# PhishDestroy — es/xmrwallet-exposed ================================================================ Title: xmrwallet.com al descubierto: 10 años de claves robadas Canonical: https://phishdestroy.io/es/xmrwallet-exposed Published: 2026-03-16T00:00:00 Updated: 2026-03-16 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: xmrwallet, xmrwallet.com, Monero scam, XMR theft, private key theft, transaction hijacking, crypto wallet scam, Nathalie Roy, nathroy, DDoS-Guard, PhishDestroy, raw_tx, session_key, view key exfiltration OG image: https://phishdestroy.io/assets/og-cards/articles/xmrwallet-exposed-og.png ## SUMMARY ---------------------------------------------------------------- xmrwallet.com al descubierto: 10 años robando claves privadas de Monero y secuestrando transacciones. Se presentan pruebas criptográficas completas. ## STRUCTURE ---------------------------------------------------------------- - xmrwallet.com al descubierto: 10 años de claves robadas y transacciones secuestradas - La fachada - Producción frente a GitHub: Divergencia total - Ataque n.º 1: Exfiltración de claves de visualización - La estructura `session_key` - Más de 40 copias de tu clave privada - Ataque n.º 2: Secuestro de transacciones - Tu transacción nunca existió - Código de producción oculto - GitHub público (señuelo) - Centro de producción (real) - La puerta trasera y la inyección remota de código - Infraestructura a prueba de balas - IOC de alojamiento y redes - Indicadores clave de rendimiento (IOC) de seguimiento y análisis - $8K-$15K/Year for a "Free Volunteer Wallet" - Operadora identificada: Nathalie Roy - Expulsado, desenmascarado, pero sigue en activo - Víctimas registradas - Pruebas eliminadas, sin monedero para donaciones - Cronología de los acontecimientos - Dominio registrado — xmrwallet.com - Se ha creado una organización en GitHub - Expulsado y código bloqueado - Seis años de silencio - Investigación sobre PhishDestroy - Informe publicado — El dominio sigue activo - Pruebas completas y material de referencia - Informe técnico completo - N.º 35: Secuestro de transacciones - N.º 36: Exfiltración de claves de visualización - Repositorio de investigación de PhishDestroy - Alternativas seguras - Carteras de escritorio - Carteras móviles - La regla de oro de las criptomonedas - Proteger a la comunidad - Investigaciones relacionadas - Comparte este artículo ## CONTENT ---------------------------------------------------------------- Volver a las noticias [https://phishdestroy.io/es/news] Investigación sobre el robo de una cartera de Monero xmrwallet.com al descubierto: 10 años de claves robadas y transacciones secuestradas Escuchar el artículo 0:00 / --:-- Descargar en formato PDF — Informe oficial Investigación forense en profundidad sobre un monedero web de Monero que codifica en Base64 tu clave privada de visualización en un session_key token, lo filtra a través de más de 40 solicitudes de API por sesión y, a continuación, anula tu transacción con raw_tx = 0 y lo reconstruye para robarte el dinero. Activo desde 2016. Operador identificado. ~9 minutos de lectura· Actualizado Marzo de 2026· PhishDestroy Research Activo desde 2016 Más de 40 fugas de claves por sesión Protegido por DDoS-Guard 10 Años en activo 40+ Fugas de claves por sesión $2M-$15M+ Total estimado de objetos robados 0 Novedades de GitHub desde 2018 La fachada xmrwallet.com Se presenta como un monedero de Monero gratuito, de código abierto y del lado del cliente. Sin descargas. Sin registro. Sus Condiciones de servicio incluyen una afirmación muy concreta: «Todas las operaciones criptográficas se realizan en tu navegador. El servidor no tiene forma de acceder a tus claves privadas». — Condiciones de uso de xmrwallet.com (manifiestamente falsas) Esto es mentira. Nuestro análisis forense —capturas de red, desofuscación de JavaScript y comparación del código de producción— demuestra exactamente lo contrario. Todas las claves introducidas en xmrwallet.com son robadas. Todas las transacciones pueden ser secuestradas. Producción frente a GitHub: Divergencia total El repositorio público de GitHub [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] no ha recibido ni una sola actualización desde Noviembre de 2018. El entorno de producción ejecuta un código totalmente diferente, con parámetros no documentados que no figuran en el repositorio: session_key — Token de exfiltración de la clave de vista codificado en Base64 verification — canal de exfiltración secundario timestamp — parámetro de seguimiento de sesión data — contenedor de carga útil adicional Dominio registrado a través de NameSilo en 2016 — pagado por adelantado a través de 2031. Quince años de inscripción en un «proyecto libre e independiente». Ataque n.