NameSilo a mis fin à notre compte Twitter Parce que nous avons dit la vérité à leur sujet

Les reçus : X se contredit dans ses écrits

Deux e-mails officiels du service d'assistance de X. Même compte. Même recours. Décisions opposées. Le deuxième est le plus récent. Lisez-les dans l'ordre.

Le courriel n° 2 est la décision la plus récente. Il infirme explicitement le courriel n° 1. Il indique — par écrit, sur le papier à en-tête de X — que le compte a été remis en état de fonctionnement complet. Le compte n'a pas été réactivé. L'abonnement payant continue d'être facturé. Aucun troisième e-mail n'est venu contredire le deuxième e-mail. L'engagement le plus récent de X à notre égard n'est tout simplement pas respecté.

Pourquoi cela s'est-il produit ?

Le 27 mars, nous avons publié La fin de xmrwallet[.]com : NameSilo a menti pour protéger un voleur de cryptomonnaies. L'enquête a pu être reproduite : extraits des points de terminaison PHP, déclarations archivées, plus de 15 victimes répertoriées. Trois bureaux d'enregistrement partenaires (Inde, Malaisie, Chine) ont examiné les mêmes éléments de preuve et ont supprimé leurs xmrwallet domaines en quelques jours. Seul NameSilo a pris la défense de l'escroc.

Ce qui s'est passé ensuite est important. L'ordre dans lequel les événements se sont déroulés est important :

1. C'est l'escroc qui nous a d'abord envoyé un e-mail directement — avant toute déclaration publique de NameSilo, avant même qu’un recours ne soit déposé. Dans son e-mail, il nous a conseillé de « poursuivre le registraire en justice ». Ce n’est pas le genre de phrase qu’un escroc agissant seul écrirait à un chercheur qui le traque. C’est le genre de phrase que l’on écrit quand on sait déjà que le registraire va nous soutenir. Nous n'avons jamais observé ce genre de réaction chez aucun autre escroc que nous avons recensé.
2. NameSilo a ensuite publié un communiqué de presse contenant deux fausses affirmations vérifiables, citées mot pour mot et archivé dans notre enquête sur Medium:
   • « Le domaine a été piraté il y a quelques mois » — ce qui est contredit par le fait que le code de gestion des vols de l’opérateur lui-même était toujours en service au moment de la déclaration de NameSilo.
   • « Avant cela, nous n'avions reçu aucun signalement d'abus » — ce qui est contredit par nos accusés de réception relatifs à plusieurs signalements antérieurs d'abus, accompagnés de preuves techniques complètes.
   Ce même communiqué indiquait également : « Le déclarant s'efforce d'être retiré des rapports VT », ce qui confirme que NameSilo a explicitement soutenu la tentative de l'opérateur visant à supprimer les détections de VirusTotal alors que le code malveillant était encore actif.
3. Dans ce même communiqué, NameSilo a qualifié nos recherches de peu sérieuses et a proposé publiquement d'aider l'opérateur à faire supprimer les alertes émises par les fournisseurs de solutions de sécurité (VirusTotal, Fortinet) — alors que le code malveillant était encore actif.
4. Nous a répondu de manière factuelle à cette déclaration publique. Pas de harcèlement. Pas de spam. Pas de doxing. Nous avons rectifié les faits sur la même plateforme que celle choisie par NameSilo.
5. Sept jours plus tard, Deux comptes PhishDestroy X ont été bloqués. Motif invoqué : « paiement ». Les abonnements avaient pourtant été réglés. Le 14 avril, le motif a été modifié pour « comportements suspects ». À la suite d'un recours, le motif a de nouveau été modifié pour « aucune infraction, compte réactivé ». Le blocage, ainsi que les paiements non remboursés, n'ont quant à eux pas changé du tout.

Y a-t-il un lien entre NameSilo et l'escroc ?

Le xmrwallet[.]com L'opérateur a répondu avec assurance aux signalements d'abus, a publié des tweets en collaboration avec le registraire en s'appuyant sur des arguments coordonnés, et n'a jamais transféré le nom de domaine malgré dix ans de plaintes. Ce n'est pas ainsi que se comportent des escrocs inquiets. C'est ainsi que se comportent des escrocs qui ont conclu un accord.

