Нам за это не платят. Мы рискуем столкнуться с реальными последствиями со стороны загнанных в угол преступников, у которых есть деньги. На этой странице объясняется, почему мы решили взяться за эту борьбу, что мы пытаемся доказать и как мы организовали это расследование.
Независимость и компетентность
Мы действуем независимо. У нас нет корпоративных спонсоров, грантов или финансовых рычагов, которыми можно было бы воспользоваться. Эта автономность позволяет нам решать задачи, которых традиционные охранные компании избегают из-за риска юридической ответственности или конфликта интересов. Нейтрализовано более 130 000 фишинговых доменов. Многолетний опыт активной работы. Мы хорошо разбираемся в инфраструктуре мошеннических схем, поведении операторов в стрессовых ситуациях, обработке сообщений о злоупотреблениях на платформах, а также в механизмах проведения кампаний по подавлению мошенничества.
Как началось расследование
Оператору («Натали Рой») было прямо указано: не лги, не усугубляй ситуацию. У неё было множество возможностей тихо исправить ситуацию — удалить две заявки на GitHub и не обращать на это внимания. Если бы никто из пострадавших не подал жалобу, на этом дело бы и закончилось. Вместо этого она решила угрожать, лгать и привлечь своего регистратора. Затем NameSilo опубликовал твит, содержащий 4 утверждения, которые можно было легко опровергнуть, публично защищая программу-драйнер, отмеченную VirusTotal, перед аудиторией из 11 000 человек. Эта тактическая ошибка привела к развертыванию полномасштабной следственной операции.
Наша цель отражена в нашем названии: PhishDestroy. Компания NameSilo сознательно стала участником фишинговой операции — защищая её, публикуя ложные заявления и скрывая доказательства. Меры реагирования носят процедурный характер: зафиксировать факты защиты, нейтрализовать мошенничество, передать дело в правоохранительные органы.
Один из наших исследователей пишет научная работа по криминалистике, посвящённая онлайн-мошенничеству. Данное расследование является основным примером из практики. В статье разработана методология расследования краж неотслеживаемая криптовалюта (Monero) — там, где традиционный анализ блокчейна невозможен.
У Monero нет общедоступного реестра. Анализ блокчейна не позволяет доказать факт кражи. Ни Etherscan, ни цепочка транзакций, ни привязка к кошельку. Именно поэтому xmrwallet.com просуществовал целое десятилетие — никто не мог оценить размер ущерба с помощью стандартных инструментов. В статье показано, что даже если невозможно отследить движение денег, преступление всё равно можно доказать с помощью:
Данное исследование служит подтверждением того, что данный метод действительно работает. Каждое из собранных здесь доказательств — схемы подавления информации, идентичное поведение, ответы на CAPTCHA, 21 миллион зарегистрированных записей — напрямую используется в статье. Чтобы это исследование могло появиться, сначала должен был возникнуть сам случай. Их высокомерие сделало это возможным.
Методология проведения операций и меры противодействия
Мы предвидели каждый их шаг. Мы сознательно не писали в Твиттере о том, что знаем, как они обращаются с такими людьми, как мы, — потому что Они настолько высокомерны, что даже не осознавали: они вовсе не подавляли нас. Они делали именно то, чего мы и хотели.
Параллельные треки, одновременно:
Мы их спровоцировали? Нет. Мы поступили так, как всегда: сообщили о нарушениях, обнародовали результаты расследования, зафиксировали реакцию. Они решили это скрыть. Мы просто знали, что так и будет, и записывали всё на камеру.
Мы подали 11–12 официальных жалоб на злоупотребления в NameSilo — не для того, чтобы обмануть их, а чтобы проверить нашу гипотезу. Если бы они действительно не зависели от оператора, то расследовали бы сайт, помеченный VirusTotal, с документально подтвержденными жертвами и с электронными письмами самого оператора, в которых он признает, что контролирует сайт. Они проигнорировали абсолютно всех. Все остальные регистраторы, которых мы проверили, приняли соответствующие меры.
