# PhishDestroy — fr/trustwallet-panel-exposed ================================================================ Title: Phishing Trust Wallet : 239 000 $ volés | PhishDestroy Canonical: https://phishdestroy.io/fr/trustwallet-panel-exposed Published: 2026-03-01T00:00:00 Updated: 2026-03-01 Author: PhishDestroy Research Schema: Organization, ImageObject, ContactPoint, WebSite, SearchAction, EntryPoint, NewsArticle, BreadcrumbList, ListItem, WebPage OG image: https://phishdestroy.io/assets/images/covers-v4/trustwallet-panel-exposed.webp ## SUMMARY ---------------------------------------------------------------- Un faux support par chat imitant Trust Wallet a volé plus de 239 000 $ en 14 mois. Une faille IDOR a livré 1 900 conversations et l'identité de 6 opérateurs. ## STRUCTURE ---------------------------------------------------------------- - Révélation d'un réseau de hameçonnage lié à Trust Wallet : 239 000 dollars volés, 6 opérateurs identifiés - Résumé analytique - Comment fonctionne l'arnaque : déroulement de l'attaque - Préjudice financier : principales pertes confirmées - Les dégâts réels sont probablement bien plus importants - Identification de l'opérateur - Opérateur principal : Vasiliy Navrotsky - Membres de l'équipe identifiés dans les historiques de discussion - Techniques d'ingénierie sociale - L'ironie - Entonnoir d'engagement des victimes - Analyse des infrastructures - Architecture du domaine principal : tttadmin.com - Infrastructure d'hébergement - Domaines de hameçonnage (en rotation) - Vulnérabilités critiques en matière de sécurité - 11 Points de terminaison API sans authentification - Fonctionnalités du panneau d'administration (analyse du code source) - Détection d'une activité de recherche menée par un tiers - Une charge utile de shell inversé détectée dans la conversation n° 1 - Calendrier de l'opération - Recommandations à l'intention des utilisateurs - Rapport technique complet avec les historiques de discussion - Partager cette enquête - Enquêtes connexes ## CONTENT ---------------------------------------------------------------- Retour aux actualités ENQUÊTE SUR UNE MENACE ACTUELLE Révélation d'un réseau de hameçonnage lié à Trust Wallet : 239 000 dollars volés, 6 opérateurs identifiés tttadmin.com · Arnaque au chat en direct · IDOR · 14 mois d'activité · mars 2026 9 minutes de lecture· Mise à jour mars 2026· PhishDestroy Research Écouter l'article 0:00 / --:-- Télécharger au format PDF — Rapport officiel Sur cette page01 / 12 1,900 Séances de discussion avec les victimes $239K+ Vol confirmé (USDT/ETH/BTC) 21 Identification des portefeuilles utilisés par des escrocs 6 Opérateurs nommés Résumé analytique Cette enquête rend compte TrustWalletPanel — une opération de hameçonnage sophistiquée se faisant passer pour Trust Wallet via le domaine backend tttadmin.com. Candidat à la 14 mois (janvier 2025 – février 2026), l’opération visait les utilisateurs de cryptomonnaies par le biais d’un faux service d’assistance par chat, leur soutirant leurs phrases de récupération et leur réclamant des dépôts sous de faux prétextes tels que la « conformité à l’OFAC » et le « remplacement d’actifs ». Les 1 900 conversations des victimes ont toutes été extraites grâce à une vulnérabilité IDOR critique. L’identité du principal opérateur a été révélée. Comment fonctionne l'arnaque : déroulement de l'attaque Cette opération suit un processus en cinq étapes soigneusement élaboré afin de tirer le maximum de profit de chaque victime : Étape 1 Découverte — Les victimes découvrent le domaine de phishing via des groupes Telegram, des arnaques sentimentales (sous le pseudonyme « Sofia ») ou les résultats des moteurs de recherche Étape 2 Faux portefeuille — Un site de hameçonnage imite l'interface de Trust Wallet ; il récupère la phrase de