NameSilo nos ha dejado sin Twitter Porque dijimos la verdad sobre ellos
On 3 de abril de 2026, X bloqueado dos cuentas de PhishDestroy alegando un «problema con el pago» y prometiendo que se reembolsarían las suscripciones pagadas. No se recibió ningún reembolso. Once días después, el 14 de abril, X presentó una nueva justificación: «Comportamientos poco auténticos: la revocación no está justificada». Presentamos un recurso. El propio sistema automatizado de X respondió por escrito: «No se ha detectado ninguna infracción; la cuenta ha recuperado todas sus funciones». Las cuentas siguen bloqueadas. El dinero aún no ha sido devuelto. El motivo aducido ya ha cambiado tres veces. Hace dos semanas denunciamos que NameSilo daba cobijo a una operación de robo de Monero por valor de más de 20 millones de dólares, que actualmente es objeto de una investigación penal en la UE.
Los recibos: X se contradice a sí misma por escrito
Dos correos electrónicos oficiales del servicio de asistencia de X. La misma cuenta. La misma reclamación. Resoluciones opuestas. El segundo es el más reciente. Léelos en orden.
Hola,
Hemos revisado su solicitud de revisión de la cuenta, @Phish_Destroy.
Nuestro equipo de atención al cliente ha determinado que se ha producido una infracción de nuestras Normas, concretamente:
Incumplir nuestras normas contra comportamientos poco auténticos.
Hemos tenido en cuenta la información adicional facilitada y ha decidido que, en este caso, no procede revocar nuestra resolución originalPor lo tanto, no vamos a revocar nuestra decisión de bloquear tu cuenta.
Gracias,
Asistencia técnica
Hola,
Hemos revisado su solicitud de revisión de la cuenta, @Phish_Destroy.
Nuestros sistemas automatizados han determinado que no se ha producido ninguna infracción y han restablecido el pleno funcionamiento de tu cuenta.
Gracias,
Asistencia técnica
El correo electrónico n.º 2 es la resolución más reciente. Anula explícitamente el correo electrónico n.º 1. En él se indica —por escrito, en papel con membrete de la propia empresa X— que la cuenta ha sido restablecida su plena funcionalidad. La cuenta no se ha restablecido. La suscripción de pago sigue cobrándose. No hay ningún tercer correo electrónico que rectifique el correo n.º 2. El compromiso más reciente de X con nosotros simplemente no se está cumpliendo.
O bien el correo electrónico n.º 2 es auténtico — El departamento de automatización revisó el recurso, concluyó que no se había producido ninguna infracción, y una parte no identificada mantiene la prohibición a pesar de esa resolución.
O bien, el correo electrónico n.º 2 no es auténtico — se envió por error; la decisión válida sigue siendo la del correo electrónico n.º 1, y X no ha publicado ninguna rectificación por escrito.
No hay una tercera opción. Ambas opciones dan una mala imagen de X. Una de ellas, además, tiene consecuencias catastróficas.
Por qué ocurrió esto
El 27 de marzo publicamos El fin de xmrwallet[.]com: NameSilo mintió para proteger a un ladrón de criptomonedas. La investigación fue reproducible: volcados de puntos finales PHP, sentencias archivadas y más de 15 víctimas documentadas. Tres registradores independientes (de la India, Malasia y China) revisaron las mismas pruebas y eliminaron sus xmrwallet dominios en pocos días. Solo NameSilo salió en defensa del estafador.
Lo que ocurrió después es importante. El orden es importante:
- El estafador nos envió primero un correo electrónico directamente — antes de que NameSilo hiciera ninguna declaración pública, antes de que se presentara ningún recurso. En su correo electrónico nos decía que «demandáramos al registrador». Esa no es una frase que un estafador actuando en solitario le escriba a un investigador que le persigue. Es una frase que alguien escribe cuando ya sabe que el registrador le respaldará. Nunca habíamos visto esa reacción en ningún otro estafador del que hayamos tenido constancia.
- A continuación, NameSilo emitió un comunicado público que contiene dos afirmaciones demostrablemente falsas, citadas textualmente y archivado en nuestra investigación en Medium:
• «El dominio fue pirateado hace unos meses» — lo que se contradice con el hecho de que el propio código de robo del operador seguía en funcionamiento en el entorno de producción en el momento de la declaración de NameSilo.
