado público que contiene dos afirmaciones demostrablemente falsas, citadas textualmente y archivado en nuestra investigación en Medium:
• «El dominio fue objeto de un ataque hace unos meses» — lo que se contradice con el hecho de que el propio código de robo del operador seguía en funcionamiento en el entorno de producción en el momento de la declaración de NameSilo.
• «Antes de eso, no habíamos recibido ninguna denuncia de abuso» — lo cual queda desmentido por nuestros albaranes de entrega correspondientes a múltiples denuncias de abuso anteriores, acompañadas de pruebas técnicas completas.
En ese mismo comunicado también se decía: «El titular del registro está tramitando su exclusión de los informes de VT», lo que confirma que NameSilo respaldó explícitamente el intento del operador de eliminar las detecciones de VirusTotal mientras el código malicioso seguía activo. - En la misma declaración, NameSilo tachó nuestra investigación de poco seria y se ofreció públicamente a ayudar al operador a eliminar las detecciones de los proveedores de seguridad (VirusTotal, Fortinet), mientras el código malicioso seguía activo.
- Nosotros respondió con datos objetivos en relación con esa declaración pública. Sin acoso. Sin spam. Sin doxing. Hemos rectificado la información en el mismo foro que eligió NameSilo.
- Siete días después, Se bloquearon dos cuentas de PhishDestroy X. Motivo indicado: «pago». Las suscripciones estaban pagadas. El 14 de abril, el motivo pasó a ser «comportamientos no auténticos». Tras presentar una reclamación, el motivo volvió a cambiar a «sin infracción, restablecido». El bloqueo y los pagos no devueltos no variaron en absoluto.
NameSilo no pudo refutar las pruebas: tres registradores independientes actuaron al respecto de forma independiente. Así que hicieron lo que el xmrwallet lo que el operador llevaba haciendo con los críticos desde hacía diez años: recurrió a un trámite burocrático para acallar esa voz, sin abordar los hechos. El operador eliminó más de 20 cuentas de GitHub y más de 200 reseñas de Trustpilot. NameSilo le bloquearon una cuenta de X. El mismo guion de siempre, a escala corporativa.
¿Existen vínculos entre NameSilo y el estafador?
El xmrwallet[.]com El operador respondió con seguridad a las denuncias de abuso, publicó tuits junto con el registrador siguiendo unos argumentos coordinados y nunca trasladó el dominio en los diez años que duraron las quejas. Así no se comportan los estafadores nerviosos. Así se comportan los estafadores que tienen un acuerdo.
En los más de cien casos de operadores de phishing que hemos documentado, nunca habíamos visto antes esta secuencia concreta:
- El estafador nos escribió primero. Antes de que NameSilo hiciera ninguna declaración pública, antes de que se presentara ningún recurso, el propio operador envió un correo electrónico a PhishDestroy. Su identidad queda documentada en el Investigación de alcance medio: los correos electrónicos procedían de la
xmrwallet[.]comoperador, identificable públicamente a través de la huella de su propio repositorio como Nathalie Roy (Canadá), GitHubnathroy, Redditu/WiseSolution, expulsado der/Moneroen 2018. - Sus palabras exactas (textuales, archivadas):«No dudes en citar a declarar al registrador del dominio». No dijo «quítalo». Tampoco dijo «yo lo arreglaré». Nos indicó explícitamente que nos dirigiéramos a su propio registrador como parte a la que reclamar —como si ya supiera que el registrador no tomaría medidas en su contra y estuviera seguro de que su postura jurídica resistiría cualquier escrutinio—. Esta cita figura en nuestro Investigación de Medium (16 de marzo de 2026).
- Solo entonces NameSilo salió a bolsa con la excusa de que «nuestro cliente fue víctima de un ataque informático» —una excusa que se ve desmentida por el código de robo, que sigue activo— y la afirmación de que «no existían denuncias previas de abuso», lo cual se contradice con nuestros recibos de entrega.
- NameSilo convirtió entonces un canal de abuso de la plataforma en un arma en nuestra contra, utilizando las mismas tácticas de silenciamiento que el operador ya había estado aplicando en GitHub (más de 20 cuentas eliminadas), Trustpilot (más de 200 reseñas eliminadas) y BitcoinTalk.
