# PhishDestroy — fr/xmrwallet-exposed ================================================================ Title: xmrwallet.com démasqué : 10 ans de clés volées Canonical: https://phishdestroy.io/fr/xmrwallet-exposed Published: 2026-03-16T00:00:00 Updated: 2026-03-16 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: xmrwallet, xmrwallet.com, Monero scam, XMR theft, private key theft, transaction hijacking, crypto wallet scam, Nathalie Roy, nathroy, DDoS-Guard, PhishDestroy, raw_tx, session_key, view key exfiltration OG image: https://phishdestroy.io/assets/og-cards/articles/xmrwallet-exposed-og.png ## SUMMARY ---------------------------------------------------------------- xmrwallet démasqué : 10 ans de vol de clés privées Monero et de détournement de transactions. Preuves cryptographiques complètes présentées. ## STRUCTURE ---------------------------------------------------------------- - xmrwallet démasqué : 10 ans de clés volées et de transactions détournées - La façade - Production vs GitHub : Divergence totale - Attaque n° 1 : Exfiltration des clés de vue - La structure session_key - Plus de 40 copies de votre clé privée - Attaque n° 2 : détournement de transaction - Votre transaction n'a jamais existé - Code de production caché - GitHub public (leurre) - Site de production (réel) - La porte dérobée et l'injection de code à distance - Une infrastructure à toute épreuve - Indicateurs clés de performance (KPI) relatifs à l'hébergement et au réseau - Indicateurs clés de performance (IOC) en matière de suivi et d'analyse - $8K-$15K/Year for a "Free Volunteer Wallet" - Opératrice identifiée : Nathalie Roy - Interdit, démasqué, toujours actif - Victimes recensées - Preuves supprimées, pas de portefeuille de dons - Chronologie des événements - Domaine enregistré — xmrwallet.com - Organisation GitHub créée - Interdit et code gelé - 6 ans de silence - Enquête « PhishDestroy » - Rapport publié — Domaine toujours actif - Ensemble des éléments de preuve et des documents sources - Rapport technique complet - Numéro 35 : Détournement de transaction - Numéro 36 : Exfiltration des clés de vue - Référentiel de recherche PhishDestroy - Alternatives sûres - Portefeuilles de bureau - Portefeuilles mobiles - La règle d'or de la cryptomonnaie - Protéger la communauté - Enquêtes connexes - Partager cet article ## CONTENT ---------------------------------------------------------------- Retour aux actualités [https://phishdestroy.io/fr/news] Enquête sur le vol d'un portefeuille Monero xmrwallet démasqué : 10 ans de clés volées et de transactions détournées Écouter l'article 0:00 / --:-- Télécharger au format PDF — Rapport officiel Enquête technique approfondie sur un portefeuille Web Monero qui encode en Base64 votre clé privée de consultation sous la forme d'un session_key token, le divulgue dans plus de 40 requêtes API par session, puis annule votre transaction avec raw_tx = 0 et le modifie pour dérober vos fonds. Actif depuis 2016. L'opérateur a été identifié. ~9 min de lecture· Mise à jour mars 2026· PhishDestroy Research En activité depuis 2016 Plus de 40 fuites de clés / session Protégé par DDoS-Guard 10 Années d'activité 40+ Fuites de clés par session $2M-$15M+ Montant total estimé des biens volés 0 Mises à jour de GitHub depuis 2018 La façade xmrwallet.com se présente comme un portefeuille Monero gratuit, open source et fonctionnant côté client. Aucun téléchargement. Aucune inscription. Ses conditions d'utilisation contiennent une mention très précise : « Toutes les opérations cryptographiques s'effectuent dans votre navigateur. Le serveur n'a aucun moyen d'accéder à vos clés privées. » — Conditions d'utilisation de xmrwallet.com (manifestement fausses) C'est un mensonge. Notre analyse technique — captures réseau, déobfuscation du code JavaScript et comparaison du code de production — prouve exactement le contraire. Chaque clé saisie sur xmrwallet.com est volée. Chaque transaction peut être détournée. Production vs GitHub : Divergence totale Le dépôt GitHub public [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] n'a pas reçu le moindre commit depuis novembre 2018. Le site de production utilise un code totalement différent, avec des paramètres non documentés qui ne figurent pas dans le dépôt : session_key — Jeton d'exfiltration de la clé de vue encodé en Base64 verification — canal d'exfiltration secondaire timestamp — paramètre de suivi de session data — conteneur de charge utile supplémentaire Domaine enregistré via NameSilo en 2016 — prépayé via 2031. Quinze ans d'inscription à un « projet libre et indépendant ». Attaque n° 1 : Exfiltration des clés de vue Lorsque vous vous connectez à xmrwallet.com, votre clé de visualisation privée est encodée en Base64 et intégrée dans un session_key jeton. Ce jeton est ensuite transmis au serveur avec chaque requête API — Plus de 40 fois en une seule séance. La structure session_key session_key = [blob_crypté]:[base64_address]:[base64_private_viewkey] // Decoded example: // blob: a3f8c2... (session identifier) // address: 4A1BxN... (your Monero public address) // viewkey: VOTRE CLÉ DE VISUALISATION PRIVÉE EN TEXTE CLAIR Les captures réseau de Firefox WebExtension confirment que ce jeton est transmis 6 points de terminaison API distincts soit un total de plus de 40 requêtes POST par session : ↔ Point de terminaison de l'API | Requêtes / Session | Fuite de la clé de session (session_key) /api/getheightsync | 12 | Oui /api/gettransactions | 10 | Oui /api/getbalance | 6 | Oui /api/getsubaddresses | 4 | Oui /api/getoutputs | 3 | Oui /api/support_login | 1 | Oui Plus de 40 copies de votre clé privée Une seule session de connexion transmet votre clé privée de visualisation au serveur au moins 36 fois. Le serveur n'a pas besoin de votre clé pour aucune de ces opérations : les vérifications de solde et les synchronisations de hauteur sont des requêtes publiques sur la blockchain. Il n'y a absolument aucune raison légitime de transmettre des données de clé. Preuve complète de la capture du réseau : xmrwallet.com — Problème n° 36 sur GitHub — Afficher les preuves d'exfiltration de clés [https://github.com/XMRWallet/Website/issues/36]. Attaque n° 2 : détournement de transaction Le vol de la clé « View » permet à l'attaquant regarder votre portefeuille. Mais xmrwallet.com va plus loin : il vole vos fonds en temps réel. Le code JavaScript de production désobfusqué révèle une séquence d'attaque en 5 étapes : // Step 1: Client builds a legitimate transaction cnUtil.create_transaction() → raw_tx_and_hash // Step 2: Client transaction is NULLIFIED raw_tx_and_hash.raw = 0; // Step 3: Only metadata sent to server (no real tx) PUBLICATION /api/submit_raw_tx { brut : 0, métadonnées : {...} } // Step 4: Server rebuilds its OWN transaction // using your keys + its destination address // Step 5: Stolen transactions tagged internally si(type == « balayé ») → transaction redirigée par l'attaquant Votre portefeuille indique « transaction envoyée ». Vos fonds parviennent à l'adresse du pirate. Les victimes voient « Identifiant de transaction inconnu » lorsqu’ils tentent de les vérifier sur des explorateurs de blocs. Les transactions marquées en interne comme swept sont celles qui ont été volées. Votre transaction n'a jamais existé raw_tx_and_hash.raw = 0 Cela signifie que la transaction générée par le client est ignorée. Le serveur crée une toute nouvelle transaction à l'aide de vos clés et envoie vos XMR à l'attaquant. Le message « succès » qui s'affiche est mensonger. Analyse détaillée du code : xmrwallet.com — Problème n° 35 sur GitHub — Preuve de détournement de transaction [https://github.com/XMRWallet/Website/issues/35]. Code de production caché xmrwallet.com gère un dépôt GitHub public afin de paraître légitime. Ce dépôt n'est qu'un leurre. Il n'a pas été mis à jour depuis novembre 2018. Le site de production utilise un code totalement différent, obscurci. GitHub public (leurre) Dernière modification : novembre 2018 Non session_key paramètre Non verification param Non /support_login.html Pas de Google Tag Manager Un code clair et vérifiable Site de production (réel) Mise à jour régulière pour la période 2024-2026 session_key avec la clé de visualisation Base64 verification canal d'exfiltration /support_login.html porte dérobée Injection de code JavaScript à distance via GTM Code obscurci et non vérifiable La porte dérobée et l'injection de code à distance Le site de production comprend /support_login.html — un point de terminaison administratif caché, totalement absent du dépôt GitHub. Associé à Google Tag Manager (conteneur GTM) Grâce à cette intégration, l'opérateur peut à tout moment injecter et modifier à distance du code JavaScript sur le site en ligne, sans avoir à mettre à jour le code source public. Il s'agit d'un vecteur d'exécution de code à distance déguisé en outil d'analyse. Une infrastructure à toute épreuve xmrwallet.com n'utilise pas d'hébergement mutualisé bon marché. Le site fonctionne sur une infrastructure haut de gamme à toute épreuve, spécialement choisie pour résister aux demandes de retrait et aux autorités judiciaires. Indicateurs clés de performance (KPI) relatifs à l'hébergement