récupération mnémonique et le mot de passe lors de la « création du portefeuille » Étape 3 Déclencheur du chat en direct — Les tentatives de retrait échouent délibérément ; l'opérateur du chat apparaît sous le nom « Trust Wallet Support » Étape 4 Ingénierie sociale — Des opérateurs affirment que des actifs ont été gelés en raison d’infractions aux réglementations de l’OFAC et de la lutte contre le blanchiment d’argent, et exigent des dépôts en cryptomonnaie à des fins de « remplacement » ou de « vérification » Étape 5 Extraction répétée — Des demandes incessantes de paiements supplémentaires, accompagnées de manœuvres visant à créer un sentiment d’urgence et d’une pression liée aux délais Préjudice financier : principales pertes confirmées ↔ Identifiant de discussion | Montant | Actif | Contexte #1795 | 197 000 USDT | TRON (TRC-20) | Emprunté à mon ex-femme #481 | ~45,77 ETH | Ethereum | Dépôts multiples #965 | environ 16 000 USDT | USDT | Dépôts successifs #720 | 8 000 USDT | TRC-20 | Transfert d'une journée #1090 | 5 839 USDT | USDT | Mère célibataire, décès confirmé #1430 | environ 3 686 USDT | USDT | Deux dépôts distincts #92 | 3 340,23 USDT | USDT | Montant exact confirmé #1089 | 0,3201 BTC | Bitcoin | Depuis le portefeuille matériel Ledger Les dégâts réels sont probablement bien plus importants Il s'agit de déclarations non vérifiées issues de historiques de discussion. De nombreuses victimes n'ont jamais communiqué les montants concernés. La rotation des portefeuilles rend impossible le calcul des totaux sur la chaîne sans un suivi complet de la blockchain. Identification de l'opérateur Opérateur principal : Vasiliy Navrotsky Paramètre | Valeur Nom complet | Vasiliy Navrotsky (Василий Навроцкий) Identifiant Telegram | 6005741623 Identifiant actuel | @Addmeks Historique des noms d'utilisateur | @Slo221, @Li_Sin_main, @Handert, @Surr2201, @surr2204 Période de validité | Juillet 2023 – mai 2025 Messages suivis | 249 répartis dans 61 groupes Telegram Groupes clés | Binance RU (34), P2P LAB (9), Trust Wallet RU (6) Membres de l'équipe identifiés dans les historiques de discussion 👤 Lyokha / Alexey Opérateur de chat principal 👤 Dima Opérateur (Chat n° 92) 👤 Maksim Opérateur (Chat n° 446, 201 messages) 👤 Andrey Opérateur (Chat n° 579) 👤 Aleksander Recruteur sur Telegram 👤 Sofia Personnage utilisé pour appâter les victimes d'escroqueries sentimentales Techniques d'ingénierie sociale ↔ Tactique | Messages | Description Usurpation d'identité de Trust Wallet | 1,905 | Se faisant passer pour le service d'assistance officiel de Trust Wallet Réclamations relatives au gel ou au blocage d'un portefeuille | 360 | Prétend que son portefeuille a été bloqué en raison d’une « activité suspecte » Offres de remplacement d'actifs | 305 | Promesse de « remplacer » les avoirs gelés après leur dépôt Menaces de sanctions de l'OFAC | 210 | Fausses allégations concernant des sanctions du Trésor américain visant un portefeuille numérique Demandes de dépôt en vue du déblocage | 185 | Exiger un dépôt en cryptomonnaie pour « débloquer » le portefeuille Fausses offres de staking | 161 | Pools de staking avec taux APY personnalisés dans le panneau d'administration Accusations relatives à la lutte contre le blanchiment d'argent et au financement du terrorisme | 66 | Accuser les victimes de blanchiment d'argent L'ironie Des escrocs russophones ciblant des victimes russophones (51 % des conversations se déroulent en russe) en les menaçant de Sanctions de l'OFAC (Bureau du contrôle des avoirs étrangers) du Trésor américain — un mécanisme réglementaire sans rapport géographique avec leur base de victimes. Une ingénierie sociale basée sur des modèles, et non sur une compréhension du contexte. Entonnoir d'engagement des victimes Premières séances 1,900 100% A répondu au chat 679 