NameSilo ci ha distrutto l'account Twitter Perché abbiamo detto la verità su di loro

Le ricevute: X si contraddice per iscritto

Due e-mail ufficiali dall'assistenza di X. Stesso account. Stesso ricorso. Decisioni opposte. La seconda è quella più recente. Leggetele in ordine.

L'e-mail n. 2 è la decisione più recente. Essa revoca esplicitamente l'e-mail n. 1. Afferma — per iscritto, su carta intestata della stessa X — che l'account è stato ripristinata la piena funzionalità. L'account non è stato ripristinato. L'abbonamento a pagamento continua a essere addebitato. Non c'è una terza e-mail che smentisca la seconda. L'impegno più recente di X nei nostri confronti semplicemente non viene rispettato.

Perché è successo

Il 27 marzo abbiamo pubblicato La fine di xmrwallet[.]com: NameSilo ha mentito per proteggere un ladro di criptovalute. L'indagine è risultata riproducibile: dump degli endpoint PHP, dichiarazioni archiviate, oltre 15 vittime documentate. Tre registrar indipendenti (India, Malesia, Cina) hanno esaminato le stesse prove e hanno disattivato i propri xmrwallet domini in pochi giorni. Solo NameSilo ha preso le difese del truffatore.

Ciò che è successo dopo è importante. L'ordine è importante:

1. Il truffatore ci ha inviato per primo un’e-mail direttamente — prima di qualsiasi dichiarazione pubblica da parte di NameSilo, prima che venisse presentato qualsiasi ricorso. Nella sua e-mail ci diceva di “fare causa al registrar”. Non è una frase che un truffatore che agisce da solo scriverebbe a un ricercatore che gli sta alle calcagna. È una frase che qualcuno scrive quando sa già che il registrar lo sosterrà. Non abbiamo mai osservato una reazione del genere in nessun altro truffatore che abbiamo documentato.
2. NameSilo ha quindi rilasciato una dichiarazione pubblica contenente due affermazioni dimostrabilmente false, citate testualmente e archiviato nella nostra inchiesta su Medium:
   • «Il dominio è stato compromesso alcuni mesi fa» — contraddetto dal fatto che, al momento della dichiarazione di NameSilo, il codice antifurto dello stesso operatore era ancora in funzione nell’ambiente di produzione.
   • «Prima di allora non avevamo ricevuto alcuna segnalazione di abusi» — smentito dalle nostre ricevute di consegna relative a numerose segnalazioni precedenti di abusi, corredate da prove tecniche complete.
   Nella stessa dichiarazione si leggeva inoltre: «Il soggetto registrato sta provvedendo a far cancellare il proprio nome dai rapporti VT», il che conferma che NameSilo abbia esplicitamente avallato il tentativo dell'operatore di rimuovere i rilevamenti di VirusTotal mentre il codice di furto era ancora attivo.
3. Nella stessa dichiarazione, NameSilo ha liquidato la nostra ricerca definendola poco seria e si è offerto pubblicamente di aiutare l'operatore a far rimuovere i risultati dei controlli effettuati dai fornitori di soluzioni di sicurezza (VirusTotal, Fortinet) — mentre il codice di furto era ancora attivo.
4. Noi ha risposto in modo oggettivo in merito a quella dichiarazione pubblica. Niente molestie. Niente spam. Niente doxing. Abbiamo rettificato quanto affermato proprio sulla stessa piattaforma scelta da NameSilo.
5. Sette giorni dopo, Due account PhishDestroy X sono stati bloccati. Motivo indicato: “pagamento”. Gli abbonamenti erano stati pagati. Il 14 aprile il motivo è stato modificato in “comportamenti non autentici”. A seguito del ricorso, il motivo è stato nuovamente modificato in “nessuna violazione, account ripristinato”. Il blocco e i pagamenti non rimborsati, invece, non sono cambiati affatto.

Esiste un legame tra NameSilo e il truffatore?

Il xmrwallet[.]com L'operatore ha risposto con sicurezza alle segnalazioni di abuso, ha pubblicato tweet insieme al registrar utilizzando argomentazioni coordinate e non ha mai trasferito il dominio in dieci anni di reclami. Non è così che si comportano i truffatori nervosi. È così che si comportano i truffatori che hanno un accordo.

