NameSilo הרס את חשבון הטוויטר שלנו מפני שאמרנו עליהם את האמת

הקבלות: X סותר את עצמו בכתב

שני מיילים רשמיים מתמיכת X. אותו חשבון. אותה ערעור. פסקים סותרים. השני הוא העדכני יותר. קראו אותם לפי הסדר.

הדוא"ל מס' 2 הוא ההחלטה החדשה יותר. הוא מבטל במפורש את הדוא"ל מס' 1. הוא קובע — בכתב, על דף המכתבים של X עצמה — שהחשבון ה שוחזר לתפקוד מלא. החשבון לא שוחזר. המנוי בתשלום ממשיך לחייב. אין דוא"ל שלישי המבטל את דוא"ל מס' 2. ההתחייבות האחרונה של X כלפינו פשוט אינה מתקיימת.

למה זה קרה

ב-27 במרץ פרסמנו סיום xmrwallet[.]com: NameSilo השקר כדי להגן על גנב קריפטו. החקירה הייתה רפרודוקטיבית: פריקת נקודות קצה של PHP, הצהרות ארכיוניות, ו-15+ נפגעים מתועדים. שלושה רישומי דומיינים עצמאיים (הודו, מלזיה, סין) בחנו את אותם ראיות וביטלו את xmrwallet דומיינים תוך ימים. רק NameSilo הגנה על הנוכל.

מה שקרה לאחר מכן חשוב. הסדר חשוב:

1. המנופלים שלחו לנו תחילה דוא"ל ישירות — לפני כל הצהרה ציבורית של NameSilo, לפני שהוגש ערעור כלשהו. המייל שלו אמר לנו ל"תבוע את הרגיסטר". זוהי לא משפט שרוגל בודד כותב לחוקר המרדף אחריו. זוהי משפט שמישהו כותב כשהוא כבר יודע שהרגיסטר יעמוד לצידו. לא ראינו מעולם תגובה כזו מצד שום נוכלת אחרת שדיווחנו עליה.
2. לאחר מכן, NameSilo פרסמה הצהרה רשמית הכולל שתי שקרים הניתנים להוכחה, המצוטטים מילולית ו אורכב בחקירתנו ב-Medium:
   • הדומיין נפרץ לפני כמה חודשים — סותר את העובדה שהקוד הגנוב של המפעיל עצמו עדיין פעל בסביבת הפריצה במועד הצהרת NameSilo.
   • לפני כן, לא קיבלנו דיווחי שימוש לרעה — סותר את אישורי ההגעה שלנו עבור דיווחי שימוש לרעה קודמים רבים, המלווים בהוכחות טכניות מלאות.
   הצהרה זו ציינה גם: הרשום פועל להסרה מהדוחות של VT, הדבר אשר מאשר כי NameSilo אישר במפורש את ניסיונו של מפעיל השירות להסיר את זיהויי VirusTotal בעוד שהקוד הגנוב היה פעיל.
3. באותה הצהרה, NameSilo דחתה את מחקרנו כחסר רצינות וגם הוצע פומבית לעזור למפעיל להסיר זיהויים מצד ספקי אבטחה (VirusTotal, Fortinet) — בעוד שקוד הגניבה היה עדיין פעיל.
4. אנו ענה בצורה עובדתית לצהרה הציבורית האמורה. ללא הטרדה. ללא ספאם. ללא חשיפת פרטים אישיים (דוקסינג). תיקנו את הרשומה באותו פורום שבחרה NameSilo.
5. שבעה ימים לאחר מכן, שני חשבונות PhishDestroy X ננעלוהסיבה שהוצגה: "תשלום". המנויים שולמו. ב-14 באפריל השתנתה הסיבה ל"התנהגויות לא אותנטיות". לאחר ערעור, השתנתה הסיבה שוב ל"אין הפרה, שוחזר". הנעילה והתשלומים שלא הוחזרו לא השתנו כלל.

האם קיים קשר בין NameSilo לבין הרוצח?

ה xmrwallet[.]com האופרטור ענה לדוחות הניצול לרעה בידיעה, פרסם טוויטים יחד עם הרשם תוך שימוש בנקודות דיבור מתואמות, ולא העביר את הדומיין במשך עשר שנים של תלונות. כך לא מתנהג נוכלים עצבניים. כך מתנהגים נוכלים שיש להם הסדר.