• «Antes de eso, no habíamos recibido ninguna denuncia de abuso» — lo cual se contradice con nuestros albaranes de entrega correspondientes a múltiples denuncias de abuso anteriores, acompañadas de pruebas técnicas completas.
En el mismo comunicado también se decía: «El titular del registro está tramitando su exclusión de los informes de VT», lo que confirma que NameSilo respaldó explícitamente el intento del operador de eliminar las detecciones de VirusTotal mientras el código malicioso seguía activo. - En la misma declaración, NameSilo tachó nuestra investigación de poco seria y se ofreció públicamente a ayudar al operador a eliminar las alertas de los proveedores de seguridad (VirusTotal, Fortinet), mientras el código malicioso seguía activo.
- We respondió con objetividad En relación con esa declaración pública: nada de acoso, nada de spam, nada de doxing. Hemos rectificado la información en el mismo foro que eligió NameSilo.
- Siete días después, Se bloquearon dos cuentas de PhishDestroy X. Motivo indicado: «pago». Las suscripciones estaban pagadas. El 14 de abril, el motivo pasó a ser «comportamientos no auténticos». Tras presentar una apelación, el motivo volvió a cambiar a «sin infracción, cuenta restablecida». El bloqueo y los pagos no devueltos no variaron en absoluto.
NameSilo no pudo refutar las pruebas: tres registradores independientes actuaron al respecto por su cuenta. Así que hicieron lo que... xmrwallet lo que el operador llevaba haciendo con los críticos desde hacía diez años: recurrió a un trámite burocrático para acallar la voz, sin abordar los hechos. El operador eliminó más de 20 cuentas de GitHub y más de 200 reseñas de Trustpilot. A NameSilo le bloquearon una cuenta de X. El mismo guion, pero a escala corporativa.
¿Existen vínculos entre NameSilo y el estafador?
El xmrwallet[.]com El operador respondió con seguridad a las denuncias de abuso, publicó tuits junto con el registrador siguiendo unos argumentos coordinados y nunca trasladó el dominio en diez años de quejas. Así no es como se comportan los estafadores nerviosos. Así es como se comportan los estafadores que tienen un acuerdo.
En los más de cien casos de operadores de phishing que hemos documentado, nunca habíamos visto antes esta secuencia concreta:
- El estafador nos escribió primero. Antes de que NameSilo hiciera ninguna declaración pública, antes de que se presentara ningún recurso, el propio operador envió un correo electrónico a PhishDestroy. La identidad queda documentada en el Investigación de alcance medio: los correos electrónicos procedían de la
xmrwallet[.]comoperador, identificable públicamente a través de la huella de su propio repositorio como Nathalie Roy (Canadá), GitHubnathroy, Redditu/WiseSolution, prohibido enr/Moneroen 2018. - Sus palabras exactas (textuales, archivadas): «No dude en citar a declarar al registrador del dominio». No dijo «quítalo». Tampoco dijo «yo lo arreglaré». Nos señaló explícitamente a su propio registrador como la parte a la que debíamos dirigirnos, como si ya supiera que el registrador no tomaría medidas contra él y estuviera seguro de que su postura jurídica resistiría cualquier escrutinio. Esta cita figura en nuestro Investigación de Medium (16 de marzo de 2026).
- Solo entonces NameSilo salió a bolsa con la excusa de que «nuestro cliente fue víctima de un ataque informático» —una excusa que se contradice con el código de robo que sigue activo— y la afirmación de que «no existían denuncias previas de abuso», lo cual se contradice con nuestros recibos de entrega.
- NameSilo convirtió entonces un canal de abuso de la plataforma en un arma en nuestra contra — utilizando las mismas tácticas de silenciamiento que el operador ya había empleado en GitHub (más de 20 cuentas eliminadas), Trustpilot (más de 200 reseñas eliminadas) y BitcoinTalk.
