NameSilo kłamał, by chronić złodzieja o wartości $2 M
Po 10 latach kradzieży prywatnych kluczy Monero operacja została zniszczona. Trzej rejestratorzy działali w ciągu kilku dni. Czwarty — NameSilo — skontaktował się z oszustem, uwierzył w jego historię i został jego rzecznikiem prasowym.
![Ilustracja artykułu: Koniec xmrwallet[.]com:](/assets/images/covers-v4/xmrwallet-namesilo-exposed.webp)
Od 2016 roku xmrwallet[.]com reklamował się jako darmowy, otwartoźródłowy portfel Monero. Nasze przechwytywanie ruchu sieciowego w czasie rzeczywistym 18 lutego 2026 okazało się, że robiło coś zupełnie innego: kradzież prywatnych kluczy podglądu Monero przy każdym logowaniu oraz przejęcie transakcji po stronie serwera.
Kod nie wstrzyknięty — architektura podstawowa. System sesji obejmujący 8 endpointów PHP, transmitujący prywatny klucz podglądu ofiary 40+ razy na sesję. Gdy użytkownicy wysyłali XMR, ich transakcja została cicho odrzucona.raw_tx_and_hash.raw = 0) i zastąpiono przez oszusta.
Sześciu dostawców zabezpieczeń w VirusTotal oznaczyło to jako złośliwe. Piętnaścioro udokumentowanych ofiar na Trustpilot, Sitejabber i BitcoinTalk. Jedna ofiara straciła. 590 XMR (~$177,000) w jednej kradzieży.
Złożyliśmy identyczne zgłoszenia nadużyć u wszystkich czterech rejestratorów hostujących domeny xmrwallet. Trzej zareagowali natychmiast:
Indie · Dni do działania
Malezja · Dni do działania
Chiny · Tygodnie na działanie
USA · Obrona oszusta
Indie, Malezja, Chiny — przeanalizowano dowody, stwierdzono oszustwo, zawieszono domeny. Bez zadawania pytań.
Czwarty rejestrator — NameSilo, LLC (USA) — hostując główną domenę z największą ilością dowodów i ofiar — zrobili dokładnie odwrotnie. Skontaktowali się ze scamerem, uwierzyli w jego historię i opublikowali publiczne oświadczenie broniące go:
Zespół ds. nadużyć przeprowadził dogłębną analizę tej sprawy i wydaje się, że domena została przejęta kilka miesięcy temu... Po rozległym dochodzeniu nasz zespół znalazł dowody na kompromis, który nie obejmuje rejestrującego... Rejestrujący również pracuje nad usunięciem witryny z raportów VT.
— NameSilo, za pośrednictwem X (Twitter)
Analizowaliśmy to oświadczenie linia po linii. Każde twierdzenie było fałszywe.
Zanim NameSilo interweniował, operator odpowiedział bezpośrednio na nasz raport nadużycia. Jego e‑maile potwierdzają świadomość i zamiar:
Mechanizm kradzieży jest rdzeniem architektury — 8 punktów końcowych PHP, wyciek klucza w formacie Base64, a 5,3‑letnia przerwa w commitach GitHub. Ten system został zbudowany przez lata, a nie wstrzyknięty w trakcie ataku.
Sześciu dostawców VirusTotal, skargi na Trustpilot sięgające lat, wątek ostrzegawczy na BitcoinTalk, operator zbanowany z r/Monero w 2018 roku. Jedno wyszukiwanie w Google pokazałoby to.
Operator został zarejestrowany 4 domeny escape u 4 rejestratorów (prepaid 5‑10 lat każdy) przed Śledztwo zostało opublikowane. Usunięto ponad 21 zgłoszeń na GitHubie. Zatrudniono programistów do systemu captcha. To nie ofiara — to operacja.
Kod kradzieży był uruchomiony w środowisku produkcyjnym. w trakcie oświadczenia NameSilo. Zero commitów w GitHubie dotyczących jakiegokolwiek incydentu. Nic nie zostało odwrócone.
NameSilo pochwalił oszusta za lobbowanie w celu usunięcia wykrywania „Phishing” firmy Fortinet — bez usuwania kodu phishingowego. To nie jest działanie w dobrej wierze. To tłumienie ostrzeżeń bezpieczeństwa.
Przeniesienie ciężaru dowodu na osobę zgłaszającą, aby mogła zamknąć sprawę. Dowody znajdowały się w raporcie. Trzej równorzędni rejestratorzy nie musieli pytać.
„Re‑open” sugeruje, że kiedyś było otwarte. Ich dochodzenie polegało na zadzwonieniu do oszusta i spisaniu tego, co powiedział. To nie jest dochodzenie — to dyktowanie.
NameSilo nie zignorował dowodów. Przeczytali je, zadzwonili do oszusta, uwierzyli mu, uznali go za niewinnego i pomogli stłumić ostrzeżenia bezpieczeństwa. Następnie poprosili badaczy o udowodnienie, że nadużycie jest „niedawne”.
To nie jest zaniedbanie. To jest partnerstwo.
Domena jest wyłączona. Oszustwo się skończyło. Jednak fakt, że amerykański rejestrator postanowił publicznie sfabrykować historię okładkową, aby chronić złodzieja kryptowalut o wartości $2M — to coś, co będzie prześladować NameSilo przez bardzo długi czas. Ich oświadczenie będzie Exhibit A w każdym kolejnym zgłoszeniu.
Jeśli poręczasz złodzieja, dzielisz się jego rachunkiem.
To dochodzenie opiera się na publicznie dostępnych dowodach, przechwytywaniach ruchu sieciowego w czasie rzeczywistym, OSINT, publicznych platformach recenzenckich oraz dosłownym oświadczeniu publicznym firmy NameSilo. Nie dokonano nieautoryzowanego dostępu. Wszystkie ustalenia są niezależnie odtwarzalne.
