Trustname[.]com : Dans les coulisses d'un bureau d'enregistrement « à toute épreuve », accrédité par l'ICANN, au service de casinos frauduleux

La filiale estonienne de Shell : Fewmoretaps OÜ

La société Fewmoretaps OÜ est inscrite au registre du commerce estonien sous le numéro d'enregistrement 16354846, TVA EE102702659, à une adresse de siège social virtuel — Roseni tn 13, Tallinn. Société constituée le 01/11/2021 avec un capital social de 2 500 €, qui a été n'a jamais été versé (« Créée sans apport » — Rapport annuel 2022).

Chaîne de propriété : un opérateur biélorusse contrôle la société écran estonienne, les deux proxys de confidentialité « indépendants » et la société de façade chargée du marketing fewmoretaps.com.

Chaîne de propriété

Situation financière : 120 € par an et des pertes croissantes

Les rapports annuels obligatoires en Estonie sont accessibles au public. Les chiffres sont sans équivoque :

Allégations marketing vs. documents officiels : « La confiance de millions de personnes » et « Des clients du classement Fortune 500 » d’un côté — 120 € de chiffre d'affaires, 1 salarié, liquidation d'autre part.

Tableau financier (EUR)

« À l'épreuve des balles » — selon leurs propres termes

Il ne s'agit pas d'un argument marketing de PhishDestroy — cela figure littéralement dans l'enregistrement TXT DNS de Trustname lui-même :

« Trustname est un bureau d’enregistrement de noms de domaine indépendant accrédité par l’ICANN et considéré comme le plus fiable au monde pour les particuliers soucieux de la protection de leur vie privée et les entreprises évoluant dans des secteurs sensibles. Vous pouvez compter sur nous pour être votre un registraire de noms de domaine infaillible. « Nous sommes dignes de confiance, fiables et abordables. »

Vérifiable par toute personne disposant d'un client DNS : dig TXT trustname.com. Dans le secteur de l'hébergement et des registres de noms de domaine, « à l'épreuve des balles » Il s'agit d'un terme technique qui désigne sans ambiguïté les services qui refusent de donner suite aux demandes de retrait pour abus et qui fournissent leurs services aux exploitants de contenus illicites.

Le réseau de casinos frauduleux

En l'espace de une semaine (Du 8 au 13 avril 2026), six noms de domaine frauduleux liés à des casinos cryptos ont été enregistrés via Trustname, tous dissimulés derrière les propres proxys de confidentialité de Trustname :

Ces six casinos utilisent tous les mêmes modèles Next.js, les mêmes hachages de chunks Webpack et partagent un backend d'administration commun en russe à l'adresse gambler-partners.is.

Domaines identifiés comme frauduleux (tous enregistrés via IANA n° 4318)

Proxys offshore garantissant la confidentialité — Appartenant au registraire

Trustname n'utilise pas de services de protection de la vie privée proposés par des tiers indépendants. L'entreprise gère ses propres services :

Tallinn (shell) → Charlestown, Nevis (Perfect Privacy LLC) → Orlando, Floride (WHOIS Privacy LLC) → Minsk (opérateurs). Tous les nœuds sont contrôlés par la même personne.

Où va l'argent ?

Modes de paiement acceptés : Stripe + BTC/ETH/LTC/XMR/ZEC. Paiements déclarés à l'administration fiscale estonienne : 120 € par an. Ce déficit a été comblé par des « prêts à long terme » d'un montant de 175 310 €, provenant de sources non divulguées.

La plateforme Trustname accepte les paiements par carte via Stripe (/v2/users/billing/stripe/payment-methods) et cryptomonnaie via les adresses de portefeuille suivantes intégrées dans le point de terminaison de notification de l'API authentifiée :

ETH:  0xdee6582dc53fa56180311393018121c6f1e8bd7c
LTC:  MEREvHtzqAUTJ1XvEevmci8UqMnDvfe2ri
ZEC:  t1d19KevpcXpesr9XA9UUyMW9XGYVDxkK9S
XMR:  8B5N29BocrTjkRCeGCARnkhKgBeHBhg4oH7ay4RfXfnL7RqBdyiuL4k6iN4GVUVxt1EQJvZRqLg8n4qgCNWmYHQQDZmfytM

L'acceptation de Monero (XMR) — une cryptomonnaie spécialement conçue pour être intraçable — parallèlement à un prestataire de services de paiement réglementé exigeant une vérification d’identité (Stripe), tout en déclarant 120 € de chiffre d'affaires annuel aux autorités fiscales estoniennes, ce qui crée un paradoxe en matière de conformité. Un simple enregistrement de nom de domaine .com au prix de gros (environ 13 dollars) dépasse déjà le chiffre d'affaires déclaré pour l'ensemble de l'année.