ביותר ממאה מקרים של מפעילי דייג דיגיטלי (פישיונג) שדוקומנטנו, מעולם לא נתקלנו בסדרה הספציפית הזו:

תשתית התפעול אינה תשתית של חובב. לפי בדיקה בינונית, xmrwallet[.]com מאוחסן ב אירוח בלתי חדיר (bulletproof) בתשלום חודשי של 550 דולר באמצעות IQWeb FZ-LLC (רשום ב בליז), מאחורי DDoS-Guard (רוסיה). מדובר בסטק מקצועי, מוכן מראש ועמיד בפני ניצול לרעה — ולא בעמוד הונאה חד-פעמי. מפעיל יחיד המפעיל תשתית "בלתי חדירה" מוכנה מראש, תוך כדי שרשם הדומיין שלו מפרסם באופן פומבי הצהרת הגנה מטעמו, מהווה לפחות פעולה מתואמת בצורה חריגה.

לא נוכל להוכיח קשר מחוץ לספרי NameSilo. רק רישומיהם הפנימיים יכלו לעשות זאת. אך על סמך הראיות הנראות לעין, נותרות שתי הסברים: או שהמפעיל הוא הנוכל הקריפטו הביטחוני ביותר של העשור האחרון והמריוח בצדק שהרשם שלו יגן עליו באינסטינקט — או קיים קשר לא מוכר ביניהם. הראוי לבדיקה ציבורית. השני דורש צו קריאה. רשויות האכיפה במדינות האיחוד האירופי עובדות כעת על התיק הבסיסי.

הוכחה ישירה: מה ש-NameSilo הצהיר בפומבי לעומת מה שקרה בפועל

הפסקאות לעיל מתארות דפוס. סעיף זה מתעד את סתירות העובדיות הספציפיות בין הצהרות NameSilo הציבוריות לבין הרשומות הישירות שלנו. איננו מבקשים מאף אחד להאמין לנו על סמך אמונה בלבד – כל פריט המפורט להלן ניתן לאימות מול ארכיונים של צד שלישי, אישורי מסירה ומכונת ה-Wayback.

תבנית הניקוי: חשבונות, לא רק תגובות

במהלך חקירתנו שנמשכה שלוש שנים, עקבנו בזמן אמת על פעולת שכבת הדכאון בשלושה פלטפורמות שונות. הדפוס היה עקבי מספיק כדי שנתחיל בארכיון לפני הפרסום, בכל פעם.

• GitHub שלם חשבונות שפרסמו בעיות או תגובות המתייחסות xmrwallet[.]com הוסרו — לא תגובות בודדות, לא שרשראות, אלא החשבונות המלאים. יש לנו תיעודים מארכיון Wayback של שרשראות הנושאים, שבהם פרופיל המגיב מציג כיום שגיאת 404. כל מי שמבצע חקירה יכול לבקש מ-GitHub, בהתאם לתהליך משפטי תקין, כמה חשבונות משתמשים עם פוסטים המזכירים xmrwallet נסגרו בין השנים 2018 ל-2026, ומהי הסיבה המוצהרת לכך. אנו מצפים שהמספר יהיה משמעותי.
• Trustpilot עשרות ביקורות שליליות אמינות הוסרו במספר גלים רצופים. ההסרות התרכזו סביב כל מחזור תלונה ציבורית, תופעה העולה בקנה אחד עם דיווחים מתואמים ולא עם מודרציה אורגנית. שוב, יומן המחיקה הפנימי של Trustpilot, שהוצא על פי צו בית משפט, מהווה את הרשומה המוחלטת.
• X (טוויטר). תגובות קריטיות לחשבונות הקשורים לרמאות נמחקו בקצב שקשה להסביר באמצעות מדיניות הפלטפורמה הרגילה. לאחר @Phish_Destroy החשבון הושעה בסופו של דבר על רקע נימוק משתנה (ראו את אישורי הדוא"ל לעיל), והתבנית התגבשה. אותו תבנית דיכוי שיושמה במשך שנים נגד מתלוננים פרטיים, הופעלה כעת נגד חשבון מחקר.

אנו רוצים להיות מדויקים: איננו טוענים לקיומה של טלפתיה. אנו טוענים לקיומה של כרונולוגיה מדוקומנטת. פרסום. ארכיון. מחיקה. חזרה על הפעולה, בפלטפורמות שונות, מול אותו יעד, במשך עשור, בעוד הרשאי אינו פועל כלל לגבי הדומיין. הציר הזמן הזה אינו דורש תיאורית קונספירציה. הוא דורש בקשת מידע לציבור.