Parmi la centaine de cas d'opérateurs de hameçonnage que nous avons recensés, nous n'avons jamais observé cette séquence spécifique auparavant :

L'infrastructure de cet opérateur n'est pas celle d'un amateur. D'après nos Enquête de moyenne envergure, xmrwallet[.]com est hébergé sur $550/month bulletproof hosting via IQWeb FZ-LLC (enregistré à Belize), derrière DDoS-Guard (Russie). Il s’agit d’une infrastructure professionnelle, bien préparée et à l’épreuve des attaques — et non d’une simple page frauduleuse éphémère. Le fait qu’un seul opérateur exploite une infrastructure bien préparée et à l’épreuve des attaques, tout en obtenant de son registraire qu’il publie une déclaration de défense en son nom, relève, à tout le moins, d’une opération d’une coordination inhabituelle.

Nous ne pouvons pas prouver l’existence d’un lien en dehors des registres comptables de NameSilo. Seuls leurs dossiers internes permettraient de le faire. Mais au vu des éléments disponibles, deux explications restent possibles : soit l’opérateur est l’escroc du monde des cryptomonnaies le plus sûr de lui de ces dix dernières années et a correctement parié que son registraire le protégerait par instinct — ou Il existe entre eux un lien qui n’a pas été révélé. Le premier mérite d’être examiné par l’opinion publique. Le second mérite une citation à comparaître. Les forces de l’ordre des pays de l’UE enquêtent actuellement sur l’affaire en question.

Preuve directe : ce qu'a déclaré publiquement NameSilo par rapport à ce qui s'est réellement passé

Les paragraphes ci-dessus décrivent une tendance. Cette section expose les contradictions factuelles spécifiques entre les déclarations publiques de NameSilo et nos propres données de première main. Nous ne demandons à personne de nous croire sur parole : chaque élément ci-dessous peut être vérifié à l'aide d'archives tierces, de reçus de livraison et de la Wayback Machine.

La stratégie de suppression : les comptes, pas seulement les commentaires

Au cours de notre enquête, qui a duré trois ans, nous avons observé, en temps réel, le fonctionnement du mécanisme de censure sur trois plateformes différentes. Le schéma était suffisamment récurrent pour que nous commencions à archiver nos données avant chaque publication.

• GitHub. Entier comptes qui ont publié des problèmes ou des commentaires faisant référence à xmrwallet[.]com ont été supprimés — pas des commentaires individuels, ni des fils de discussion, mais les comptes dans leur intégralité. Nous disposons de captures d’écran Wayback des fils de discussion concernés, où le profil de l’auteur du commentaire renvoie désormais à une erreur 404. Toute personne menant une enquête peut demander à GitHub, dans le cadre d’une procédure juridique en bonne et due forme, combien de comptes d’utilisateurs comportant des publications mentionnant xmrwallet ont été fermées entre 2018 et 2026, et pour quelle raison invoquée. Nous nous attendons à ce que ce nombre soit non négligeable.
• Trustpilot. Des dizaines d'avis négatifs véridiques ont été supprimés au cours de vagues successives. Ces suppressions se sont concentrées à chaque cycle de plaintes publiques, ce qui correspond davantage à un signalement coordonné qu'à une modération spontanée. Une fois encore, le journal interne des suppressions de Trustpilot, obtenu suite à une assignation à comparaître, constitue la preuve définitive.
• X (Twitter). Les réponses critiques à l'égard des comptes soupçonnés d'escroquerie ont disparu à un rythme difficile à expliquer par la politique habituelle de la plateforme. Après notre @Phish_Destroy Lorsque le compte a finalement été suspendu sous un prétexte aléatoire (voir les e-mails ci-dessus), le schéma s'est clairement dessiné. La même stratégie de répression utilisée depuis des années contre des plaignants individuels était désormais appliquée à un compte dédié à la recherche.

Nous tenons à être clairs : nous ne parlons pas de télépathie. Nous parlons d'une chronologie documentée. Publier. Être archivé. Être supprimé. Et ainsi de suite, sur trois plateformes, pour la même cible, pendant une décennie, alors que le registraire ne déplace jamais le nom de domaine. Cette chronologie ne nécessite pas de théorie du complot. Elle nécessite une demande d'accès aux documents publics.

