# PhishDestroy — es/trustwallet-panel-exposed ================================================================ Title: Phishing de Trust Wallet: 239 000 $ robados | PhishDestroy Canonical: https://phishdestroy.io/es/trustwallet-panel-exposed Published: 2026-03-01T00:00:00 Updated: 2026-03-01 Author: PhishDestroy Research Schema: Organization, ImageObject, ContactPoint, WebSite, SearchAction, EntryPoint, NewsArticle, BreadcrumbList, ListItem, WebPage OG image: https://phishdestroy.io/assets/images/covers-v4/trustwallet-panel-exposed.webp ## SUMMARY ---------------------------------------------------------------- Red de phishing que suplantaba a Trust Wallet con un falso chat de soporte: 239 000 $ robados, 1900 chats de víctimas y seis operadores identificados. ## STRUCTURE ---------------------------------------------------------------- - Se descubre una red de phishing relacionada con Trust Wallet: se han sustraído 239 000 dólares y se ha identificado a seis operadores - Resumen ejecutivo - Cómo funciona la estafa: flujo del ataque - Pérdidas económicas: principales pérdidas confirmadas - Es probable que los daños reales sean mucho mayores - Identificación del operador - Operador principal: Vasiliy Navrotsky - Miembros del equipo identificados en los registros de chat - Tácticas de ingeniería social - La ironía - Embudos de participación de las víctimas - Análisis de infraestructuras - Arquitectura del dominio principal: tttadmin.com - Infraestructura de alojamiento - Dominios de phishing (en rotación) - Vulnerabilidades críticas de seguridad - 11 Puntos finales de API sin autenticación - Funcionalidades del panel de administración (análisis del código fuente) - Se ha detectado actividad de investigación de terceros - Se ha encontrado una carga útil de shell inverso en el chat n.º 1 - Cronología de la operación - Recomendaciones para los usuarios - Informe técnico completo con los registros de chat - Comparte esta investigación - Investigaciones relacionadas ## CONTENT ---------------------------------------------------------------- Volver a las noticias INVESTIGACIÓN DE UNA AMENAZA ACTIVA Se descubre una red de phishing relacionada con Trust Wallet: se han sustraído 239 000 dólares y se ha identificado a seis operadores tttadmin.com · Estafa de chat en directo · IDOR · 14 meses de actividad · marzo de 2026 9 minutos de lectura· Actualizado Marzo de 2026· PhishDestroy Research Escuchar el artículo 0:00 / --:-- Descargar en formato PDF — Informe oficial En esta página01 / 12 1,900 Sesiones de chat para víctimas $239K+ Robo confirmado (USDT/ETH/BTC) 21 Identificadas las carteras de los estafadores 6 Operadores con nombre Resumen ejecutivo Esta investigación documenta TrustWalletPanel — una sofisticada operación de phishing que se hacía pasar por Trust Wallet a través del dominio de backend tttadmin.com. Se presenta como candidato a 14 meses (Enero de 2025 – febrero de 2026), la operación se dirigió a usuarios de criptomonedas a través de un chat de asistencia falso, sustrayéndoles frases de semilla y exigiéndoles depósitos bajo el pretexto falso del «cumplimiento de la normativa de la OFAC» y la «sustitución de activos». Las 1 900 conversaciones de las víctimas se obtuvieron a través de una vulnerabilidad crítica de tipo IDOR. Se ha revelado la identidad del operador principal. Cómo funciona la estafa: flujo del ataque La operación sigue un proceso de cinco fases cuidadosamente diseñado para sacar el máximo provecho de cada víctima: Fase 1 Descubrimiento — Las víctimas encuentran el dominio de phishing a través de grupos de Telegram, estafas románticas (personaje «Sofía») o resultados de motores de búsqueda Fase 2 Cartera falsa — Una página web de phishing imita la interfaz de Trust Wallet y captura