Allégations commerciales et déclarations fiscales

Ce qu'ils disent à leurs clients

• « N° 1 des bureaux d'enregistrement de noms de domaine indépendants affichant la plus forte croissance en 2025 »
• « Des millions de propriétaires de noms de domaine nous font confiance »
• « Reconnu par les entreprises du classement Fortune 500 »
• « Une équipe de plus de 35 personnes réparties dans différents endroits à travers le monde »
• Bureaux situés à Londres, Beverly Hills et Melbourne
• Clients : McDonald’s, Vodafone, Adidas, Tata, Yahoo, BCG (mur des logos sur fewmoretaps.com)
• « Depuis 1997 » (fewmoretaps.com)

Ce qu'ils déclarent à l'administration fiscale estonienne

• 0 € de chiffre d'affaires en 2023, 120 € de chiffre d'affaires en 2024
• 1 salarié (ETP) pour les deux années
• Capitaux propres −71 648 €, capital non libéré de 2 500 €
• Bureau virtuel au 13, rue Roseni, à Tallinn
• Société anonyme 2021, et non 1997
• Entreprise en liquidation

Faux témoignages (« Mur de l'amour »)

30 avis. 11 prénoms différents. « Jack » apparaît 5 fois, « Lily » 6 fois. Pas de photos, pas de dates, pas de profils vérifiables, pas de liens vers Trustpilot ou G2. Pas de noms de famille.

Analyse de la trustname.com/wall-of-love page : Sur 30 « avis clients », on ne compte que 11 prénoms différents. « Jack » apparaît cinq fois. « Lily », six fois. « Megan », trois fois. Tous les avis sont des éloges génériques d'une seule ligne, rédigés dans un style uniforme. Il n'y a aucun lien vers des plateformes d'avis indépendantes. Aucune identité de client ne peut être vérifiée. À titre de comparaison, Namecheap et Porkbun comptent des milliers d'avis vérifiés sur Trustpilot et G2.

Risques liés aux infrastructures et à la sécurité

Carte de l'infrastructure : frontend Vercel, Kubernetes AWS eu-central-1 avec des brokers Kafka accessibles au public sur le port 7777, interface d'administration Strapi ouverte, système WHOIS CoreNIC non protégé en mode développement.

trustname.com (Vercel / Next.js)
  ├── api.trustname.com              Fastify API (Swagger behind Basic Auth only)
  ├── admin.trustname.com            React-Admin panel (publicly accessible)
  ├── blog.trustname.com             Strapi CMS (admin UI exposed)
  ├── support.trustname.com          Freshdesk (EU instance)
  └── whois-fewmoretaps.corenic.net  Knipp DomainSRS (JSF Development mode)

fewmoretaps.com (WordPress) origin: 37.1.219.211
     Open ports: FTP:21 (vsftpd 3.0.5), SSH:22, HTTP:80, HTTPS:443

AWS eu-central-1 (EKS Kubernetes):
  35.156.29.145 / 18.196.68.81 / 52.28.105.156
  Port 7777 — Apache Kafka (Strimzi)
  SSL cert CN: kafka-staging-kafka   SAN: staging.kafka-0.trustname.com
  Namespace: backend-staging

Upstream registrar: OpenSRS (Tucows)
Invoicing: Quaderno · Payments: Stripe + Crypto
Email: Brevo  ·  Analytics: Google, Fuago
S3: domain-registrar-strapi-media (eu-central-1, leaked via CSP header)

Chronologie

Qui rend cela possible ?

Toutes les grandes plateformes concernées par cette opération disposent de leur propre charte d'utilisation interdisant la fraude. Aucune n'a pris de mesures.

À l'attention de l'ICANN

• Comment une entreprise qui 0 € de chiffre d'affaires et 0 salarié Au moment de la demande, l'organisme avait-il obtenu l'accréditation de l'ICANN ? Quelles vérifications ont été effectuées ?
• Un registraire dont l'enregistrement TXT DNS indique littéralement : « registraire de noms de domaine à toute épreuve » et « niches sensibles » — En quoi cela est-il conforme à l'accord d'accréditation des bureaux d'enregistrement ?
• Le greffier est désormais sous la responsabilité de liquidation en Estonie. Qu'advient-il des plaintes pour abus actuellement en cours concernant les noms de domaine enregistrés via l'IANA n° 4318 ?
• Les deux propriétaires sont ressortissants de Biélorussie — un pays soumis à des sanctions globales de l'UE et des États-Unis depuis 2020. Cette information a-t-elle été communiquée lors de l'accréditation ?