º 1: Exfiltración de claves de visualización Cuando inicias sesión en xmrwallet.com, tu clave privada de visualización se codifica en Base64 y se integra en un session_key token. A continuación, este token se transmite al servidor con cada una de las solicitudes de API — Más de 40 veces en una sola sesión. La estructura `session_key` clave de sesión = [encrypted_blob]:[base64_address]:[base64_private_viewkey] // Decoded example: // blob: a3f8c2... (session identifier) // address: 4A1BxN... (your Monero public address) // viewkey: TU CLAVE DE VISUALIZACIÓN PRIVADA EN TEXTO SIN CODIFICAR Las capturas de red de Firefox WebExtension confirman que este token se transmite 6 puntos de conexión de la API distintos con un total de más de 40 solicitudes POST por sesión: ↔ Punto de conexión de la API | Solicitudes / Sesión | Filtración de session_key /api/getheightsync | 12 | Sí /api/gettransactions | 10 | Sí /api/getbalance | 6 | Sí /api/getsubaddresses | 4 | Sí /api/getoutputs | 3 | Sí /api/support_login | 1 | Sí Más de 40 copias de tu clave privada Una sola sesión de inicio de sesión envía tu clave privada de visualización al servidor al menos 36 veces. El servidor no necesita tu clave para ninguna de estas operaciones: las comprobaciones de saldo y las sincronizaciones de altura son consultas públicas en la cadena de bloques. No hay ninguna razón legítima para transmitir material de clave. Pruebas completas de la captura de red: xmrwallet.com, incidencia n.º 36 en GitHub — Ver pruebas de la filtración de claves [https://github.com/XMRWallet/Website/issues/36]. Ataque n.º 2: Secuestro de transacciones El robo de la clave «View» permite al atacante ver tu monedero. Pero xmrwallet.com va más allá: te roba tus fondos en tiempo real. El código JavaScript de producción desofuscado revela una secuencia de ataque de cinco pasos: // Step 1: Client builds a legitimate transaction cnUtil.create_transaction() → raw_tx_and_hash // Step 2: Client transaction is NULLIFIED raw_tx_and_hash.raw = 0; // Step 3: Only metadata sent to server (no real tx) PUBLICAR /api/submit_raw_tx { sin procesar: 0, metadatos: {...} } // Step 4: Server rebuilds its OWN transaction // using your keys + its destination address // Step 5: Stolen transactions tagged internally si(tipo == «barrido») → transacción redirigida por el atacante Tu monedero muestra el mensaje «transacción enviada». Tus fondos llegan a la dirección del atacante. Las víctimas ven «ID de transacción desconocido» cuando intentan verificarlas en los exploradores de bloques. Las transacciones etiquetadas internamente como swept son los que han sido robados. Tu transacción nunca existió raw_tx_and_hash.raw = 0 significa que la transacción generada por el cliente se descarta. El servidor crea una transacción completamente nueva utilizando tus claves y envía tus XMR al atacante. El mensaje de «éxito» que ves es falso. Análisis detallado del código: xmrwallet.com, incidencia n.º 35 en GitHub: prueba contra el secuestro de transacciones [https://github.com/XMRWallet/Website/issues/35]. Código de producción oculto xmrwallet.com mantiene un repositorio público en GitHub para dar una imagen de legitimidad. El repositorio es un señuelo. No se ha actualizado desde Noviembre de 2018. El entorno de producción ejecuta un código totalmente diferente y ofuscado. GitHub público (señuelo) Última actualización: Noviembre de 2018 No session_key parámetro No verification param No /support_login.html Sin Google Tag Manager Código limpio y auditable Centro de producción (real) Actualización continua: 2024-2026 session_key con clave de visualización Base64 verification canal de exfiltración /support_login.html puerta trasera Inyección remota de JavaScript en GTM Código ofuscado e imposible de auditar La puerta trasera y la inyección remota de código La planta de producción cuenta con /support_login.html — un punto final administrativo oculto que no aparece en absoluto en el repositorio de GitHub. Junto con Google Tag Manager (contenedor de GTM) Gracias a esta integración, el operador puede inyectar y modificar código JavaScript de forma remota en el sitio web en producción en cualquier momento, sin necesidad de actualizar el código fuente público. Se trata de un vector de ejecución remota de código camuflado como análisis de datos. Infraestructura a prueba de balas xmrwallet.com no utiliza un alojamiento compartido de baja calidad. Funciona con una infraestructura premium a prueba de todo, seleccionada específicamente para