la frase mnemotécnica y la contraseña durante el proceso de «creación de monedero» Etapa 3 Desencadenante del chat en vivo — Los intentos de retirada fracasan deliberadamente; el operador del chat aparece como «Soporte técnico de Trust Wallet» Etapa 4 Ingeniería social — Los operadores alegan que se han congelado sus activos debido a infracciones de las normas de la OFAC y contra el blanqueo de capitales, y exigen depósitos en criptomonedas a modo de «reemplazo» o «verificación». Etapa 5 Extracción repetida — Exigencias continuas de pagos adicionales, con tácticas para crear urgencia y presión por los plazos Pérdidas económicas: principales pérdidas confirmadas ↔ ID del chat | Importe | Activo | Contexto #1795 | 197 000 USDT | TRON (TRC-20) | Tomado prestado de mi exmujer #481 | ~45,77 ETH | Ethereum | Depósitos múltiples #965 | ~16 000 USDT | USDT | Ingresos sucesivos #720 | 8 000 USDT | TRC-20 | Traslado de un solo día #1090 | 5.839 USDT | USDT | Madre soltera, pérdida confirmada #1430 | ~3.686 USDT | USDT | Dos depósitos distintos #92 | 3.340,23 USDT | USDT | Importe exacto confirmado #1089 | 0,3201 BTC | Bitcoin | Desde el monedero físico Ledger Es probable que los daños reales sean mucho mayores Se trata de datos facilitados por los propios interesados, extraídos de registros de chat, que no han sido verificados. Muchas víctimas nunca comunicaron las cantidades. La rotación de monederos hace que sea imposible calcular los totales en la cadena de bloques sin un seguimiento completo de la misma. Identificación del operador Operador principal: Vasiliy Navrotsky Parámetro | Valor Nombre completo | Vasiliy Navrotsky (Василий Навроцкий) ID de Telegram | 6005741623 Nombre de usuario actual | @Addmeks Historial de nombres de usuario | @Slo221, @Li_Sin_main, @Handert, @Surr2201, @surr2204 Período de vigencia | Julio de 2023 – mayo de 2025 Mensajes seguidos | 249 repartidos en 61 grupos de Telegram Grupos clave | Binance RU (34), P2P LAB (9), Trust Wallet RU (6) Miembros del equipo identificados en los registros de chat 👤 Lyokha / Alexey Operador principal de chat 👤 Dima Operador (Chat n.º 92) 👤 Maksim Operador (Chat n.º 446, 201 mensajes) 👤 Andrey Operador (Chat n.º 579) 👤 Aleksander Responsable de selección de personal en Telegram 👤 Sofía Perfil de seducción en las estafas románticas Tácticas de ingeniería social ↔ Táctica | Mensajes | Descripción Suplantación de identidad de Trust Wallet | 1,905 | Haciéndose pasar por el servicio de asistencia oficial de Trust Wallet Reclamaciones por bloqueo o congelación de monederos | 360 | Afirman que la cartera ha sido bloqueada debido a «actividad sospechosa» Ofertas de sustitución de activos | 305 | Prometiendo «reembolsar» los activos congelados tras el ingreso Amenazas de sanciones de la OFAC | 210 | Afirmaciones falsas sobre sanciones del Tesoro de EE. UU. contra una cartera digital Exigencias de depósito para el desbloqueo | 185 | Exigir un depósito en criptomonedas para «desbloquear» el monedero Ofertas falsas de staking | 161 | Grupos de staking con APY personalizados en el panel de administración Acusaciones relacionadas con la lucha contra el blanqueo de capitales y la financiación del terrorismo | 66 | Acusar a las víctimas de blanqueo de capitales La ironía Estafadores de habla rusa que se dirigen a víctimas de habla rusa (el 51 % de los chats son en ruso) con amenazas de Sanciones de la OFAC del Tesoro de EE. UU. — un mecanismo regulador que no tiene en cuenta la ubicación geográfica de sus víctimas. Ingeniería social basada en plantillas, en lugar de una comprensión contextual. Embudos de participación de las víctimas Sesiones iniciales 1,900 100% Respondió al chat 679 35.7% Interacción profunda (más de 10 mensajes) 175 9.2% Transferencias de fondos