La infraestructura del operador no es la de un aficionado. Según nuestro Investigación de alcance medio, xmrwallet[.]com está alojado en $550/month bulletproof hosting via IQWeb FZ-LLC (inscrita en Belice), detrás de DDoS-Guard (Rusia). Se trata de una estructura profesional, bien preparada y a prueba de ataques, no de una página fraudulenta improvisada. El hecho de que un único operador gestione una infraestructura bien preparada y a prueba de ataques, al tiempo que su registrador emite públicamente un comunicado de defensa en su nombre, constituye, como mínimo, una operación inusualmente bien coordinada.
No podemos demostrar que exista una relación a partir de información ajena a los libros contables de NameSilo. Solo sus registros internos podrían hacerlo. Pero, a juzgar por las pruebas visibles, quedan dos explicaciones: o bien el operador es el estafador de criptomonedas más seguro de sí mismo de la última década y apostó acertadamente a que su registrador le protegería por instinto — o Existe una relación no revelada entre ellos. El primero merece ser objeto de escrutinio público. El segundo merece una citación judicial. Las fuerzas del orden de las jurisdicciones de la UE están investigando actualmente el caso subyacente.
Pruebas directas: lo que NameSilo declaró públicamente frente a lo que realmente ocurrió
Los párrafos anteriores describen una pauta. En esta sección se recogen las contradicciones concretas entre las declaraciones públicas de NameSilo y nuestros propios registros de primera mano. No pedimos a nadie que nos crea a pies juntillas: cada uno de los puntos que figuran a continuación puede verificarse mediante archivos de terceros, recibos de entrega y la Wayback Machine.
- Afirmación pública: «No existían denuncias previas de abusos / no se recibieron denuncias dentro de los plazos establecidos».
Nuestro historial: El equipo de PhishDestroy lo envió personalmente más de 20 notificaciones de abuso a lo largo de tres años (2023-2026) paraxmrwallet[.]comy la infraestructura relacionada. Cada notificación se realizó a través del canal de denuncia de abusos publicado por NameSilo, generó un número de referencia de seguimiento y —en múltiples casos— recibió confirmaciones automáticas que aún se conservan en nuestro archivo de correo electrónico. Hemos conservado estos acuses de recibo. Los facilitaremos, en su totalidad, a cualquier procedimiento de la ICANN, del GDPR, de las fuerzas del orden de la UE o judicial que los solicite. Un registrador que afirme «no hemos recibido nada» tras tres años de documentado Las quejas no son un descuido administrativo. Se trata de una tergiversación de los hechos que se puede demostrar. - Declaración pública: «Se trató de un caso aislado; el cliente fue víctima de un ataque informático».
Nuestro historial: el código de robo enxmrwallet[.]compermaneció conectado en todo momento diez años consecutivos con el mismo comportamiento de sustitución de monedero, la misma huella del operador (Nathalie Roy / nathroy / u/WiseSolution), y la misma pila a prueba de balas ($550/mo IQWeb FZ-LLC in Belize behind DDoS-Guard). Un compromiso que dura una década y que garantiza un pago fijo e inamovible no es un compromiso. Es un negocios. Conocemos personalmente —y tenemos permiso para mencionarlo— al menos una persona cercana a nuestro equipo que perdió dinero en ese dominio concreto antes de que iniciáramos la investigación pública. No se trata de un perjuicio teórico, sino de una persona concreta. - La conexión entre DDoS-Guard y GitHub no resulta creíble.
Las narrativas alineadas con NameSilo han planteado la idea de que la infraestructura del operador demuestra de alguna manera que no es más que un colaborador desorganizado de código abierto. Un dominio que lleva una década protegido por un servicio ruso a prueba de balas de mitigación de ataques DDoS, pagado a través de estructuras corporativas offshore en Belice, no concuerda con la imagen de «un tipo con una página en GitHub». Ningún observador sensato —sea o no técnico— acepta esta interpretación. Lo señalamos aquí porque el silencio podría confundirse con un asentimiento.
