Trustname[.]com: All’interno di un registrar “a prova di proiettile”, accreditato dall’ICANN, al servizio di casinò fraudolenti

The Estonian Shell: Fewmoretaps OÜ

Fewmoretaps OÜ è iscritta al Registro delle Imprese estone con il codice di registrazione 16354846, IVA EE102702659, con sede legale virtuale in Roseni tn 13, Tallinn. Costituita il 01.11.2021 con un capitale sociale di 2.500 €, che è stato mai versato (“Costituita senza versamento di conferimenti” — Relazione annuale 2022).

Catena di proprietà: un operatore bielorusso controlla la società di facciata estone, entrambi i proxy “indipendenti” per la tutela della privacy e la società di facciata dedicata al marketing fewmoretaps.com.

Catena di proprietà

Dati finanziari: 120 € all’anno e perdite in aumento

Le relazioni annuali obbligatorie in Estonia sono di dominio pubblico. I dati sono inequivocabili:

Affermazioni di marketing vs. documenti depositati: “Scelto da milioni di persone” e “Clienti Fortune 500” da un lato — 120 € di fatturato, 1 dipendente, liquidazione dall'altra parte.

Tabella finanziaria (EUR)

“A prova di proiettile” — Come dicono loro stessi

Non si tratta di una strategia di marketing ideata da PhishDestroy — è letteralmente riportato nel record TXT del DNS di Trustname:

“Trustname è accreditata dall’ICANN ed è il registrar di domini indipendente più affidabile al mondo per privati e aziende attenti alla privacy che operano in settori sensibili. Affidatevi a noi come vostro registrar di domini a prova di errore. “Siamo affidabili, seri e convenienti.”

Verificabile da chiunque disponga di un client DNS: dig TXT trustname.com. Nel settore dell'hosting e dei registrar, “a prova di proiettile” è un termine tecnico: si riferisce inequivocabilmente a servizi che si oppongono alle richieste di rimozione per abuso e forniscono servizi agli operatori di contenuti illeciti.

La rete dei casinò truffaldini

Entro un una sola settimana (8-13 aprile 2026), sei domini di casinò crypto fraudolenti sono stati registrati tramite Trustname, tutti nascosti dietro i proxy di privacy della stessa Trustname:

Tutti e sei i casinò utilizzano modelli Next.js identici, hash dei chunk di Webpack e un backend amministrativo comune in lingua russa all'indirizzo gambler-partners.is.

Domini confermati come truffa (tutti registrati tramite IANA n. 4318)

Proxy offshore per la privacy — Di proprietà del registrar

Trustname non si avvale di servizi di protezione della privacy gestiti da terze parti indipendenti. Gestisce autonomamente i propri:

Tallinn (shell) → Charlestown, Nevis (Perfect Privacy LLC) → Orlando, FL (WHOIS Privacy LLC) → Minsk (operatori). Tutti i nodi sono controllati dalla stessa persona.

Dove finiscono i soldi?

Metodi di pagamento accettati: Stripe + BTC/ETH/LTC/XMR/ZEC. Pagamenti dichiarati all'autorità fiscale estone: 120 € all'anno. Il deficit è stato coperto da “prestiti a lungo termine” per un importo di 175.310 euro provenienti da fonti non rese note.

La piattaforma Trustname accetta pagamenti con carta tramite Stripe (/v2/users/billing/stripe/payment-methods) e criptovaluta tramite i seguenti indirizzi di portafoglio incorporati nell'endpoint di notifica dell'API autenticato:

ETH:  0xdee6582dc53fa56180311393018121c6f1e8bd7c
LTC:  MEREvHtzqAUTJ1XvEevmci8UqMnDvfe2ri
ZEC:  t1d19KevpcXpesr9XA9UUyMW9XGYVDxkK9S
XMR:  8B5N29BocrTjkRCeGCARnkhKgBeHBhg4oH7ay4RfXfnL7RqBdyiuL4k6iN4GVUVxt1EQJvZRqLg8n4qgCNWmYHQQDZmfytM

L'accettazione di Monero (XMR) — una criptovaluta progettata appositamente per essere non rintracciabile — insieme a un fornitore di servizi di pagamento regolamentato che richiede la verifica dell'identità (KYC) (Stripe), dichiarando al contempo 120 € di fatturato annuo alle autorità fiscali estoni, crea un paradosso in materia di conformità. Una singola registrazione .com al costo all'ingrosso (~13 dollari) supera già il fatturato dichiarato per l'intero anno.