La infraestructura del operador no es la de un aficionado. Según nuestro Investigación de alcance medio, xmrwallet[.]com está alojado en Alojamiento web a prueba de fallos por 550 $ al mes a través de IQWeb FZ-LLC (inscrita en Belice), detrás de DDoS-Guard (Rusia). Se trata de una estructura profesional, bien preparada y a prueba de ataques, no de una página fraudulenta improvisada. El hecho de que un solo operador gestione una infraestructura preparada y a prueba de fallos, al tiempo que su registrador emite públicamente una declaración en su defensa, constituye, como mínimo, una operación inusualmente bien coordinada.
No podemos demostrar que exista una relación fuera de los libros contables de NameSilo. Solo sus registros internos podrían hacerlo. Pero, a juzgar por las pruebas visibles, quedan dos explicaciones: o bien el operador es el estafador de criptomonedas más seguro de sí mismo de la última década y apostó acertadamente a que su registrador lo protegería por instinto — or Existe una relación no revelada entre ellos. El primer caso merece ser objeto de escrutinio público. El segundo merece una citación judicial. Las fuerzas del orden de las jurisdicciones de la UE están investigando actualmente el caso subyacente.
Pruebas directas: lo que NameSilo declaró públicamente frente a lo que realmente ocurrió
Los párrafos anteriores describen una pauta. En esta sección se recogen las contradicciones concretas entre las declaraciones públicas de NameSilo y nuestros propios registros de primera mano. No pedimos a nadie que nos crea a ciegas: cada uno de los puntos que figuran a continuación puede verificarse mediante archivos de terceros, recibos de entrega y la Wayback Machine.
-
Afirmación pública: «No existían denuncias previas de abusos / las denuncias no se recibieron dentro de los plazos establecidos».
Nuestro historial: El equipo de PhishDestroy lo envió personalmente más de 20 denuncias por abuso a lo largo de tres años (2023-2026) paraxmrwallet[.]comy la infraestructura relacionada. Cada denuncia se presentó a través del canal de denuncia de abusos publicado por NameSilo, generó un número de referencia de seguimiento y —en múltiples casos— recibió confirmaciones automáticas que aún se conservan en nuestro archivo de correo. Hemos conservado estos recibos. Los facilitaremos, en su totalidad, a cualquier procedimiento de la ICANN, del RGPD, de las autoridades policiales de la UE o judicial que los solicite. Que un registrador afirme «no hemos recibido nada» tras tres años de documentado El hecho de que no se hayan registrado las quejas no es un descuido administrativo. Se trata de una tergiversación de los hechos que se puede demostrar. -
Declaración pública: «Se trató de un caso aislado; el cliente fue víctima de un ataque informático».
Nuestro historial: el código de robo enxmrwallet[.]compermaneció conectado en diez años consecutivos con el mismo comportamiento de sustitución de monederos, la misma huella digital del operador (Nathalie Roy / nathroy / u/WiseSolution), y la misma pila a prueba de balas (550 $ al mes: IQWeb FZ-LLC en Belice, con DDoS-Guard). Un acuerdo que dura una década y garantiza un pago fijo e inamovible no es un acuerdo. Es un negocios. Lo sabemos de primera mano —y contamos con autorización para mencionarlo— al menos una persona cercana a nuestro equipo que perdió dinero en ese mismo dominio antes de que iniciáramos la investigación pública. No se trata de un perjuicio teórico, sino de una persona concreta. -
La conexión entre DDoS-Guard y GitHub no resulta creíble.
Las narrativas alineadas con NameSilo han planteado la idea de que la infraestructura del operador demuestra de alguna manera que no es más que un colaborador desorganizado de código abierto. Un dominio que lleva una década oculto tras un servicio ruso a prueba de balas de mitigación de ataques DDoS, pagado a través de estructuras corporativas offshore en Belice, no encaja con la imagen de «un tipo con una página en GitHub». Ningún observador sensato —sea o no experto en tecnología— acepta este planteamiento. Lo señalamos aquí porque el silencio podría confundirse con una muestra de acuerdo.
La tendencia a borrar contenidos: cuentas, no solo comentarios
Durante nuestra investigación de tres años, observamos, en tiempo real, cómo funcionaba el mecanismo de censura en tres plataformas diferentes. El patrón era tan constante que empezamos a archivar los datos antes de publicarlos, en todas las ocasiones.