Nei più di cento casi di operatori di phishing che abbiamo documentato, non abbiamo mai riscontrato prima questa sequenza specifica:

L'infrastruttura dell'operatore non è quella di un semplice hobbista. Secondo la nostra Indagine di medio livello, xmrwallet[.]com è ospitato su $550/month bulletproof hosting via IQWeb FZ-LLC (registrato a Belize), dietro DDoS-Guard (Russia). Si tratta di un sistema professionale, ben strutturato e a prova di attacchi — non di una pagina truffaldina creata ad hoc. Il fatto che un singolo operatore gestisca un’infrastruttura ben preparata e a prova di attacchi, mentre il suo registrar rilascia pubblicamente una dichiarazione a sua difesa, indica, come minimo, un’operazione insolitamente ben coordinata.

Non possiamo dimostrare l’esistenza di un nesso al di fuori dei registri contabili di NameSilo. Solo i loro registri interni potrebbero farlo. Ma, sulla base delle prove disponibili, rimangono due spiegazioni: o l’operatore è il truffatore del mondo delle criptovalute più sicuro di sé dell’ultimo decennio e ha scommesso correttamente che il suo registrar lo avrebbe protetto d’istinto — oppure Tra loro esiste un legame non reso pubblico. Il primo merita di essere sottoposto al giudizio dell’opinione pubblica. Il secondo merita un mandato di comparizione. Le forze dell’ordine delle giurisdizioni dell’UE stanno ora indagando sul caso in questione.

Prove dirette: ciò che NameSilo ha dichiarato pubblicamente rispetto a ciò che è realmente accaduto

I paragrafi precedenti descrivono uno schema ricorrente. Questa sezione illustra le specifiche contraddizioni fattuali tra le dichiarazioni pubbliche di NameSilo e le nostre registrazioni di prima mano. Non chiediamo a nessuno di crederci sulla parola: ogni elemento riportato di seguito è verificabile tramite archivi di terze parti, ricevute di consegna e la Wayback Machine.

Il modello di moderazione: i profili, non solo i commenti

Nel corso della nostra indagine triennale abbiamo osservato, in tempo reale, il funzionamento del meccanismo di censura su tre diverse piattaforme. Il modello era talmente ricorrente che abbiamo iniziato ad archiviare i dati prima di pubblicarli, ogni volta.

• GitHub. Intero conti che hanno pubblicato segnalazioni o commenti in cui si fa riferimento a xmrwallet[.]com sono stati rimossi — non singoli commenti, né discussioni, ma gli account nella loro interezza. Abbiamo delle copie d’archivio su Wayback Machine delle discussioni in questione, in cui il profilo dell’autore del commento ora restituisce un errore 404. Chiunque conduca un’indagine può chiedere a GitHub, nell’ambito di un regolare procedimento legale, quanti account utente con post che menzionano xmrwallet sono state chiuse tra il 2018 e il 2026, e per quale motivo dichiarato. Prevediamo che il numero sia non trascurabile.
• Trustpilot. Decine di recensioni negative veritiere sono state rimosse in ondate successive. Le rimozioni si sono concentrate in corrispondenza di ciascun ciclo di reclami pubblici, il che è coerente con una segnalazione coordinata piuttosto che con una moderazione organica. Ancora una volta, il registro interno delle cancellazioni di Trustpilot, oggetto di un mandato di comparizione, costituisce la prova definitiva.
• X (Twitter). I commenti critici rivolti agli account sospettati di truffa sono scomparsi a un ritmo difficile da giustificare con le normali politiche della piattaforma. Dopo il nostro @Phish_Destroy Quando l'account è stato infine sospeso con una motivazione mutevole (vedi le e-mail di conferma riportate sopra), il quadro è diventato chiaro. Lo stesso copione di repressione utilizzato per anni contro i singoli denuncianti veniva ora applicato a un account dedicato alla ricerca.

Vogliamo essere chiari: non stiamo parlando di telepatia. Stiamo parlando di una cronologia documentata. Pubblica. Venga archiviato. Venga cancellato. Ripeti l'operazione su tre piattaforme, per lo stesso destinatario, per un decennio, mentre il registrar non sposta mai il dominio. Quella cronologia non richiede una teoria del complotto. Richiede una richiesta di accesso ai documenti pubblici.