35.7% Engagement profond (10 messages ou plus) 175 9.2% Virements confirmés ~20 1% Langues : Russe 51 % (3 013 messages) · Anglais 40 % (2 995 messages) · Autres 9 % (365 messages) Période de pointe : Novembre 2025 (959 messages). Horaires de travail : de 10 h 00 à 13 h 00 UTC ; activité réduite de 40 % le week-end. Analyse des infrastructures Architecture du domaine principal : tttadmin.com IDORAUCUNE AUTORISATIONLES CARTES DES SOURCES RÉVÉLÉESCONFIGURATION CORS INCORRECTE Composant | Détails API « Victim » | appp.tttadmin.com Interface d'administration | core.tttadmin.com / app.tttadmin.com CDN statique | static.tttadmin.com Pile technique backend | Java Spring Boot + Spring Security, JWT RS256 Base de données | PostgreSQL (JPA/Hibernate) Interface utilisateur | React CRA + Material UI (339 fichiers source récupérés) Serveur Web | nginx/1.18.0 (Ubuntu) Infrastructure d'hébergement ↔ IP | Lieu | Fournisseur | Fonction 45.144.30.6 | Moscou, Russie | UFO Hosting (AS33993) | Principalement en contact avec les victimes 2.56.178.117 | Moscou, Russie | UFO Hosting (AS33993) | Phase initiale (janvier-février 2025) 185.170.198.121 | Vilnius, Lituanie | Hostinger (AS47583) | Interface de phishing 69.10.62.71 | New York, États-Unis | Interserver (AS19318) | Orienté vers les victimes 69.49.231.166 | Atlanta, Géorgie | Solutions réseau | Primaire actuel — tous les *.tttadmin.com 94.131.121.154 | Moscou, Russie | UFO Hosting (AS33993) | Hameçonnage 146.185.239.62 | Madrid, Espagne | GTHost (AS63023) | Secondaire (casino + Next.js) Domaines de hameçonnage (en rotation) ALIVE (Cloudflare) wallet-premium.com PARKED (Epik) trustarter.io DÉSACTIVÉ trust-multi-chain.com trust-multichain.com trust-multi.online coinbridge.online premium-trust.com RÉSEAU D'ARNAQUES SENTIMENTALES rynova-qw.shop Vulnérabilités critiques en matière de sécurité L'infrastructure du panneau de contrôle de l'arnaque était truffée de failles qui rendaient l'extraction complète des données d'une simplicité enfantine : 11 Points de terminaison API sans authentification # IDOR - enumerate all 1,900 chats by sequential ID POST /chat/get → Transcription intégrale de la conversation, sans authentification# Returns latest victim session data POST /session/get → Fuite de la phrase mnémonique et du mot de passe# Inject messages into any victim chat POST /message/save → Aucune authentification requise# Create fake victim sessions POST /session/init → Enregistre les phrases de récupération# Full system config POST /system/get → swap_percent, status_support# All token/network config (174KB) POST /network/get → Données complètes sur le réseau POST /token/info/get/all → Cours en temps réel sur CoinMarketCap POST /stake/get/all → Configurations des pools de staking# Admin login - no rate limiting POST /admin/sign-in → Force brute illimitée IDOR sur /chat/get Les 1 900 discussions sont toutes accessibles sans authentification Les cartes sources dévoilées 339 fichiers source (3,4 Mo) récupérés Configuration incorrecte du CORS Reflète n'importe quelle origine disposant d'informations d'identification Pas de limitation du débit Attaques par force brute illimitées sur la connexion administrateur Fonctionnalités du panneau d'administration (analyse du code source) 339 fichiers source ont été récupérés à partir de cartes de source de production exposées (main.3924229a.js.map). Au programme de cette table ronde : Gestionnaire de portefeuille Afficher/modifier tous les portefeuilles des victimes à l'aide de phrases mnémoniques Chat en direct (sondage de 1 seconde) Discussion en temps réel avec les victimes sous le nom de « Trust Wallet Support » Contrôle des transactions Modifier le statut, insérer de fausses transactions Pools de staking Taux APY personnalisés, périodes de blocage, rendements fictifs Détection