אם אתם נפגעים של xmrwallet[.]com — אנא התקדמו קדימה

אנו יודעים שיש עוד מכם. אנו קיבלנו פניות פרטיות מאנשים שאיבדו כספים, שהיו חוששים להיחשף בפומבי בזמן שהפעיל עדיין היה פעיל והרשם שלו עדיין הגן עליו בפומבי. המצב השתנה כעת. הפעילות חושפה, התשתיות תועדו, והאכיפה המשפטית במדינות האיחוד האירופי עובדת על המקרה הבסיסי.

לגופים המוסדיים המסוגלים באמת לכפות חשיפה — גוף האכיפה של ICANN, רשויות הגנת הפרטיות באיחוד האירופי (GDPR), מרכז ההונאות הקנדי (הפעיל הוא קנדי), רשויות המס הרלוונטיות, וכל בית משפט בעל סמכות שיפוט על גוף ההפעלה של NameSilo: החומר המקורי נשמר וזמין לפי בקשה. אישורי מסירה, תיעודים מארכיון Wayback, כתבה ב-Medium, גרף תשתיות דוחות דומיין, והעדות של הקורבן עם הסכמה חתומה. אנו איננו מחזיקים ביד רשומה את הראיות. אנו מחזיקים אותן בצורה שבה ניתן באמת להשתמש בהן.

לקרוא לשחור "לבן" אינו הופך אותו ללבן. עשור של ראיות פומביות, יותר מ־20 הודעות על שימוש לרעה מתועדות, מכונת גניבה המאוחסנת בשרתים חסין־פגיעות (bulletproof), מחיקות חשבונות מתואמות שלוש פלטפורמות, חשבון מחקר שהוסר, ופעיל ממונה שזהותו כבר ידועה לציבור – מדובר כאן לא בבעיית יחסי ציבור, אלא בבעייה יוריסדיקציונלית. אנו בטוחים שהרשומה הציבורית כבר מכילה מספיק פרטים כדי לפתור את הנושא.

הנפגעים: מי נפגע באמת

הטיעון המרומז של NameSilo, בכך שבחרה ללחוץ על כפתור "הפרת שימוש בפלטפורמה" במקום לבקש משיכת התוכן, הוא "לא אהבנו לחשוף אותנו". סביר להניח. אנשים נדירים שאוהבים לחשוף אותם. אך יש לשים את שני הנזקים על מאזן אחד.

הרשומה הקבועה

השתקה של חשבון טוויטר אינה מוחקת את הראיות. כל מה שרלוונטי למקרה זה ארכיון:

• כל הצהרה ציבורית של NameSilo המגנה על xmrwallet מפעיל — Wayback Machine, Archive.today, מאגר הראיות שלנו ב-GitHub.
• צילומי מסך של קוד הגניבה הפעיל בסביבת הפקת, כולל חותמות זמן.
• 8 נקודות קצה PHP הופעננו באופן הפוך ופורסמו.
• שרשרת שיחות דיווח השימוש הלא-מורשה המלאה.
• כל ציר הזמן שלנו ב-X ממוירר על פלטפורמות Mastodon, Bluesky, Medium, Telegram, GitHub ו-IPFS.
• תמונות מצב שעתיות של phishdestroy.io עצמו, שמירה למשך 14 ימים, הותקנו במיוחד כדי שאף דבר שכתבנו לא ייעלם בשקט.

אם מראה אחת תשתוק, התוכן ימשיך להתקיים בשבע האחרות. הארכיטקטורה ישנה יותר מ-NameSilo. היא תשרוד אותם.

האם זה היה הוגן? חמש שאלות לכל קורא

אלו אינן שאלות רטוריות. קראו את הראיות לעיל, ואז ענו לעצמכם — בפרטיות, לפי קצב שלכם, או בעת קבלת ההחלטה האם לשמור על הדומיינים או להעביר אותם.