Se sei vittima di xmrwallet[.]com — Vi preghiamo di farvi avanti

Sappiamo che ci sono altre persone nella vostra stessa situazione. Siamo stati contattati in privato da persone che hanno perso dei fondi e che avevano paura di farsi avanti mentre l’operatore era ancora attivo e il suo registrar continuava a difenderlo pubblicamente. Ora la situazione è cambiata. L’operazione è stata smascherata, l’infrastruttura è stata documentata e le forze dell’ordine delle giurisdizioni dell’UE stanno indagando sul caso.

Alle istituzioni che possono effettivamente imporre la divulgazione — ICANN Compliance, le autorità dell’UE preposte al GDPR, il Centro antifrode canadese (l’operatore è canadese), le autorità fiscali competenti e qualsiasi tribunale avente giurisdizione sull’entità operativa di NameSilo: il materiale di prima mano è conservato e disponibile su richiesta. Ricevute di consegna, archiviazioni Wayback, articolo su Medium, grafico dell’infrastruttura di Domain-Report e testimonianza delle vittime con consenso firmato. Non stiamo nascondendo alcuna prova. Le conserviamo in un formato che potete effettivamente utilizzare.

Chiamare bianco ciò che è nero non lo rende bianco. Un decennio di prove pubbliche, oltre 20 segnalazioni documentate di abusi, una piattaforma dedicata al furto ospitata su un server “a prova di proiettile”, cancellazioni coordinate di account su tre piattaforme, un account di ricerca bannato e un operatore identificato la cui identità è già di dominio pubblico: questo non è un problema di pubbliche relazioni. È un problema di giurisdizione. Siamo certi che i dati di dominio pubblico contengano già elementi sufficienti per risolverlo.

Le vittime: chi ha subito effettivamente un danno

L’argomentazione implicita di NameSilo, che ricorre al pulsante di segnalazione degli abusi della piattaforma invece di una smentita, è: «Non ci è piaciuto essere smascherati». Va bene. Raramente alla gente piace essere smascherata. Ma mettiamo i due danni sullo stesso piatto della bilancia.

Il registro permanente

Mettere in muto un account Twitter non elimina le prove. Tutto ciò che è rilevante per questo caso è archiviato:

• Ogni dichiarazione pubblica di NameSilo a difesa del xmrwallet operatore — Wayback Machine, Archive.today, il nostro repository di prove su GitHub.
• Screenshot del codice relativo al furto in tempo reale nell'ambiente di produzione, con indicazione dell'ora.
• Sono stati sottoposti a reverse engineering e pubblicati 8 endpoint PHP.
• L'intera catena di messaggi relativa alla segnalazione di abuso.
• La nostra intera cronologia X è replicata su Mastodon, Bluesky, Medium, Telegram, GitHub e IPFS.
• Istantanee orarie di phishdestroy.io di per sé, conservazione per 14 giorni, configurata appositamente affinché nulla di ciò che abbiamo scritto possa scomparire senza che ce ne accorgiamo.

Se uno qualsiasi dei mirror viene messo fuori uso, il contenuto rimane disponibile sugli altri sette. L'architettura è più antica di NameSilo. Sopravviverà a loro.

È stato giusto? Cinque domande per tutti i lettori

Non sono domande retoriche. Leggi le prove riportate sopra, poi rispondi tu stesso — in privato, sulla tua bacheca o mentre decidi se mantenere o trasferire i tuoi domini.