La tendencia a borrar contenidos: cuentas, no solo comentarios
Durante nuestra investigación de tres años, observamos, en tiempo real, cómo funcionaba el mecanismo de censura en tres plataformas diferentes. El patrón era tan constante que empezamos a archivar los datos antes de publicarlos, en todas las ocasiones.
- GitHub. Todo cuentas que publicaron problemas o comentarios en los que se hacía referencia a
xmrwallet[.]comfueron eliminadas —no comentarios concretos, ni hilos de discusión, sino las cuentas completas—. Disponemos de capturas de Wayback de hilos de discusión en los que el perfil del autor del comentario ahora da error 404. Cualquier persona que lleve a cabo una investigación puede preguntar a GitHub, mediante el procedimiento legal adecuado, cuántas cuentas de usuario con publicaciones que mencionanxmrwalletse cerraron entre 2018 y 2026, y por qué motivo se indicó. Esperamos que la cifra sea considerable. - Trustpilot. Se eliminaron decenas de opiniones negativas veraces en oleadas sucesivas. Las eliminaciones se concentraron en cada ciclo de quejas públicas, lo que concuerda con una denuncia coordinada más que con una moderación orgánica. Una vez más, el registro interno de eliminaciones de Trustpilot, objeto de una citación judicial, es el documento definitivo.
- X (Twitter). Las respuestas críticas a las cuentas relacionadas con estafas desaparecieron a un ritmo difícil de explicar por la política habitual de la plataforma. Tras nuestro
@Phish_DestroyCuando finalmente se bloqueó la cuenta con un pretexto cambiante (véanse los correos electrónicos adjuntos más arriba), todo encajó. La misma estrategia de represión que se había utilizado durante años contra denunciantes individuales se estaba aplicando ahora contra una cuenta dedicada a la investigación.
Queremos ser precisos: no estamos hablando de telepatía. Estamos hablando de una cronología documentada. Publicar. Archivar. Eliminar. Repetir el proceso en tres plataformas, dirigido al mismo público objetivo, durante una década, sin que el registrador modifique nunca el dominio. Esa cronología no requiere una teoría de la conspiración. Lo que requiere es una solicitud de acceso a los registros públicos.
Si eres víctima de xmrwallet[.]com — Por favor, acérquense
Sabemos que hay más personas en vuestra misma situación. Nos han contactado en privado personas que perdieron dinero y que tenían miedo de dar su nombre mientras el operador seguía en activo y su registrador aún lo defendía públicamente. La situación ha cambiado ahora. La operación ha quedado al descubierto, la infraestructura está documentada y las fuerzas del orden de las jurisdicciones de la UE están investigando el caso.
xmrwallet[.]com — tres pasos prácticos - Presentar una denuncia formal ante la policía en tu país de residencia. Indica el dominio
xmrwallet[.]com, la fecha y el importe aproximados, y la cartera de destino, si la tienes. El atest de la policía es lo que permite que se tramiten las solicitudes de bloqueo por parte de las plataformas de intercambio. - Conserva todos los objetos: capturas de pantalla, historial del navegador, recibos de correo electrónico, identificadores de transacción, direcciones de monedero, firmas de aprobación. No des por hecho que todo seguirá estando disponible en línea la semana que viene. Guárdalo localmente. y enviar a archive.org.
- Cuéntanoslo. Escribe a report@phishdestroy.io o envíame un mensaje directo a través de @PhishDestroy_bot. No revelamos tu identidad sin tu consentimiento. Tu testimonio —incluso de forma anónima— refuerza el caso contra la infraestructura que permitió el robo.
Para las instituciones que realmente pueden exigir la divulgación de información —el departamento de Cumplimiento de la ICANN, las autoridades del GDPR de la UE, el Centro Antifraude de Canadá (el operador es canadiense), las autoridades fiscales pertinentes y cualquier tribunal con jurisdicción sobre la entidad operativa de NameSilo—: el material de fuente primaria se conserva y está disponible previa solicitud. Acuses de recibo, capturas de Wayback Machine, artículo en Medium, gráfico de la infraestructura de informes de dominios y testimonios de las víctimas con consentimiento firmado. No estamos ocultando pruebas. Las conservamos en un formato que podáis utilizar realmente.