- GitHub. Todo cuentas que publicaron problemas o comentarios en los que se hacía referencia a
xmrwallet[.]comfueron eliminadas —no comentarios concretos, ni hilos de discusión, sino las cuentas completas—. Disponemos de capturas de Wayback de hilos de discusión en los que el perfil del autor del comentario ahora da error 404. Cualquier persona que lleve a cabo una investigación puede preguntar a GitHub, mediante el procedimiento legal adecuado, cuántas cuentas de usuario con publicaciones que mencionanxmrwalletse cerraron entre 2018 y 2026, y por qué motivo. Esperamos que la cifra sea considerable. - Trustpilot. Se eliminaron decenas de reseñas negativas veraces en oleadas sucesivas. Las eliminaciones se concentraron en cada ciclo de quejas públicas, lo que concuerda con una denuncia coordinada más que con una moderación orgánica. Una vez más, el registro interno de eliminaciones de Trustpilot, objeto de una citación judicial, constituye el registro definitivo.
- X (Twitter). Las respuestas críticas a las cuentas relacionadas con estafas desaparecieron a un ritmo difícil de explicar por la política habitual de la plataforma. Tras nuestro
@Phish_DestroyCuando finalmente se bloqueó la cuenta con un pretexto cambiante (véanse los correos electrónicos adjuntos más arriba), todo encajó. La misma estrategia de represión que se había utilizado durante años contra denunciantes individuales se estaba aplicando ahora contra una cuenta dedicada a la investigación.
Queremos ser claros: no estamos hablando de telepatía. Estamos hablando de una cronología documentada. Publicar. Archivar. Eliminar. Repetir el proceso en tres plataformas, dirigido al mismo público objetivo, durante una década, mientras que el registrador nunca traslada el dominio. Esa cronología no requiere una teoría de la conspiración. Lo que requiere es una solicitud de acceso a los registros públicos.
Si eres víctima de xmrwallet[.]com — Por favor, acérquense
Sabemos que hay más personas en la misma situación. Nos han contactado en privado personas que perdieron dinero y que no se atrevían a hablar públicamente mientras el operador seguía en activo y su registrador aún lo defendía públicamente. La situación ha cambiado. La operación ha quedado al descubierto, la infraestructura está documentada y las fuerzas del orden de las jurisdicciones de la UE están investigando el caso.
xmrwallet[.]com — tres pasos prácticos- Presentar una denuncia ante la policía en tu país de residencia. Indica el dominio
xmrwallet[.]com, la fecha aproximada y el importe, así como la cartera de destino, si la tienes. El atest de la policía es lo que permite que las solicitudes de bloqueo por parte de las plataformas de intercambio se tramiten posteriormente. - Conserva todos los objetos: capturas de pantalla, historial del navegador, recibos de correo electrónico, identificadores de transacción, direcciones de monedero, firmas de aprobación. No des por sentado que todo seguirá estando disponible en línea la semana que viene. Guárdalo localmente. y enviar a archive.org.
- Cuéntanoslo. Escribir a report@phishdestroy.io o envíame un mensaje directo a través de @PhishDestroy_bot. No revelamos tu identidad sin tu consentimiento. Tu testimonio —incluso de forma anónima— refuerza los argumentos contra la infraestructura que permitió el robo.
A las instituciones que realmente pueden exigir la divulgación de información —el departamento de Cumplimiento de la ICANN, las autoridades del RGPD de la UE, el Centro Antifraude de Canadá (el operador es canadiense), las autoridades fiscales pertinentes y cualquier tribunal con jurisdicción sobre la entidad operativa de NameSilo—: el material de origen se conserva y está disponible previa solicitud. Se incluyen acuses de recibo, capturas de Wayback Machine, el artículo de Medium, el gráfico de la infraestructura de informes de dominios y el testimonio de las víctimas con consentimiento firmado. No estamos ocultando pruebas. Las conservamos en un formato que realmente se puede utilizar.