confirmadas ~20 1% Idiomas: Ruso 51 % (3.013 mensajes) · Inglés 40 % (2.995 mensajes) · Otros 9 % (365 mensajes) Pico de actividad: Noviembre de 2025 (959 mensajes). Horario laboral: de 10:00 a 13:00 UTC; los fines de semana, un 40 % menos. Análisis de infraestructuras Arquitectura del dominio principal: tttadmin.com IDORSIN AUTORIZACIÓNMAPAS DE ORIGEN AL DESCUBIERTOCONFIGURACIÓN INCORRECTA DE CORS Componente | Detalles API de víctimas | appp.tttadmin.com Panel de administración | core.tttadmin.com / app.tttadmin.com CDN estática | static.tttadmin.com Pila de backend | Java Spring Boot + Spring Security, JWT RS256 Base de datos | PostgreSQL (JPA/Hibernate) Interfaz de usuario | React CRA + Material UI (339 archivos fuente recuperados) Servidor web | nginx/1.18.0 (Ubuntu) Infraestructura de alojamiento ↔ IP | Ubicación | Proveedor | Función 45.144.30.6 | Moscú, Rusia | UFO Hosting (AS33993) | Orientado principalmente a las víctimas 2.56.178.117 | Moscú, Rusia | UFO Hosting (AS33993) | Fase inicial (enero-febrero de 2025) 185.170.198.121 | Vilna, LT | Hostinger (AS47583) | Interfaz de phishing 69.10.62.71 | Nueva York, EE. UU. | Interserver (AS19318) | Orientado a las víctimas 69.49.231.166 | Atlanta, Georgia | Soluciones de red | Dominio principal actual: todos los *.tttadmin.com 94.131.121.154 | Moscú, Rusia | UFO Hosting (AS33993) | Phishing 146.185.239.62 | Madrid, España | GTHost (AS63023) | Secundario (casino + Next.js) Dominios de phishing (en rotación) ALIVE (Cloudflare) wallet-premium.com PARKED (Epik) trustarter.io DESACTIVADO trust-multi-chain.com trust-multichain.com trust-multi.online coinbridge.online premium-trust.com RED DE ESTAFAS ROMÁNTICAS rynova-qw.shop Vulnerabilidades críticas de seguridad La infraestructura del panel de estafas estaba plagada de vulnerabilidades que facilitaban enormemente la extracción completa de datos: 11 Puntos finales de API sin autenticación # IDOR - enumerate all 1,900 chats by sequential ID POST /chat/get → Transcripción completa del chat, sin autorización# Returns latest victim session data POST /session/get → Se ha filtrado la frase mnemotécnica y la contraseña# Inject messages into any victim chat POST /message/save → No se requiere autenticación# Create fake victim sessions POST /session/init → Guarda las frases de semilla# Full system config POST /system/get → swap_percent, status_support# All token/network config (174KB) POST /red/get → Datos completos de la red POST /token/info/get/all → Precios en tiempo real de CoinMarketCap POST /stake/get/all → Configuraciones de los grupos de staking# Admin login - no rate limiting POST /admin/sign-in → Fuerza bruta ilimitada IDOR en /chat/get Se pueden consultar las 1.900 conversaciones sin necesidad de autenticarse Mapas de origen al descubierto Se han recuperado 339 archivos fuente (3,4 MB) Configuración incorrecta de CORS Refleja cualquier origen con credenciales Sin limitación de frecuencia Intentos ilimitados de ataque por fuerza bruta en el inicio de sesión de administrador Funcionalidades del panel de administración (análisis del código fuente) Se recuperaron 339 archivos fuente a partir de los mapas fuente de producción expuestos (main.3924229a.js.map). El panel cuenta con: Gestor de carteras Ver/editar todos los monederos de las víctimas con frases mnemotécnicas Chat en directo (encuesta de 1 s) Chat en tiempo real con las víctimas bajo el nombre de «Soporte técnico de Trust Wallet» Control de transacciones Modificar el estado, introducir transacciones falsas Grupos de staking Tipos de interés anual (APY) personalizados, períodos de bloqueo y rendimientos falsos Se ha detectado actividad de investigación de terceros Se ha encontrado una carga útil de shell inverso en el chat n.