Si vous êtes victime de xmrwallet[.]com — Veuillez vous présenter

Nous savons que vous êtes plus nombreux. Nous avons été contactés en privé par des personnes qui ont perdu de l'argent et qui n'osaient pas témoigner ouvertement tant que l'opérateur était encore en activité et que son registraire continuait de le défendre publiquement. La situation a désormais changé. L'opération a été dévoilée, l'infrastructure a été documentée, et les forces de l'ordre des juridictions de l'UE enquêtent sur l'affaire.

À l’attention des institutions habilitées à exiger la divulgation d’informations — le service de conformité de l’ICANN, les autorités chargées de l’application du GDPR de l’UE, le Centre canadien de lutte contre la fraude (l’opérateur étant canadien), les autorités fiscales compétentes et tout tribunal ayant compétence sur l’entité exploitante de NameSilo : les documents sources sont conservés et disponibles sur simple demande. Accusés de réception, captures d’écran de Wayback Machine, article publié sur Medium, schéma de l’infrastructure de NameSilo et témoignages des victimes accompagnés d’un consentement signé. Nous ne dissimulons aucune preuve. Nous les conservons sous une forme que vous pouvez réellement exploiter.

Dire que le noir est blanc ne le rend pas blanc pour autant. Une décennie de preuves publiques, plus de 20 signalements d’abus documentés, une plateforme hébergée de manière sécurisée et dédiée au vol, des suppressions coordonnées de comptes sur trois plateformes, un compte de recherche banni et un opérateur identifié dont l’identité est déjà publique : il ne s’agit pas d’un problème de relations publiques. Il s’agit d’un problème de compétence juridictionnelle. Nous sommes convaincus que les archives publiques contiennent déjà suffisamment d’éléments pour le résoudre.

Les victimes : qui a réellement subi un préjudice ?

L'argument implicite de NameSilo, en optant pour un signalement d'abus sur la plateforme plutôt que pour un démenti, est le suivant : « Nous n'avons pas apprécié d'être mis en cause. » Soit. On apprécie rarement d'être mis en cause. Mais il faut mettre ces deux préjudices dans la même balance.

Le registre permanent

Le fait de masquer un compte Twitter ne supprime pas les preuves. Tout ce qui concerne cette affaire est archivé :

• Chaque déclaration publique de NameSilo visant à défendre le xmrwallet opérateur — Wayback Machine, Archive.today, notre référentiel de preuves sur GitHub.
• Captures d'écran du code de vol en direct en environnement de production, avec horodatage.
• 8 points de terminaison PHP ont fait l'objet d'une ingénierie inverse et ont été publiés.
• L'intégralité de la chaîne de discussion relative au signalement d'abus.
• L'intégralité de notre fil d'actualité X est republiée sur Mastodon, Bluesky, Medium, Telegram, GitHub et IPFS.
• Instantanés horaires de phishdestroy.io en soi, une durée de conservation de 14 jours, mise en place spécialement pour que rien de ce que nous avons écrit ne puisse disparaître sans crier gare.

Si l'un des miroirs est mis hors service, le contenu reste accessible sur les sept autres. Cette architecture est plus ancienne que NameSilo. Elle leur survivra.

Était-ce juste ? Cinq questions pour tous les lecteurs

Ce ne sont pas des questions rhétoriques. Lisez les éléments présentés ci-dessus, puis répondez par vous-même — en privé, sur votre fil d'actualité, ou au moment de décider si vous souhaitez conserver ou transférer vos noms de domaine.