Llamar blanco a lo negro no lo convierte en blanco. Una década de pruebas públicas, más de veinte denuncias de abuso documentadas, una plataforma de robo alojada en un servidor a prueba de balas, eliminaciones coordinadas de cuentas en tres plataformas, una cuenta de investigación bloqueada y un operador identificado cuya identidad ya es de dominio público: esto no es un problema de relaciones públicas. Es un problema jurisdiccional. Estamos convencidos de que el expediente público ya contiene elementos suficientes para resolverlo.
Las víctimas: ¿quiénes resultaron realmente perjudicados?
El argumento implícito de NameSilo, al recurrir al botón de denuncia de la plataforma en lugar de a una rectificación, es: «No nos gustó que nos pusieran en evidencia». Es comprensible. A la gente rara vez le gusta que la pongan en evidencia. Pero pongamos los dos perjuicios en la balanza.
El perjuicio que ha sufrido NameSilo a raíz de nuestra información: vergüenza.
Los perjuicios sufridos por las víctimas a causa de la operación NameSilo, que se mantuvo en secreto durante diez años:
- Un solo usuario: 590 XMR (aprox. 177 000 $) perdidos en una sola transacción secuestrada.
- Primeros casos documentados: 15 (Trustpilot, Sitejabber, BitcoinTalk).
- Regiones: diferentes regiones (los testimonios de las víctimas lo confirman).
- Total confirmado: más de 20 millones de dólares. Esto se basa en los testimonios de las víctimas que podemos verificar individualmente.
- Nuestra opinión, basada en datos pero sin confirmar: más de 100 millones de dólares. Basándonos en el número de víctimas contactadas y la duración de la operación. Esto es solo una estimación por nuestra parte y no podemos demostrarlo públicamente. NameSilo tampoco puede desmentirlo de forma creíble sin hacer públicos sus propios registros.
- Nota importante sobre los precios. Nuestras pérdidas totales se calculan al tipo de cambio del XMR en el momento de cada robo, no al precio actual de Monero. Las cifras anteriores corresponden a los importes reales en dólares estadounidenses que las víctimas perdieron en el momento en que se produjeron las pérdidas.
- Causas penales en curso en los países de la UE. Esto ya no es solo investigación: es una cuestión de aplicación de la ley.
Desde su publicación, Otras víctimas se han puesto en contacto con nosotros directamente con los importes de las pérdidas individuales y los números de identificación de las transacciones. Estamos conservando y verificando dichos informes.
Considerar que estos dos perjuicios son comparables —al permitir que un registrador silencie al investigador que documentó la operación— constituye en sí mismo un fracaso político.
El expediente permanente
Silenciar una cuenta de Twitter no elimina las pruebas. Todo lo relevante para este caso queda archivado:
- Cada declaración pública de NameSilo en defensa de
xmrwalletoperador — Wayback Machine, Archive.today, nuestro repositorio de pruebas en GitHub. - Capturas de pantalla del código de robo en tiempo real en el entorno de producción, con marcas de tiempo.
- Se han analizado y publicado 8 puntos de acceso PHP.
- La cadena completa de mensajes de la denuncia por abuso.
- Toda nuestra cronología de X está replicada en Mastodon, Bluesky, Medium, Telegram, GitHub e IPFS.
- Instantáneas cada hora de
phishdestroy.ioen sí mismo, con un periodo de retención de 14 días, instalado específicamente para que nada de lo que hayamos escrito pueda desaparecer sin más.
Si se desactiva alguno de los servidores espejo, el contenido seguirá estando disponible en los otros siete. La arquitectura es más antigua que NameSilo. Les sobrevivirá.
¿Fue justo? Cinco preguntas para todos los lectores
No son preguntas retóricas. Lee la información anterior y luego decide por ti mismo: en privado, en tu muro o mientras decides si mantener o trasladar tus dominios.
- ¿Es justo expulsar a un investigador de seguridad por responder públicamente a una declaración pública realizada por el propio registrador? El secretario inició la conversación. El investigador respondió con datos. Solo una de las partes fue silenciada.
- ¿Es aceptable que, en una declaración pública, un registrador tache de poco seria una investigación documentada y, al mismo tiempo, se ofrezca a ayudar a un estafador a eludir los sistemas de detección de amenazas? Ambas cosas se mencionan en un solo comunicado de NameSilo. En él no se hace referencia alguna a las víctimas.