Llamar «blanco» a lo «negro» no lo convierte en blanco. Una década de pruebas públicas, más de 20 denuncias documentadas de abusos, una plataforma de robo alojada en un servidor «a prueba de balas», eliminaciones coordinadas de cuentas en tres plataformas, una cuenta de investigación bloqueada y un operador identificado cuya identidad ya es pública: esto no es un problema de relaciones públicas. Es un problema jurisdiccional. Estamos convencidos de que el registro público ya contiene suficiente información para resolverlo.
Las víctimas: ¿Quiénes resultaron realmente perjudicados?
El argumento implícito de NameSilo, al recurrir al botón de denuncia de abuso de la plataforma en lugar de una rectificación, es: «No nos gustó que nos pusieran en evidencia». Es comprensible. A la gente rara vez le gusta que la pongan en evidencia. Pero hay que sopesar ambos perjuicios en la misma balanza.
El perjuicio que ha sufrido NameSilo a raíz de nuestra información: vergüenza.
El perjuicio sufrido por las víctimas a causa de la operación «NameSilo», que se mantuvo en secreto durante diez años:
- Un único usuario: 590 XMR (aprox. 177 000 dólares) perdidos en una sola transacción secuestrada.
- Primeros casos documentados: 15 (Trustpilot, Sitejabber, BitcoinTalk).
- Regiones: diferentes regiones (los testimonios de las víctimas lo confirman).
- Cifra total confirmada: más de 20 millones de dólares. Esto se basa en las denuncias de las víctimas que podemos verificar de forma individual.
- Nuestra opinión, basada en datos pero sin confirmar: más de 100 millones de dólares. Basándonos en el número de víctimas contactadas y la duración de la operación. Lo indicamos como una estimación y no podemos demostrarlo públicamente. NameSilo tampoco puede desmentirlo de forma creíble sin hacer públicos sus propios registros.
- Nota importante sobre los precios. Nuestras cifras totales de pérdidas se calculan al tipo de cambio del XMR. en el momento de cada robo, no al precio actual de Monero. Las cifras anteriores corresponden a los importes reales, expresados en su equivalente en dólares estadounidenses, que las víctimas perdieron en el momento en que los perdieron.
- Causas penales en curso en las jurisdicciones de la UE. Esto ya no es solo investigación, sino que se trata de la aplicación de la ley.
Desde su publicación, Otras víctimas se han puesto en contacto con nosotros directamente con los importes de las pérdidas individuales y los números de identificación de las transacciones. Estamos conservando y verificando dichos informes.
Considerar que estos dos perjuicios son comparables —al permitir que un registrador silencie al investigador que documentó la operación— constituye en sí mismo un fracaso político.
El expediente permanente
Silenciar una cuenta de Twitter no elimina las pruebas. Todo lo relacionado con este caso queda archivado:
- Cada declaración pública de NameSilo en defensa de la
xmrwalletoperador — Wayback Machine, Archive.today, nuestro repositorio de pruebas en GitHub. - Capturas de pantalla del código de robo en tiempo real en el entorno de producción, con marcas de tiempo.
- Se han analizado y publicado 8 puntos de conexión PHP.
- La cadena completa de mensajes de la denuncia por abuso.
- Toda nuestra cronología de X se refleja en Mastodon, Bluesky, Medium, Telegram, GitHub e IPFS.
- Instantáneas cada hora de
phishdestroy.ioen sí mismo, con un periodo de retención de 14 días, instalado específicamente para que nada de lo que hayamos escrito pueda desaparecer sin más.
Si se bloquea un servidor espejo, el contenido seguirá disponible en los otros siete. La arquitectura es anterior a NameSilo. Y perdurará más que ellos.
¿Ha sido justo? Cinco preguntas para todos los lectores
No son preguntas retóricas. Lee la información que aparece más arriba y luego responde por ti mismo: en privado, en tu muro o mientras decides si mantener o trasladar tus dominios.
- ¿Es justo expulsar a un investigador de seguridad por responder públicamente a una declaración pública realizada por el propio registrador? El secretario inició la conversación. El investigador respondió con datos. Solo una de las partes fue silenciada.