º 1 Se ha detectado una carga útil de shell inverso codificada en Base64 inyectada a través del servicio sin autenticación /message/save punto final en 6 de mayo de 2025 — aproximadamente 10 meses antes de esta investigación. Esto indica que las vulnerabilidades pudieron ser explotadas públicamente durante un largo periodo de tiempo y que otro investigador las descubrió mucho antes que nosotros. Cronología de la operación Enero de 2025 Aparecen las primeras sesiones de las víctimas (845 mensajes). Infraestructura en direcciones IP de Moscú. Mayo de 2025 Un investigador externo descubre una vulnerabilidad IDOR e inyecta una carga útil de shell inverso Noviembre de 2025 Pico de actividad: 959 mensajes en un solo mes. Se han renovado los certificados SSL. Febrero de 2026 Se ha emitido el último certificado. La operación sigue activa y se siguen creando nuevas sesiones. 1 de marzo de 2026 Se ha publicado la investigación sobre PhishDestroy. Se han extraído y analizado las 1.900 conversaciones. Recomendaciones para los usuarios Nunca compartas frases de semilla a través del chat, el correo electrónico o cualquier otro canal de atención al cliente: Trust Wallet nunca te pedirá esos datos Comprobar los datos de contacto del servicio de asistencia exclusivamente a través de los canales oficiales de Trust Wallet Reconocer las amenazas relacionadas con la OFAC y la lucha contra el blanqueo de capitales como pretextos habituales de estafa: los servicios legítimos no bloquean las carteras a través del chat Denunciar dominios de phishing al equipo de seguridad de Trust Wallet y PhishDestroy [https://t.me/PhishDestroy_bot] Utiliza carteras de hardware para la firma de las operaciones de retirada, con el fin de evitar transferencias no autorizadas Comprobar el estado del monedero a través del historial de transacciones de la cadena de bloques, y no a través de ninguna interfaz de «asistencia» Informe técnico completo con los registros de chat Datos completos de la investigación, incluyendo todas las transcripciones de los chats, las direcciones de los monederos, el análisis de los operadores y las visualizaciones interactivas Ver el informe completo en GitHub → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/] Ver las 1.900 transcripciones de chat → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/chats.html] (GitLab [https://phishdestroy.gitlab.io/ScamIntelLogs/TrustWalletPanel/chats.html]) Comparte esta investigación X / Twitter [https://twitter.com/intent/tweet?text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators&url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Telegram [https://t.me/share/url?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] Reddit [https://reddit.com/submit?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&title=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] LinkedIn [https://www.linkedin.com/sharing/share-offsite/?url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Investigaciones relacionadas INVESTIGACIÓN EN PROFUNDIDAD Kit de herramientas «Crypto Drainer»: se desenmascara a los distribuidores de «Angel Drainer» INVESTIGACIÓN BUYTRX al descubierto: 55 dominios y un «drainer» de aprobaciones de TRON INVESTIGACIÓN EN PROFUNDIDAD Análisis del phishing de criptomonedas: 8 programas reales para robar frases de semillas, analizados mediante ingeniería inversa ## EXTERNAL REFERENCES ---------------------------------------------------------------- t.me (3 mentions) github.com (2 mentions) gitlab.com (2 mentions) phishdestroy.github.io (2 mentions) phishdestroy.gitlab.io (1 mention) twitter.com (1 mention) reddit.com (1 mention) www.linkedin.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/es/trustwallet-panel-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.