d'une activité de recherche menée par un tiers Une charge utile de shell inversé détectée dans la conversation n° 1 Une charge utile de shell inversé encodée en Base64 a été détectée, injectée via le canal non authentifié /message/save point de terminaison sur 6 mai 2025 — environ 10 mois avant le début de cette enquête. Cela signifie que ces vulnérabilités pouvaient être exploitées publiquement depuis longtemps et qu'un autre chercheur les avait découvertes bien avant nous. Calendrier de l'opération janvier 2025 Les premières sessions des victimes apparaissent (845 messages). Infrastructure hébergée sur des adresses IP moscovites. mai 2025 Un chercheur indépendant découvre une vulnérabilité IDOR et injecte une charge utile de shell inversé novembre 2025 Période de pointe : 959 messages en un seul mois. Renouvellement des certificats SSL. février 2026 Dernier certificat émis. Le service est toujours actif, de nouvelles sessions sont créées. 1er mars 2026 Publication de l'enquête sur PhishDestroy. Les 1 900 conversations ont toutes été extraites et analysées. Recommandations à l'intention des utilisateurs Ne communiquez jamais vos phrases de récupération par chat, par e-mail ou via tout autre canal d'assistance — Trust Wallet ne vous demandera jamais ces informations Vérifier les coordonnées du service d'assistance uniquement via les canaux officiels de Trust Wallet Identifier les menaces liées à l'OFAC et à la lutte contre le blanchiment d'argent (AML) comme prétextes courants utilisés par les escrocs — les services légitimes ne bloquent pas les portefeuilles via le chat Signaler des domaines de hameçonnage à l'équipe de sécurité de Trust Wallet et PhishDestroy [https://t.me/PhishDestroy_bot] Utilisez des portefeuilles matériels pour la signature des retraits, afin d'empêcher les virements non autorisés Vérifier l'état du portefeuille via l'historique des transactions de la blockchain, et non via une interface « d'assistance » quelconque Rapport technique complet avec les historiques de discussion Données complètes issues de l'enquête, comprenant l'intégralité des transcriptions des conversations, les adresses de portefeuilles, l'analyse des opérateurs et les visualisations interactives Consulter le rapport complet sur GitHub → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/] Parcourir les 1 900 transcriptions de discussions → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/chats.html] (GitLab [https://phishdestroy.gitlab.io/ScamIntelLogs/TrustWalletPanel/chats.html]) Partager cette enquête X / Twitter [https://twitter.com/intent/tweet?text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators&url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Telegram [https://t.me/share/url?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] Reddit [https://reddit.com/submit?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&title=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] LinkedIn [https://www.linkedin.com/sharing/share-offsite/?url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Enquêtes connexes ENQUÊTE APPROFONDIE Crypto Drainer Toolkit : les revendeurs d'Angel Drainer démasqués ENQUÊTE BUYTRX démasqué : 55 domaines et un programme de détournement d'approbations TRON ENQUÊTE APPROFONDIE Anatomie du hameçonnage cryptographique : analyse technique de 8 véritables programmes de vol de phrases de départ ## EXTERNAL REFERENCES ---------------------------------------------------------------- t.me (3 mentions) github.com (2 mentions) gitlab.com (2 mentions) phishdestroy.github.io (2 mentions) phishdestroy.gitlab.io (1 mention) twitter.com (1 mention) reddit.com (1 mention) www.linkedin.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/fr/trustwallet-panel-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.