À OpenSRS (Tucows)

• OpenSRS fournit l'API en amont utilisée par Trustname pour enregistrer des noms de domaine (confirmé par opensrsOrderId (dans les données transactionnelles). Tucows procède-t-il à des contrôles de conformité auprès des revendeurs qui se présentent ouvertement comme « à l'épreuve des balles » ?
• Six domaines de casinos frauduleux — dont un déjà signalé par Cloudflare — ont été enregistrés via OpenSRS par l'intermédiaire de Trustname en l'espace d'une semaine. Quels sont les systèmes de détection automatisée de la fraude mis en place au niveau des revendeurs ?

À AWS, Stripe, Vercel, Cloudflare

• AWS: le cluster EKS, le compartiment S3 et les trois brokers Kafka accessibles au public se trouvent dans eu-central-1. La politique d'utilisation acceptable (AUP) d'AWS interdit les services facilitant la fraude.
• Rayure: les paiements par carte sont traités via /v2/users/billing/stripe/payment-methods. La liste des activités interdites de Stripe interdit les services facilitant des activités illégales. Le portefeuille de clients a-t-il été examiné ?
• Vercel: trustname.com et admin.trustname.com sont hébergés sur Vercel. La politique d'utilisation acceptable (AUP) de Vercel interdit « les services qui encouragent des pratiques frauduleuses ».
• Cloudflare: jopexplay.com est signalé comme « site web potentiellement trompeur ». Les cinq autres casinos utilisant des modèles identiques restent actifs. Pourquoi cette incohérence ?

À propos de la Biélorussie et de Monero

• Les deux propriétaires sont Résidents fiscaux biélorusses. Les revenus perçus dans le monde entier doivent être déclarés en Biélorussie conformément à la législation fiscale biélorusse. Les autorités biélorusses n'ont conclu aucun accord d'assistance mutuelle en matière fiscale (MLAT) avec la plupart des juridictions occidentales — ce qui rend l'application de la loi pratiquement impossible.
• Trustname accepte Monero (XMR), une cryptomonnaie conçue pour être intraçable. Comment les paiements en XMR sont-ils déclarés aux fins de la TVA, de la lutte contre le blanchiment d'argent et des obligations d'information financière en Estonie ? Le rapport annuel indique que 120 €. Est-ce que cela inclut les cryptomonnaies ? Si ce n'est pas le cas, où sont-elles classées ?

Indicateurs de compromission

Identifiants des bureaux d'enregistrement

IANA ID:        4318
WHOIS Server:   whois.fewmoretaps.com
Abuse email:    abuse@trustname.com
Abuse phone:    +372.6884747

Infrastructures

trustname.com
fewmoretaps.com
harakiri.org
whoispps.com
gambler-partners.is
pictures-cdn.is

37.1.219.211      fewmoretaps.com origin (FTP, SSH, HTTP, HTTPS)
195.253.23.47     CoreNIC WHOIS origin
35.156.29.145     AWS Kafka broker
18.196.68.81      AWS Kafka broker
52.28.105.156     AWS Kafka broker

Domaines identifiés comme frauduleux

noawin.com          henofex.com         jopexplay.com
bezowin159.pro      noswin152.pro       bazowin781.pro

Recherches connexes

Sources et vérification

Chaque affirmation contenue dans ce rapport s'appuie sur des documents accessibles au public ou sur des données obtenues via le compte authentifié du chercheur lui-même. Vous trouverez ci-dessous les sources primaires, accompagnées d'instructions permettant une vérification indépendante.

Registre du commerce et dossiers fiscaux

Identifiants de l'ICANN et des bureaux d'enregistrement

Données WHOIS et DNS

Arguments marketing (en direct + en différé)

• trustname.com/à-propos — « plus de 35 personnes », « Kir N., PDG »
• trustname.com page d'accueil — « N° 1 en termes de croissance », « la confiance de millions de personnes », « Fortune 500 »
• trustname.com/mur-de-l'amour — les 30 avis / 11 prénoms différents
• fewmoretaps.com — « depuis 1997 », « 100 % de projets menés à bien », mur orné des logos des entreprises du classement Fortune 500
• fewmoretaps.com/demande-de-renseignements — Adresses à Londres, Beverly Hills et Melbourne
• whoispps.com — « Le courrier papier est jeté »
• harakiri.org — Perfect Privacy LLC, Saint-Christophe-et-Niévès
• Aperçus historiques : Wayback Machine pour trustname.com