1. Est-il juste d'exclure un chercheur en sécurité pour avoir répondu publiquement à une déclaration publique faite par un registraire lui-même ? C'est le greffier qui a engagé la conversation. Le chercheur a répondu en s'appuyant sur des faits. Une seule des deux parties a été réduite au silence.
2. Est-il acceptable qu’un registraire tienne publiquement des propos qualifiant des travaux de recherche documentés de « peu sérieux », tout en proposant simultanément à un escroc de l’aider à contourner les mesures de sécurité ? Ces deux événements ont été mentionnés dans un seul communiqué de NameSilo. Les victimes n'y sont mentionnées nulle part.
3. Est-il acceptable que X retire explicitement par écrit sa propre justification du verrouillage (« aucune infraction, compte rétabli ») tout en maintenant l'interdiction en vigueur ? Selon la dernière décision de X, le compte devrait être actif.
4. Est-il acceptable qu'un abonnement payant à un service de vérification continue d'être facturé alors que le compte associé est bloqué ? Si le service n'est pas fourni, s'agit-il d'un produit ou d'un manquement au contrat ?
5. Que signifie le terme « en règle » pour un bureau d'enregistrement accrédité par l'ICANN ? Un registraire accrédité peut-il se servir des canaux de signalement des abus d’une plateforme tierce pour faire taire le chercheur qui met en évidence ses défaillances en matière de gestion des abus ? Il s’agit là d’une question de conformité, qui est ajoutée au document existant prévu à l’article 3.18 du RAA.

Si l'une des réponses était « Non, ce n'est pas juste »

Voici trois mesures concrètes et sans frais, classées par ordre croissant d'impact.

1. Partagez-le publiquement

Une désapprobation silencieuse ne sert à rien. Une pression visible, en revanche, est efficace. Un clic, formulaire prérempli :

2. S'adresser aux parties en les appelant par leur nom

Mentionnez-les. Une désapprobation silencieuse ne sert à rien. Les questions posées ouvertement par les lecteurs ne passent pas inaperçues.

• @NameSilo — est le @Phish_Destroy suspension liée à votre déclaration publique dans laquelle vous proposiez d'aider le xmrwallet Les détections de l'opérateur ont-elles été supprimées ?
• @X / @XSupport / @elonmusk — Le courriel n° 2 indique « fonctionnalité entièrement rétablie ». Or, le compte est bloqué. Quelle décision prévaut ?
• @ICANN — L'article 3.18 du RAA couvre-t-il les mesures de représailles prises par les responsables des registres à l'encontre des chercheurs ?
• @Tucows — Les mesures de rétorsion à l'encontre des chercheurs pour utilisation abusive de la plateforme sont-elles compatibles avec les normes de revendeurs OpenSRS ?

3. Transférer vos noms de domaine (c'est là que ça fait mal)

Les entreprises réagissent aux pertes de chiffre d'affaires, pas aux tweets. Les virements prennent environ quinze minutes. Notre page des statistiques du registraire répertorie les bureaux d'enregistrement ayant fait preuve d'une gestion irréprochable des cas d'abus. Chaque domaine transféré représente un chiffre de renouvellement que la direction de NameSilo verra apparaître au prochain trimestre.

Si vous êtes une organisation — projet de cryptomonnaie, plateforme de chasse aux bugs, média, société spécialisée dans le renseignement sur les menaces — et que n'importe quel domaine chez NameSilo : réfléchissez à ce que cela implique de financer le registraire qui a abrité une opération de vol de plus de 20 millions de dollars, puis a réduit au silence le chercheur qui l'avait mise au jour. Vous pouvez prendre cette décision publiquement. Cela aura un impact.

Conclusion

On ne peut pas protéger pendant dix ans un réseau de vol de plus de 20 millions de dollars, mentir à ce sujet en public, exercer des représailles contre le chercheur qui vous a démasqué… et espérer que toute cette affaire tombe discrètement dans l’oubli. Surtout pas alors que les forces de l’ordre de l’UE enquêtent sur cette affaire.

Nous ne vous demandons pas de nous croire sur parole. Chaque affirmation factuelle ci-dessus est accompagnée d’un lien, documentée, horodatée, archivée hors site et reproductible. Nous vous demandons d’examiner les preuves, de répondre par vous-même aux cinq questions et d’agir en fonction de votre propre réponse. C’est cela, l’équité : un lecteur qui examine les preuves et prend une décision. C’est aussi exactement ce que la censure vise à empêcher.

PhishDestroy est un service indépendant d'informations sur les menaces. Pas de paiements, pas de parrainages, pas de faveurs. Nous publions ce que nous découvrons. NameSilo nous a bannis pour cette raison.

Enquête originale : phishdestroy.io/xmrwallet-NameSilo-exposed
Enquête de Medium (source primaire) : PhishDestroy.medium.com/xmrwallet-com-2953f35b8a79
Dépôt des pièces à conviction : github.com/PhishDestroy