- ¿Es aceptable que X retire explícitamente por escrito su propia justificación del bloqueo («no hay infracción, restablecido») y, aun así, mantenga la suspensión en vigor? Según la última resolución de X, la cuenta debería estar activa.
- ¿Es aceptable que una suscripción de verificación de pago siga facturándose mientras la cuenta subyacente está bloqueada? Si no se presta el servicio, ¿se trata de un problema con el producto o de un incumplimiento del contrato?
- ¿Qué significa que un registrador acreditado por la ICANN esté «al corriente de sus obligaciones»? ¿Podría un registrador acreditado utilizar los canales de denuncia de abusos de una plataforma de terceros para silenciar al investigador que documenta su falta de respuesta ante dichos abusos? Se trata de una cuestión de cumplimiento normativo, y se está incorporando al documento RAA § 3.18 ya existente.
Si alguna respuesta fuera «No, esto no es justo»
Aquí tienes tres medidas concretas y sin coste alguno, ordenadas de menor a mayor impacto.
1. Compártelo públicamente
La desaprobación silenciosa no sirve de nada. La presión visible sí. Un clic, ya rellenado:
2. Dirígete a las partes por su nombre
Etiquétalos. La desaprobación silenciosa no sirve de nada. Las preguntas visibles de los lectores llaman la atención.
- @NameSilo — es el
@Phish_Destroysuspensión relacionada con tu declaración pública en la que te ofrecías a ayudar a laxmrwallet¿Se han eliminado las detecciones del operador? - @X / @XSupport / @elonmusk — El correo electrónico n.º 2 dice «restablecida la funcionalidad completa». La cuenta está bloqueada. ¿Qué decisión es la que prevalece?
- @ICANN — ¿Abarca el artículo 3.18 del RAA las represalias de los registradores contra los investigadores?
- @Tucows — ¿Son las represalias por uso indebido de la plataforma contra los investigadores compatibles con las normas de distribuidores de OpenSRS?
3. Traslada tus dominios (esta es la parte más complicada)
Las empresas reaccionan ante la pérdida de ingresos, no ante los tuits. Las transferencias tardan unos quince minutos. Nuestro página de estadísticas del registrador incluye una lista de registradores con un historial impecable en materia de respuesta ante abusos. Cada dominio transferido supone un dato más sobre renovaciones que la dirección de NameSilo verá el próximo trimestre.
Si eres una organización —ya sea un proyecto de criptomonedas, una plataforma de recompensas por errores, un medio de comunicación o una empresa de inteligencia sobre amenazas— con donde dominio en NameSilo: piensa en lo que supone financiar al registrador que dio cobijo a una operación de robo de más de 20 millones de dólares y que luego silenció al investigador que la documentó. Puedes dar ese paso públicamente. Tu gesto tendrá un gran peso.
Conclusión
No se puede encubrir una operación de robo de más de 20 millones de dólares durante diez años, mentir al respecto en público, tomar represalias contra el investigador que te descubrió... y esperar que todo quede en el olvido sin más. Y menos aún mientras las fuerzas del orden de la UE están investigando el caso.
No te pedimos que te fíes de nuestra palabra. Cada afirmación fáctica que figura más arriba cuenta con enlaces, está documentada, tiene fecha y hora, se archiva externamente y es reproducible. Te pedimos que examines las pruebas, respondas por ti mismo a las cinco preguntas y actúes en función de tu propia respuesta. Eso es lo que significa la imparcialidad: un lector que examina las pruebas y decide por sí mismo. Y es precisamente eso lo que el silenciamiento pretende impedir.
PhishDestroy es un servicio de inteligencia sobre amenazas gestionado por voluntarios. Sin pagos, sin patrocinios, sin favores. Publicamos lo que encontramos. NameSilo nos bloqueó por ello.
Investigación original: phishdestroy.io/xmrwallet-namesilo-expuesto
Investigación de Medium (fuente primaria): phishdestroy.medium.com/xmrwallet-com-2953f35b8a79
Repositorio de pruebas: github.com/PhishDestroy