Dichiarazioni di marketing vs. dichiarazioni fiscali

Cosa dicono ai clienti

• “Il registrar di domini indipendente con la crescita più rapida nel 2025”
• “Scelto da milioni di proprietari di domini”
• “Scelto dalle aziende della classifica Fortune 500”
• «Un team di oltre 35 persone con sede in varie località in tutto il mondo»
• Sedi con sede a Londra, Beverly Hills e Melbourne
• Clienti: McDonald’s, Vodafone, Adidas, Tata, Yahoo, BCG (parete con i loghi su fewmoretaps.com)
• “Dal 1997” (fewmoretaps.com)

Cosa presentano all'autorità fiscale estone

• 0 € di ricavi nel 2023, 120 € di ricavi nel 2024
• 1 dipendente (FTE) in entrambi gli anni
• Capitale proprio −71.648 €, capitale non versato pari a 2.500 €
• Ufficio virtuale in via Roseni 13, Tallinn
• Costituita 2021, non nel 1997
• Azienda in liquidazione

Testimonianze false (“Wall of Love”)

30 recensioni. 11 nomi propri diversi. “Jack” compare 5 volte, “Lily” 6 volte. Nessuna foto, nessuna data, nessun profilo verificabile, nessun link a Trustpilot o G2. Nessun cognome.

Analisi del trustname.com/wall-of-love pagina: 30 “recensioni dei clienti”, solo 11 nomi propri diversi. “Jack” compare cinque volte. “Lily” sei volte. “Megan” tre volte. Tutte le recensioni sono elogi generici di una sola riga, redatti con uno stile di scrittura uniforme. Non ci sono link a piattaforme di recensioni indipendenti. Nessuna identità verificabile dei clienti. A titolo di confronto, Namecheap e Porkbun hanno migliaia di recensioni verificate su Trustpilot e G2.

Esposizione in materia di infrastrutture e sicurezza

Mappa dell'infrastruttura: frontend Vercel, Kubernetes su AWS eu-central-1 con broker Kafka esposti pubblicamente sulla porta 7777, pannello di amministrazione Strapi aperto, sistema WHOIS CoreNIC non protetto in modalità di sviluppo.

trustname.com (Vercel / Next.js)
  ├── api.trustname.com              Fastify API (Swagger behind Basic Auth only)
  ├── admin.trustname.com            React-Admin panel (publicly accessible)
  ├── blog.trustname.com             Strapi CMS (admin UI exposed)
  ├── support.trustname.com          Freshdesk (EU instance)
  └── whois-fewmoretaps.corenic.net  Knipp DomainSRS (JSF Development mode)

fewmoretaps.com (WordPress) origin: 37.1.219.211
     Open ports: FTP:21 (vsftpd 3.0.5), SSH:22, HTTP:80, HTTPS:443

AWS eu-central-1 (EKS Kubernetes):
  35.156.29.145 / 18.196.68.81 / 52.28.105.156
  Port 7777 — Apache Kafka (Strimzi)
  SSL cert CN: kafka-staging-kafka   SAN: staging.kafka-0.trustname.com
  Namespace: backend-staging

Upstream registrar: OpenSRS (Tucows)
Invoicing: Quaderno · Payments: Stripe + Crypto
Email: Brevo  ·  Analytics: Google, Fuago
S3: domain-registrar-strapi-media (eu-central-1, leaked via CSP header)

Cronologia

Chi permette che ciò accada?

Ogni piattaforma di rilievo coinvolta in questa operazione dispone di una propria politica di utilizzo accettabile che vieta le frodi. Nessuna di esse ha agito in tal senso.

All’attenzione dell’ICANN

• Come ha fatto un’azienda con 0 € di fatturato e 0 dipendenti Al momento della presentazione della domanda, era stato ottenuto l'accreditamento ICANN? Quali verifiche sono state effettuate?
• Un registrar il cui record TXT DNS recita letteralmente: “registrar di domini a prova di errore” e “nicchie sensibili” — in che modo ciò è in linea con l’Accordo di accreditamento dei registrar?
• Il responsabile del registro è ora sotto liquidazione in Estonia. Che ne sarà delle denunce di abuso attualmente in corso relative ai domini registrati tramite IANA #4318?
• Entrambi i proprietari sono cittadini di Bielorussia — un Paese soggetto a sanzioni generalizzate da parte dell’UE e degli Stati Uniti dal 2020. Questo fatto è stato reso noto durante la procedura di accreditamento?