1. È giusto bandire un ricercatore nel campo della sicurezza per aver risposto pubblicamente a una dichiarazione pubblica rilasciata dallo stesso registrar? È stato il cancelliere ad avviare la conversazione. Il ricercatore ha risposto con i fatti. Solo una delle due parti è stata messa a tacere.
2. È accettabile che, in una dichiarazione pubblica, un registrar liquidi una ricerca documentata definendola poco seria e, al contempo, si offra di aiutare un operatore fraudolento a eludere i sistemi di rilevamento delle minacce alla sicurezza? Entrambe le cose sono avvenute in un unico comunicato di NameSilo. Le vittime non vengono menzionate in nessuna parte del comunicato.
3. È accettabile che X ritiri esplicitamente per iscritto la propria motivazione del blocco (“nessuna violazione, ripristinato”) e mantenga comunque in vigore il ban? Secondo la più recente decisione della stessa X, l'account dovrebbe essere attivo.
4. È accettabile che un abbonamento a pagamento per la verifica continui a essere addebitato mentre l'account sottostante è bloccato? Se il servizio non viene fornito, si tratta di un prodotto o di una violazione del contratto?
5. Cosa significa che un registrar accreditato dall’ICANN sia “in regola”? È possibile che un registrar accreditato possa strumentalizzare i canali di segnalazione degli abusi di una piattaforma di terze parti per mettere a tacere il ricercatore che documenta le sue mancanze nella gestione degli abusi? Si tratta di una questione di conformità, che verrà aggiunta alla documentazione esistente ai sensi del § 3.18 del RAA.

Se una qualsiasi risposta fosse stata “No, non è giusto”

Ecco tre azioni concrete e a costo zero, elencate in ordine crescente di efficacia.

1. Condividilo pubblicamente

La disapprovazione silenziosa non serve a nulla. La pressione visibile sì. Un clic, modulo già compilato:

2. Rivolgersi alle parti chiamandole per nome

Segnalateli. La disapprovazione silenziosa non serve a nulla. Le domande esplicite dei lettori vengono notate.

• @NameSilo — è il @Phish_Destroy sospensione relativa alla tua dichiarazione pubblica in cui ti offrivi di aiutare il xmrwallet È possibile rimuovere i rilevamenti dell'operatore?
• @X / @XSupport / @elonmusk — L'e-mail n. 2 recita: «ripristinata la piena funzionalità». L'account è bloccato. Quale decisione è valida?
• @ICANN — L’articolo 3.18 del RAA disciplina le ritorsioni da parte dei registrar nei confronti dei ricercatori?
• @Tucows — Le ritorsioni nei confronti dei ricercatori per abuso della piattaforma sono compatibili con gli standard di OpenSRS per i rivenditori?

3. Trasferisci i tuoi domini (questa è la parte più dolorosa)

Le aziende reagiscono alla perdita di ricavi, non ai tweet. I trasferimenti richiedono circa quindici minuti. Il nostro pagina delle statistiche del registrar elenca i registrar con una storia ineccepibile in materia di gestione degli abusi. Ogni dominio trasferito rappresenta un dato relativo ai rinnovi che la dirigenza di NameSilo vedrà nel prossimo trimestre.

Se sei un'organizzazione — un progetto nel settore delle criptovalute, una piattaforma di bug bounty, una testata giornalistica, un'azienda specializzata in intelligence sulle minacce — con qualsiasi dominio su NameSilo: rifletti su cosa significhi finanziare il registrar che ha protetto un’operazione di furto da oltre 20 milioni di dollari e che poi ha messo a tacere il ricercatore che l’ha documentata. Puoi compiere questa mossa pubblicamente. Ha un peso notevole.

Conclusione

Non è possibile proteggere per dieci anni un'operazione di furto da oltre 20 milioni di dollari, mentire pubblicamente al riguardo, vendicarsi del ricercatore che ti ha scoperto... e far sì che l'intera vicenda venga silenziosamente dimenticata. Soprattutto non mentre le forze dell'ordine dell'UE stanno indagando sul caso.

Non vi chiediamo di crederci sulla parola. Ogni affermazione fattuale riportata sopra è corredata di link, documentata, provvista di data e ora, archiviata esternamente e riproducibile. Vi chiediamo di esaminare le prove, di rispondere voi stessi alle cinque domande e di agire in base alla vostra risposta. È questo che significa essere imparziali: un lettore che esamina le prove e decide autonomamente. Ed è proprio questo che il silenzio è destinato a impedire.

PhishDestroy è un servizio indipendente di intelligence sulle minacce. Zero pagamenti, zero sponsorizzazioni, zero favori. Pubblichiamo ciò che scopriamo. NameSilo ci ha banditi proprio per questo.

Indagine originale: phishdestroy.io/xmrwallet-NameSilo-exposed
Indagine di medio livello (fonte primaria): PhishDestroy.medium.com/xmrwallet-com-2953f35b8a79
Repository delle prove: github.com/PhishDestroy