et au réseau Indicateur | Valeur Domaine | xmrwallet.com Secrétaire général | NameSilo (2016 – 2031, enregistrement pour 15 ans) Fournisseur d'hébergement | IQWEB FZ-LLC (à partir de 550 $ par mois) Adresse IP | 186.2.165.49 ASN | AS59692 CDN / Protection contre les attaques DDoS | DDoS-Guard Serveur Web | Apache 2.4.58 (Ubuntu) Back-end | PHP 8.2.29 Certificat SSL | Let's Encrypt (renouvellement automatique) Miroir Tor | xmrwalletdatuxms.onion Coût annuel des infrastructures | $8,000 – $15,000+ Indicateurs clés de performance (IOC) en matière de suivi et d'analyse ↔ Suivi | Requêtes / Session | Identifiant Google Tag Manager | 12 | Conteneur GTM Google Analytics (UA) | 12 | UA-116766241-1 Google Analytics 4 | 5 | Flux GA4 DoubleClick | 1 | Pixel de suivi publicitaire Cookies DDoS-Guard | — | __ddg8_, __ddg9_, __ddg10_, __ddg1_ $8K-$15K/Year for a "Free Volunteer Wallet" Un portefeuille gratuit légitime ne dépense pas plus de 550 $ par mois pour l'hébergement « bulletproof » d'IQWEB FZ-LLC, protégé par DDoS-Guard — une infrastructure spécialement conçue pour résister aux plaintes pour abus et aux assignations des forces de l'ordre. Il n'enregistre pas de nom de domaine pour une durée de 15 ans. Il n’utilise pas Google Analytics pour le suivi d’un portefeuille Monero « axé sur la confidentialité ». Il s’agit d’une infrastructure conçue dans un seul but : des vols répétés à grande échelle. Opératrice identifiée : Nathalie Roy Les renseignements issus de sources ouvertes permettent de remonter directement à un seul individu à partir de l'infrastructure de xmrwallet.com. Champ | Détails Nom | Nathalie Roy Lieu | Canada Nom d'utilisateur GitHub | nathroy [https://github.com/nathroy] (ID : 39167759) Organisation GitHub | xmrwallet [https://github.com/XMRWallet] (créé le 10 mai 2018) E-mail (Admin) | admin@xmrwallet.com E-mail (personnel) | royn5094@protonmail.com Reddit | u/WiseSolution [https://reddit.com/u/WiseSolution] (banni de r/Monero) Twitter | @xmrwalletcom [https://twitter.com/xmrwalletcom] Serveur de messagerie (MX) | mail.privateemail.com Interdit, démasqué, toujours actif Nathalie Roy a été exclue du site officiel subreddit r/Monero [https://reddit.com/r/monero] en 2018 pour promouvoir xmrwallet.com. La dernière mise à jour sur GitHub remonte à la même année. Depuis plus de six ans, le code public est figé, tandis que le site en production détourne activement des fonds à l'aide d'un code totalement différent. Le nom de domaine est payé jusqu'en 2031 — l'exploitant n'est pas près de disparaître. Victimes recensées Au moins 15 cas signalés publiquement des cas de détournement de fonds signalés sur Trustpilot, Sitejabber, Reddit et GitHub Issues. De vraies personnes. De l'argent réel. Disparu. 15+ Rapports publics 590 XMR Le plus gros montant isolé (177 000 dollars) 10 Des années de vols $2M-$15M+ Total estimé 590 XMR (environ 177 000 $) — un seul vol, le plus important cas recensé 17,44 XMR — enregistré sur la blockchain avec l'identifiant de la transaction 20 XMR ont été volés pendant la nuit — le portefeuille a été vidé pendant que l'utilisateur dormait Plusieurs signalements d'« identifiant de transaction inconnu » — le swept signature de balise Suppression des tickets GitHub n° 13 et suivants — l'opérateur supprime les signalements de victimes de la base de données Preuves supprimées, pas de portefeuille de dons L'administrateur supprime systématiquement les signalements des victimes sur GitHub Issues (tous les tickets antérieurs au n° 13 ont disparu). Le site prétend accepter les dons, mais Aucune adresse de portefeuille destinée aux dons n'a jamais été publiée.. Pourquoi un « projet indépendant » dépensant entre 8 000 et 15 000 dollars par an refuserait-il des dons ? Parce que ses revenus proviennent du vol. Chronologie des événements Chronologie 2014-2024 : xmrwallet.com – plus de 10 000 clés volées – du lancement du site aux premières victimes, jusqu’à l’identification de l’exploitant 2016 Domaine enregistré — xmrwallet.com Enregistré via NameSilo avec un Période d'enregistrement de 15 ans (2016-2031). Se présente comme un portefeuille web Monero gratuit et open source. mai 2018 Organisation GitHub créée L'organisation GitHub xmrwallet a été créée le 2018-05-10 par nathroy (ID : 39167759). Code public publié dans le cadre d'une opération de façade visant à donner une image de transparence. 2018 Interdit et code gelé Opérateur chez WiseSolution banni de r/Monero pour du spam promotionnel. Dernière modification sur GitHub à cette période. Les rapports d'incident des victimes commencent à être supprimés (les tickets n° 1 à n° 12 ont disparu). 