A OpenSRS (Tucows)

• OpenSRS fornisce l'API a monte utilizzata da Trustname per registrare i domini (come confermato da opensrsOrderId (nei dati relativi alle transazioni). Tucows effettua verifiche di conformità nei confronti dei rivenditori che si pubblicizzano apertamente come “a prova di errore”?
• In una sola settimana sono stati registrati tramite OpenSRS, tramite Trustname, sei domini di casinò fraudolenti — tra cui uno già segnalato da Cloudflare. Quali sistemi automatici di rilevamento delle frodi esistono a livello di rivenditore?

Ad AWS, Stripe, Vercel, Cloudflare

• AWS: il cluster EKS, il bucket S3 e i tre broker Kafka esposti pubblicamente si trovano in eu-central-1. Le Linee guida sull'uso accettabile (AUP) di AWS vietano i servizi che facilitano le frodi.
• Striscia: i pagamenti con carta vengono elaborati tramite /v2/users/billing/stripe/payment-methods. L'elenco delle attività soggette a restrizioni di Stripe vieta i servizi che facilitano attività illegali. È stato verificato il portafoglio clienti?
• Vercel: trustname.com e admin.trustname.com sono ospitati su Vercel. La Politica di utilizzo accettabile (AUP) di Vercel vieta “i servizi che promuovono schemi fraudolenti”.
• Cloudflare: jopexplay.com è segnalato come “Sito web sospettato di essere ingannevole”. Gli altri cinque casinò che utilizzano modelli identici rimangono attivi. Perché questa incoerenza?

Informazioni sulla Bielorussia e su Monero

• Entrambi i proprietari sono Residenti fiscali bielorussi. I redditi percepiti in tutto il mondo devono essere dichiarati in Bielorussia ai sensi della normativa fiscale bielorussa. Le autorità bielorusse non hanno stipulato accordi di assistenza reciproca in materia fiscale (MLAT) con la maggior parte delle giurisdizioni occidentali — il che rende di fatto impossibile l’applicazione delle norme.
• Trustname accetta Monero (XMR), una criptovaluta progettata per essere non tracciabile. Come vengono dichiarati i pagamenti in XMR ai fini dell’IVA, dell’antiriciclaggio e della rendicontazione finanziaria estone? Il bilancio annuale mostra 120 €. Questo include le criptovalute? Se no, dove vanno inserite?

Indicatori di compromissione

Identificatori del registrar

IANA ID:        4318
WHOIS Server:   whois.fewmoretaps.com
Abuse email:    abuse@trustname.com
Abuse phone:    +372.6884747

Infrastrutture

trustname.com
fewmoretaps.com
harakiri.org
whoispps.com
gambler-partners.is
pictures-cdn.is

37.1.219.211      fewmoretaps.com origin (FTP, SSH, HTTP, HTTPS)
195.253.23.47     CoreNIC WHOIS origin
35.156.29.145     AWS Kafka broker
18.196.68.81      AWS Kafka broker
52.28.105.156     AWS Kafka broker

Domini confermati come truffa

noawin.com          henofex.com         jopexplay.com
bezowin159.pro      noswin152.pro       bazowin781.pro

Ricerche correlate

Fonti e verifica

Ogni affermazione contenuta nel presente rapporto è supportata da documenti accessibili al pubblico o da dati ottenuti tramite l'account autenticato dello stesso ricercatore. Di seguito sono riportate le fonti primarie con le istruzioni per una verifica indipendente.

Registro delle imprese e documenti fiscali

ICANN e identificatori dei registrar

Dati WHOIS e DNS

Messaggi di marketing (in diretta + archiviati)

• trustname.com/chi-siamo — «oltre 35 persone», «Kir N., amministratore delegato»
• trustname.com homepage — “La numero 1 per crescita”, “scelta da milioni di persone”, “Fortune 500”
• trustname.com/wall-of-love — le 30 recensioni / 11 nomi propri diversi
• fewmoretaps.com — “dal 1997”, “100% di progetti portati a termine”, parete con i loghi delle aziende Fortune 500
• fewmoretaps.com/richiesta — Indirizzi a Londra / Beverly Hills / Melbourne
• whoispps.com — «La posta cartacea viene scartata»
• harakiri.org — Perfect Privacy LLC, Saint Kitts e Nevis
• Istantanee storiche: Wayback Machine per trustname.com

Infrastruttura tecnica (non invasiva)