resistir las solicitudes de retiradas y las medidas de las fuerzas del orden. IOC de alojamiento y redes Indicador | Valor Dominio | xmrwallet.com Secretario | NameSilo (2016 – 2031, registro de 15 años) Proveedor de alojamiento web | IQWEB FZ-LLC (550 $ o más al mes) Dirección IP | 186.2.165.49 ASN | AS59692 CDN / Protección contra ataques DDoS | DDoS-Guard Servidor web | Apache 2.4.58 (Ubuntu) Backend | PHP 8.2.29 Certificado SSL | Let's Encrypt (renovación automática) Espejo de Tor | xmrwalletdatuxms.onion Coste anual de las infraestructuras | $8,000 – $15,000+ Indicadores clave de rendimiento (IOC) de seguimiento y análisis ↔ Rastreador | Solicitudes / Sesión | Identificador Google Tag Manager | 12 | Contenedor GTM Google Analytics (UA) | 12 | UA-116766241-1 Google Analytics 4 | 5 | Flujo de GA4 DoubleClick | 1 | Píxel de seguimiento de anuncios Cookies de DDoS-Guard | — | __ddg8_, __ddg9_, __ddg10_, __ddg1_ $8K-$15K/Year for a "Free Volunteer Wallet" Una cartera gratuita legítima no gasta más de 550 dólares al mes en el alojamiento a prueba de balas de IQWEB FZ-LLC, protegido por DDoS-Guard —una infraestructura diseñada específicamente para resistir las denuncias por abuso y las citaciones de las fuerzas del orden—. Tampoco registra un dominio por 15 años. Tampoco utiliza el seguimiento de Google Analytics en una cartera de Monero «centrada en la privacidad». Se trata de una infraestructura creada con un único propósito: robos continuos a gran escala. Operadora identificada: Nathalie Roy La inteligencia de fuentes abiertas remonta la infraestructura de xmrwallet.com directamente a una sola persona. Campo | Detalle Nombre | Nathalie Roy Ubicación | Canadá Nombre de usuario de GitHub | nathroy [https://github.com/nathroy] (ID: 39167759) Organización de GitHub | xmrwallet [https://github.com/XMRWallet] (creado el 10 de mayo de 2018) Correo electrónico (Administrador) | admin@xmrwallet.com Correo electrónico (personal) | royn5094@protonmail.com Reddit | u/WiseSolution [https://reddit.com/u/WiseSolution] (expulsado de r/Monero) Twitter | @xmrwalletcom [https://twitter.com/xmrwalletcom] Servidor de correo (MX) | mail.privateemail.com Expulsado, desenmascarado, pero sigue en activo A Nathalie Roy se le prohibió el acceso a la página web oficial subreddit r/Monero [https://reddit.com/r/monero] en 2018 para promocionar xmrwallet.com. La última actualización en GitHub tuvo lugar ese mismo año. Desde hace más de seis años, el código público lleva congelado, mientras que el sitio web en producción sigue robando fondos de forma activa con un código completamente diferente. El dominio está pagado hasta 2031; el operador no va a desaparecer. Víctimas registradas Al menos 15 casos notificados públicamente de robos de fondos en Trustpilot, Sitejabber, Reddit y GitHub Issues. Personas reales. Dinero real. Desaparecido. 15+ Informes públicos 590 XMR La mayor cantidad individual (177 000 dólares) 10 Años de robos $2M-$15M+ Total estimado 590 XMR (aprox. 177 000 dólares) — un solo robo, el caso más grave del que se tiene constancia 17,44 XMR — documentado con el ID de la transacción en la cadena de bloques Robaron 20 XMR durante la noche — Se vació el monedero mientras el usuario dormía Varios mensajes de «ID de transacción desconocido» — el swept etiqueta de firma Se han eliminado las incidencias de GitHub n.º 13 y siguientes — El operador elimina los informes sobre víctimas del repositorio Pruebas eliminadas, sin monedero para donaciones El administrador elimina de forma activa las denuncias de las víctimas de GitHub Issues (todas las incidencias anteriores a la n.º 13 han desaparecido). La página afirma que acepta donaciones, pero Nunca se ha publicado ninguna dirección de monedero para donaciones. ¿Por qué un «proyecto independiente» que gasta entre 8 000 y 15 000 dólares al año rechazaría donaciones? Porque sus ingresos proceden del robo. Cronología de los acontecimientos Cronología 2014-2024: xmrwallet.com, más de 10 000 claves robadas —desde el lanzamiento de la web hasta las primeras víctimas y la identificación del operador— 2016 Dominio registrado — xmrwallet.com Registrado a través de NameSilo con un Período de registro de 15 años (2016-2031). Se presenta como un monedero web gratuito y de código abierto para Monero. Mayo de 2018 Se ha creado una organización en GitHub La organización xmrwallet en GitHub se creó el 2018-05-10 por nathroy (ID: 39167759). Código público publicado como una mera farsa de transparencia. 2018 Expulsado y código bloqueado Operador de WiseSolution expulsado de r/Monero por spam promocional. Última actualización en GitHub por esas fechas. Empiezan a borrarse los informes de incidencias de las víctimas (las incidencias n.