1. האם הוגן להטיל איסור על חוקר אבטחה בשל תגובה פומבית שלו להצהרה פומבית של רישום דומיין? הרשם פתח את השיחה. החוקר ענה בעובדות. רק צד אחד נשתיק.
2. האם מותר להצהרה ציבורית של רישום דומיין (Registrar) להתייחס למחקר מתועד כחסר רצינות, ובאותו זמן להציע עזרה לאופרטור הונאה בהסרת זיהויי אבטחה? שני המקרים התרחשו בהצהרה אחת של NameSilo. הקורבנות אינם מוזכרים בשום מקום בה.
3. האם מותר ל-X לסגת במפורש, בכתב, מההצדקה שהביא להנפקת הנעילה שלו ("אין הפרה, הוחזר") ולהמשיך להחזיר את האיסור בתוקף בכל זאת? הפסקה האחרונה ביותר של X עצמה קובעת שהחשבון אמור להיות פעיל.
4. האם מותר להמשיך לגבות תשלום עבור מנוי אימות בתשלום כאשר החשבון הבסיסי נעול? אם השירות אינו מסופק, האם מדובר במוצר – או בניגוד לחוזה?
5. מה משמעות המצב "במצב תקין" (good standing) של רשם מורשה מטעם ICANN האם רשם מוסמך יכול להפוך לעניין נשק את ערוצי הדיווח על שימוש לרעה של פלטפורמה צד שלישי, כדי להשתיק את החוקר המתעד את כישלון התגובה שלו לשימוש לרעה? זוהי שאלת עמידה בדרישות רגולטוריות, והיא מוסיפה להגשה הקיימת לפי סעיף 3.18 של הסכם הרשמים (RAA).

אם התשובה לכל שאלה הייתה "לא, זה לא הוגן"

הנה שלושה צעדים קונקרטיים, ללא עלות, בסדר עולה של השפעה.

1. לשתף את זה בצבור

התנגדות שקטה אינה משיגה דבר. לחץ גלוי כן. לחיצה אחת, טופס מוכן מראש:

2. בקשו מהצדדים לפי שמם

תתייגו אותם. אי-אישור שקט לא עושה כלום. שאלות גלויות מצד הקוראים זוכות לתשומת לב.

• @NameSilo — הוא @Phish_Destroy החסימה הקשורה להצהרה הציבורית שלך, שבה הצעת לעזור ל xmrwallet האם אופרטור יכול להסיר זיהויים?
• @X / @XSupport / @elonmusk — הדוא"ל מספר 2 מציינת "שוחזרה לתפקוד מלא". החשבון נעול. איזו החלטה היא זו שחלה בפועל?
• @ICANN — האם סעיף 3.18 ב-RAA מכסה תגובות נקמניות מצד רישומנים כלפי חוקרים?
• @Tucows — האם תגמול על פגיעה במחקרים באמצעות ניצול פלטפורמה תואם את תקני המשווקים של OpenSRS שלכם?

3. העברת הדומיינים (זה מה שמכאב)

חברות מגיבות לאובדן הכנסות, לא לטוויטים. העברות לוקחות כ־15 דקות. שלנו דף סטטיסטיקות של הרשם רשימות של רישומנים בעלי היסטוריית תגובה נקייה למקרי שימוש לרעה. כל דומיין שהועבר מהווה נקודת נתונים של מספר חידוש שצוות ההנהלה של NameSilo יבחן ברבעון הבא.

אם אתם ארגון — פרויקט קריפטו, פלטפורמת פרס על פגיעות, גוף עיתונאי, חברת מודיעין איומים — עם כל הרשמת דומיין ב-NameSilo: שקלו מה משמעות הדבר של מימון הרשם שהסתיר פעילות גניבה בסך של למעלה מ-20 מיליון דולר ואז השתיק את החוקר שדיווח עליה. ניתן לבצע את הצעד הזה בפומבי. הוא נושא משקל.

המילה האחרונה

לא ניתן להגן על מבצע גניבה בשווי של למעלה מ-20 מיליון דולר במשך עשר שנים, לשקר על כך בפומבי, לנקום במחקר שחשף אתכם – ולהשאיר את כל העניין לשכחה שקטה. במיוחד לא בזמן שרשויות האכיפה באיחוד האירופי עובדות על המקרה.

אנו אינם מבקשים ממך לקבל את דברנו. כל טענה עובדתית לעיל מקושרת, מדוקומנטת, מוסיפה חותמת זמן, מאורכנת מחוץ לאתר וניתנת להשחזה. אנו מבקשים ממך לבחון את הראיות, לענות על חמש השאלות בעצמך ולפעול על פי התשובה שלך. כך נראית הוגנות – קורא שקורא את הראיות ומחליט. זוהי גם בדיוק הדבר ששתיקה נועדה למנוע.

PhishDestroy הוא מודיעין איומים עצמאי. אפס תשלומים, אפס חסויות, אפס טובות. אנחנו מפרסמים את מה שאנחנו מוצאים. NameSilo חסמו אותנו בגלל זה.

החקירה המקורית: phishdestroy.io/xmrwallet-namesilo-exposed
בדיקה בינונית (מקור ראשוני): phishdestroy.medium.com/xmrwallet-com-2953f35b8a79
מאגר ראיות: github.com/PhishDestroy