- ¿Es aceptable que, en una declaración pública, un registrador tache de poco seria una investigación documentada y, al mismo tiempo, se ofrezca a ayudar a un estafador a eliminar los sistemas de detección de amenazas? Ambas cosas ocurrieron en un único comunicado de NameSilo. En él no se menciona a las víctimas en ningún momento.
- ¿Es aceptable que X retire explícitamente por escrito su propia justificación del bloqueo («no hay infracción, se ha restablecido») y, aun así, mantenga la suspensión en vigor? Según la última resolución de X, la cuenta debería estar activa.
- ¿Es aceptable que una suscripción de verificación de pago siga facturándose mientras la cuenta subyacente está bloqueada? Si no se presta el servicio, ¿se trata de un producto o de un incumplimiento de contrato?
- ¿Qué significa que un registrador acreditado por la ICANN esté «en regla»? ¿Podría un registrador acreditado utilizar los canales de denuncia de abusos de una plataforma de terceros como arma para silenciar al investigador que documenta su falta de respuesta ante dichos abusos? Se trata de una cuestión de cumplimiento normativo, y se está añadiendo a la presentación existente del artículo 3.18 del RAA.
Si alguna de las respuestas fuera «No, esto no es justo»
A continuación te presento tres medidas concretas y sin coste alguno, ordenadas de menor a mayor impacto.
1. Compártelo públicamente
La desaprobación silenciosa no sirve de nada. La presión visible sí. Un clic, ya rellenado:
2. Dirígete a las partes por su nombre
Etiquétalos. La desaprobación silenciosa no sirve de nada. Las preguntas visibles de los lectores llaman la atención.
- @NameSilo — es el
@Phish_Destroysuspensión relacionada con tu declaración pública en la que te ofrecías a ayudar a losxmrwallet¿Se han eliminado las detecciones del operador? - @X / @XSupport / @elonmusk — El correo electrónico n.º 2 dice «restablecida su plena funcionalidad». La cuenta está bloqueada. ¿Qué decisión es la que prevalece?
- @ICANN — ¿Abarca el artículo 3.18 del RAA las represalias de los registradores contra los investigadores?
- @Tucows — ¿Son las represalias por uso indebido de la plataforma contra los investigadores compatibles con las normas de distribuidores de OpenSRS?
3. Traslada tus dominios (esto es lo que más duele)
Las empresas reaccionan ante la pérdida de ingresos, no ante los tuits. Las transferencias tardan unos quince minutos. Nuestro página de estadísticas del registrador Enumera los registradores con un historial impecable en materia de respuesta ante abusos. Cada dominio trasladado supone un dato sobre renovaciones que la dirección de NameSilo verá el próximo trimestre.
Si eres una organización —ya sea un proyecto de criptomonedas, una plataforma de recompensas por errores, un medio de comunicación o una empresa de inteligencia sobre amenazas— con cualquiera dominio en NameSilo: piensa en lo que supone financiar al registrador que dio cobijo a una operación de robo de más de 20 millones de dólares y que, posteriormente, silenció al investigador que la documentó. Puedes dar ese paso públicamente. Tiene un gran peso.
Conclusión
No se puede proteger durante diez años una operación de robo de más de 20 millones de dólares, mentir al respecto en público, tomar represalias contra el investigador que te ha pillado… y que todo quede en el olvido sin más. Y menos aún mientras las fuerzas del orden de la UE están investigando el caso.
No te pedimos que te fíes de nuestra palabra. Cada afirmación fáctica anterior está enlazada, documentada, fechada, archivada externamente y es reproducible. Lo que te pedimos es que examines las pruebas, respondas por ti mismo a las cinco preguntas y actúes en función de tu propia respuesta. Eso es lo que significa la imparcialidad: un lector que examina las pruebas y decide por sí mismo. Y es precisamente eso lo que el silenciamiento pretende impedir.
PhishDestroy es una fuente independiente de información sobre amenazas. Sin pagos, sin patrocinios, sin favores. Publicamos lo que encontramos. NameSilo nos bloqueó por ello.
Investigación original: phishdestroy.io/xmrwallet-NameSilo-exposed
Investigación en «Medium» (fuente primaria): PhishDestroy.medium.com/xmrwallet-com-2953f35b8a79
Repositorio de pruebas: github.com/PhishDestroy