º 1 a n.º 12 han desaparecido). 2018 – 2024 Seis años de silencio El repositorio público está congelado. El código de producción difiere por completo, con JavaScript ofuscado, parámetros no documentados y puntos de acceso con puertas traseras. Se acumulan las denuncias de las víctimas en Trustpilot y Reddit. 2025 – 2026 Investigación sobre PhishDestroy El análisis del tráfico de red revela que session_key Exfiltración. La desofuscación de JavaScript lo confirma raw_tx = 0 Secuestro de transacciones. Pruebas publicadas en GitHub Issues #35 [https://github.com/XMRWallet/Website/issues/35] & #36 [https://github.com/XMRWallet/Website/issues/36]. Febrero de 2026 Informe publicado — El dominio sigue activo Se ha publicado el informe técnico completo. xmrwallet.com sigue en línea. El dominio se ha pagado a través de 2031. DDoS-Guard ofrece resistencia ante los ataques de retirada. Pruebas completas y material de referencia Todas las afirmaciones de este artículo están respaldadas por pruebas verificables públicamente. Descarga los informes. Verifica el código. Comprueba tú mismo las capturas de red. Informe técnico completo Investigación completa con todos los análisis de código, capturas de red y hallazgos de OSINT en GitHub Pages [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] N.º 35: Secuestro de transacciones raw_tx = 0 pruebas • Reconstrucción de transacciones del lado del servidor • Evidencia de la etiqueta «swept» [https://github.com/XMRWallet/Website/issues/35] N.º 36: Exfiltración de claves de visualización Más de 40 capturas de red • Decodificación Base64 de session_key • 6 puntos finales con fugas [https://github.com/XMRWallet/Website/issues/36] Repositorio de investigación de PhishDestroy Todos los materiales de origen, el código desofuscado y los artefactos de análisis [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Alternativas seguras Nunca introduzcas claves privadas en ningún monedero web. Y punto. Utiliza software verificado y auditado que se ejecute localmente en tu dispositivo. Carteras de escritorio Interfaz gráfica de usuario de Monero [https://getmonero.org/downloads/] — Cartera oficial, con todas las funciones, de código abierto y auditada Cartera «Feather» [https://featherwallet.org/] — Cartera de escritorio ligera, rápida y centrada en la privacidad Carteras móviles Monerujo [https://monerujo.io/] (Android) — Código abierto con compatibilidad con Tor Cartera Cake [https://cakewallet.com/] (iOS/Android) — Compatible con varias monedas, bien mantenido La regla de oro de las criptomonedas Nunca introduzcas tu frase de semillas, tus claves privadas ni tus claves de visualización en cualquier página web. Las carteras legítimas funcionan de forma local; nunca necesitan enviar tus claves a un servidor. Si una cartera web te pide tus claves privadas, se trata de una estafa. Para garantizar la máxima seguridad, utiliza una cartera de hardware (Ledger, Trezor) con el software oficial de Monero. Proteger a la comunidad xmrwallet.com lleva 10 años robando Monero. Las pruebas son públicas. Se ha identificado al operador. Comparte esta investigación. Denuncia el dominio. Ayúdanos a cerrarlo. Informe técnico completo [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Repositorio de investigación [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Denunciar amenazas Investigaciones relacionadas INVESTIGACIÓN El fin de xmrwallet.com: NameSilo mintió para proteger a un ladrón de criptomonedas que se llevó 2 millones de dólares INVESTIGACIÓN EN PROFUNDIDAD Panel sobre el ataque de phishing a Trust Wallet: 239 000 dólares robados, 6 operadores INVESTIGACIÓN EN PROFUNDIDAD Kit de herramientas «Crypto Drainer»: se desenmascara a los distribuidores de «Angel Drainer» Comparte este artículo X [https://twitter.com/intent/tweet?text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys&url=https://phishdestroy.io/xmrwallet-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/xmrwallet-exposed&text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/xmrwallet-exposed&title=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Keys] ## EXTERNAL REFERENCES ---------------------------------------------------------------- github.com (8 mentions) gitlab.com (6 mentions) reddit.com (3 mentions) twitter.com (2 mentions) t.me (2 mentions) getmonero.org (1 mention) featherwallet.org (1 mention) monerujo.io (1 mention) cakewallet.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/es/xmrwallet-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.