2018 – 2024 6 ans de silence Le dépôt public a été gelé. Le code de production s'écarte complètement de celui d'origine, avec du JavaScript obfusqué, des paramètres non documentés et des points de terminaison contenant des portes dérobées. Les témoignages des victimes s'accumulent sur Trustpilot et Reddit. 2025 – 2026 Enquête « PhishDestroy » L'analyse du trafic réseau révèle que session_key exfiltration. La désobfuscation du code JavaScript le confirme raw_tx = 0 détournement de transaction. Preuves publiées sur GitHub Issues #35 [https://github.com/XMRWallet/Website/issues/35] & #36 [https://github.com/XMRWallet/Website/issues/36]. février 2026 Rapport publié — Domaine toujours actif Le rapport technique complet a été publié. xmrwallet.com reste en ligne. Le nom de domaine a été payé via 2031. DDoS-Guard assure une résistance aux attaques visant à mettre le site hors service. Ensemble des éléments de preuve et des documents sources Chaque affirmation contenue dans cet article s'appuie sur des preuves vérifiables par tout un chacun. Téléchargez les rapports. Vérifiez le code. Examinez vous-même les captures réseau. Rapport technique complet Enquête complète comprenant toutes les analyses de code, les captures réseau et les résultats de l'OSINT sur GitHub Pages [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Numéro 35 : Détournement de transaction raw_tx = 0 preuve • Reconstitution de la transaction côté serveur • Preuve de la balise « swept » [https://github.com/XMRWallet/Website/issues/35] Numéro 36 : Exfiltration des clés de vue Plus de 40 captures réseau • Décodage Base64 de la clé de session • 6 points de terminaison présentant des fuites [https://github.com/XMRWallet/Website/issues/36] Référentiel de recherche PhishDestroy Tous les documents sources, le code déobfusqué et les artefacts d'analyse [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Alternatives sûres Ne saisissez jamais vos clés privées sur un portefeuille en ligne, quel qu'il soit. Point final. Utilisez des logiciels certifiés et audités qui s'exécutent localement sur votre appareil. Portefeuilles de bureau Interface graphique Monero [https://getmonero.org/downloads/] — Portefeuille officiel, complet, open source, audité Portefeuille « Feather » [https://featherwallet.org/] — Un portefeuille de bureau léger, rapide et axé sur la confidentialité Portefeuilles mobiles Monerujo [https://monerujo.io/] (Android) — Logiciel libre compatible avec Tor Portefeuille Cake [https://cakewallet.com/] (iOS/Android) — Prise en charge de plusieurs cryptomonnaies, bien entretenu La règle d'or de la cryptomonnaie Ne saisissez jamais votre phrase de récupération, vos clés privées ou vos clés de consultation sur n'importe quel site web. Les portefeuilles fiables fonctionnent en local : ils n'ont jamais besoin d'envoyer vos clés à un serveur. Si un portefeuille en ligne vous demande vos clés privées, il s'agit d'une arnaque. Pour une sécurité maximale, utilisez un portefeuille matériel (Ledger, Trezor) avec le logiciel officiel de Monero. Protéger la communauté xmrwallet vole du Monero depuis 10 ans. Les preuves sont publiques. L'exploitant a été identifié. Partagez cette enquête. Signalez ce domaine. Aidez-nous à le faire fermer. Rapport technique complet [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Répertoire de recherches [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Signaler des menaces Enquêtes connexes ENQUÊTE La fin de xmrwallet.com : NameSilo a menti pour protéger un voleur de cryptomonnaies ayant dérobé 2 millions de dollars ENQUÊTE APPROFONDIE Panneau consacré au phishing de Trust Wallet : 239 000 dollars volés, 6 opérateurs ENQUÊTE APPROFONDIE Crypto Drainer Toolkit : les revendeurs d'Angel Drainer démasqués Partager cet article X [https://twitter.com/intent/tweet?text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys&url=https://phishdestroy.io/xmrwallet-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/xmrwallet-exposed&text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/xmrwallet-exposed&title=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Keys] ## EXTERNAL REFERENCES ---------------------------------------------------------------- github.com (8 mentions) gitlab.com (6 mentions) reddit.com (3 mentions) twitter.com (2 mentions) t.me (2 mentions) getmonero.org (1 mention) featherwallet.org (1 mention) monerujo.io (1 mention) cakewallet.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/fr/xmrwallet-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.