Infrastructure technique (non intrusive)

Analyse du réseau des casinos

• Contenu sur les casinos (« Le casino officiel d'Elon Musk ») — curl https://henofex.com
• Blocage des tentatives d'hameçonnage par Cloudflare — curl https://jopexplay.com affiche une page interstitielle Cloudflare
• Modèle partagé (hachages de blocs identiques) — comparer _next/static/chunks/ dans les six domaines
• Panneau d'administration en russe — curl https://gambler-partners.is affiche le titre « Gambler | Accueil »

Outils utilisés

DNS / WHOIS:    dig, nslookup, whois
Port scanning:  nmap (service / version detection only)
HTTP:           curl (header + content retrieval)
SSL:            openssl s_client
JavaScript:     manual deobfuscation of publicly served bundles
PDF:            PyPDF2 (annual report text extraction)

Méthodologie relative aux coûts financiers

Le Coût d'exploitation minimum : entre 35 000 et 50 000 € Ce chiffre est calculé à partir des prix publics :

• Frais d'accréditation de l'ICANN : ~$4,000/year (Tarifs publiés par l'ICANN)
• OpenSRS : vente en gros de domaines .com : $8–12/domain (Tarifs pour les revendeurs Tucows)
• AWS eu-central-1 (3 instances m5.large pour Kafka + plan de contrôle EKS + S3) : $500–2,000/month (Calculateur de tarifs AWS)
• Vercel Pro : 20 $/mois, Freshdesk : 15 $/agent/mois, Brevo : 25 $/mois (pages de tarifs publiques)
• Frais de personnel déclarés pour 2024 : 24 084 € (le rapport annuel de l'entreprise)

Éthique et méthodologie

Poste chargé de la divulgation et du reporting

Cette enquête a été publiée dans son intégralité sous la forme d'un divulgation publique. PhishDestroy est une équipe de recherche OSINT et non une entité soumise à une obligation de déclaration réglementaire ; il n'existe donc aucune obligation légale, en vertu de l'article 306 du Code pénal estonien (KarS) ou de textes législatifs européens équivalents, de déposer un signalement privé auprès des autorités — cette obligation ne s'applique qu'aux banques, aux prestataires de services d'actifs virtuels (VASP) et aux entités réglementées similaires soumises à cette obligation.

Si les signalements d'abus concernant des domaines enregistrés via l'IANA n° 4318 continuent d'être ignorés, ce dossier sera officiellement transmis à :

1. Conformité aux normes de l'ICANN — icann.org/conformité/plainte · RAA § 3.7.8 (exactitude des données WHOIS) et § 3.18 (traitement des abus)
2. Tucows / OpenSRS — registraire en amont ; abuse@tucows.com, compliance@opensrs.com
3. CERT-EE (RIA) — cert@cert.ee
4. MTA estonienne (Maksu- ja Tolliamet, Administration des impôts et des douanes) — ligne d'alerte contre la fraude fiscale vihjeliin@emta.ee
5. Cellule de renseignement financier estonienne (Bureau des statistiques de Rahapesu) — rab@politsei.ee pour les activités liées au blanchiment d'argent et aux prestataires de services d'actifs virtuels (VASP) non agréés
6. Services chargés de la lutte contre les abus sur les plateformes — AWS Trust & Safety, Stripe Risk, Vercel Abuse, Cloudflare Trust & Safety
7. EU FIU.net par l'intermédiaire de la cellule de renseignement financier estonienne — pour le volet « sanctions contre la Biélorussie »

Pour l'instant, toute escalade officielle a été délibérément reportée : l'entité chargée de l'enregistrement est déjà en liquidation en Estonie, les opérateurs sont basés en Biélorussie (absence d'accord d'entraide judiciaire ⇒ impasse sur le plan de l'application de la loi), et un rapport public a plus de poids qu'un ticket en attente. Nous réévaluerons la situation si les circonstances changent — ou si l'un des lecteurs de cet article avance un argument qui justifie un tel changement.

Cette enquête a été menée en recourant exclusivement à des méthodes OSINT et à des analyses techniques non intrusives. Toutes les sources de données sont accessibles au public ou ont été obtenues via le compte authentifié du chercheur sur la plateforme. Aucun accès non autorisé n’a été effectué à aucun moment. Corrections, contre-preuves ou données supplémentaires : @PhishDestroy_bot · @Phish_Destroy · github.com/PhishDestroy.