Analisi della rete dei casinò

• Contenuti relativi al casinò (“Il casinò ufficiale di Elon Musk”) — curl https://henofex.com
• Blocco del phishing di Cloudflare — curl https://jopexplay.com visualizza l'interstitial di Cloudflare
• Modello condiviso (hash dei blocchi identici) — confronta _next/static/chunks/ in tutti e sei i settori
• Pannello di amministrazione in lingua russa — curl https://gambler-partners.is restituisce il titolo “Gambler | Home”

Strumenti utilizzati

DNS / WHOIS:    dig, nslookup, whois
Port scanning:  nmap (service / version detection only)
HTTP:           curl (header + content retrieval)
SSL:            openssl s_client
JavaScript:     manual deobfuscation of publicly served bundles
PDF:            PyPDF2 (annual report text extraction)

Metodologia dei costi finanziari

Il Costo operativo minimo compreso tra 35.000 e 50.000 euro Il dato è ricavato dai prezzi di mercato:

• Quota di accreditamento ICANN: ~$4,000/year (Tariffe pubblicate dall'ICANN)
• OpenSRS all'ingrosso .com: $8–12/domain (Prezzi per i rivenditori Tucows)
• AWS eu-central-1 (3× m5.large per Kafka + piano di controllo EKS + S3): $500–2,000/month (Calcolatore dei prezzi AWS)
• Vercel Pro: 20 $ al mese, Freshdesk: 15 $ per agente al mese, Brevo: 25 $ al mese (pagine con i prezzi pubblicati)
• Costi del personale dichiarati per il 2024: 24.084 € (la relazione annuale della società stessa)

Etica e metodologia

Posizione in materia di informativa e rendicontazione

Questa indagine è stata pubblicata integralmente sotto forma di divulgazione pubblica. PhishDestroy è un team di ricerca OSINT e non un soggetto soggetto a obblighi di segnalazione, pertanto non sussiste alcun obbligo legale, ai sensi dell’articolo 306 del Codice penale estone (KarS) o di norme UE analoghe, di presentare una segnalazione privata alle autorità — tale obbligo ricade esclusivamente sulle banche, sui fornitori di servizi di asset virtuali (VASP) e su soggetti simili soggetti a regolamentazione.

Se le segnalazioni di abuso presentate nei confronti dei domini registrati tramite IANA n. 4318 continueranno a essere ignorate, il presente dossier verrà sottoposto formalmente all’attenzione di:

1. Conformità alle norme ICANN — icann.org/conformità/reclamo · RAA § 3.7.8 (accuratezza dei dati WHOIS) e § 3.18 (gestione degli abusi)
2. Tucows / OpenSRS — registrar a monte; abuse@tucows.com, compliance@opensrs.com
3. CERT-EE (RIA) — cert@cert.ee
4. MTA estone (Maksu- ja Tolliamet, Agenzia delle Entrate e delle Dogane) — numero verde per segnalare casi di frode fiscale vihjeliin@emta.ee
5. Unità di informazione finanziaria (FIU) dell'Estonia (Ufficio dati di Rahapesu) — rab@politsei.ee per l'AML e le attività dei VASP senza licenza
6. Servizi dedicati alla gestione degli abusi sulla piattaforma — AWS Trust & Safety, Stripe Risk, Vercel Abuse, Cloudflare Trust & Safety
7. EU FIU.net tramite l’Unità di informazione finanziaria (FIU) estone — per la parte relativa alle sanzioni contro la Bielorussia

Per il momento, l’escalation formale è stata deliberatamente rinviata: l’ente di registrazione è già in liquidazione in Estonia, gli operatori hanno sede in Bielorussia (assenza di MLAT ⇒ vicolo cieco dal punto di vista dell’applicazione della legge) e una segnalazione pubblica ha più peso di un ticket in coda. Valuteremo nuovamente la situazione qualora le circostanze dovessero cambiare — o qualora qualcuno che sta leggendo questo testo avanzasse un’argomentazione che lo giustifichi.

La presente indagine è stata condotta utilizzando esclusivamente metodi OSINT e analisi tecniche non invasive. Tutte le fonti dei dati sono accessibili al pubblico o sono state ottenute tramite l’account autenticato del ricercatore sulla piattaforma. In nessuna fase è stato effettuato alcun accesso non autorizzato. Correzioni, prove contrarie o dati aggiuntivi: @PhishDestroy_bot · @Phish_Destroy · github.com/PhishDestroy.