Мультиплатформенное распределение и отслеживание подавления
Мы опубликовали статью на нескольких платформах — это сделано намеренно. Medium, dev.to, наш собственный сайт. Не потому, что мы не могли разместить это в одном месте, а потому, что нам нужно было, чтобы они блокировали это на каждой платформе отдельно. Каждое действие по блокировке регистрируется принимающей платформой — идентификатор запрашивающего, IP-адрес, временная метка, метод. Все записи платформы доступны правоохранительным органам в рамках стандартной судебной процедуры.
Статья на Medium — 304 лайка, 15 комментариев, время чтения — 19 минут. Одна из многих платформ, на которых мы целенаправленно публикуем свои материалы.
Медовые приманки и отвлекающие приманки
Мы не «подставляли» их. Мы поступили точно так же, как поступает любой исследователь в области борьбы с фишингом: опубликовали результаты, сообщили о злоупотреблениях и зафиксировали реакцию. Они предпочли замалчивать, а не реагировать. Мы предполагали, что они так и поступят — ведь именно такая схема действий наблюдается у всех операторов, которых мы изучали. Разница лишь в том, что на этот раз кто-то наблюдал за происходящим и снимал это на камеру.
У нас есть не хочу клеветать на NameSilo. Нас не интересует курс их акций. Мы опубликовали один твит — чтобы посмотреть, как они отреагируют. И это сработало: один из их инвесторов попытался раскрыть личные данные исследователя, а затем удалил эти твиты. NameSilo ответило тем же шаблонным ответом, который подтвердил их примитивное и предсказуемое поведение — точно такое же, как у оператора. Наша цель отражена в нашем названии: PhishDestroy. Мы боремся с фишингом. Вот и всё.
Мы пожертвовали своим аккаунтом в Twitter — более 200 тысяч твитов, многолетние доказательства — потому что этого требовало расследование. Мы надеемся, что в ходе этого процесса будет восстановлено всё, что было скрыто, ведь каждый удалённый твит, каждая удалённая ссылка, каждая статья, исключённая из поисковой системы, — это само по себе доказательство, подлежащее проверке. Каждая платформа, на которой нас блокировали, ведет учет. На протяжении десятилетия им удавалось удалять из результатов поиска всю негативную информацию — это подтверждает наш SEO-анализ. Они оставляли только то, что было им выгодно.
Мы опубликовали две статьи на Medium. В статье № 1 упоминался только xmrwallet — о NameSilo не было ни слова. Статья № 2 была специально оптимизирована для поисковых систем с акцентом на NameSilo. Оба были исключены из индекса. На нашем собственном сайте — та же ситуация: контент исключительно о xmrwallet и контент конкретно о NameSilo. Более 20 ссылок на каждое ключевое слово, и все они подавлены. Если NameSilo и оператор не связаны между собой — кто же очищает результаты поиска по NameSilo? Оператор, который заботится о репутации своего регистратора? Не так устроены независимые организации.
В каждом опубликованном нами анализе содержалось предупреждение о регистраторе и правдивая информация о его действиях. Им это не понравилось. Но то, что они считают «битвой» — наши публикации против их попыток удалить их — Это никогда не было сражением. Это была заранее спланированная операция. Каждая такая акция была спланирована с одной целью: заставить их самих собрать доказательства против себя. Они думают, что реагировали на атаки. На самом деле они реагировали на приманку. Каждый запрос на удаление, каждое исключение из индекса, каждый запрос по закону DMCA — доказательства, которые они сами сфабриковали против себя.
Monero невозможно отследить. В блокчейне не остаётся никаких следов. Традиционные методы расследования здесь не работают. Поэтому мы приспособились: Если мы не можем проследить за деньгами, мы прослеживаем поведение. Мы стали их мишенью, чтобы они продемонстрировали эту схему. Охотник не гонится по лесу за неуловимой добычей — он расставляет ловушки и ждёт. Они попались в каждую из них.
Децентрализованная инфраструктура и снижение рисков
Потому что мы — это не один человек. 4 и более исследователей работали над этим расследованием. Свою лепту внесли и сами потерпевшие. Правоохранительные органы нескольких стран были проинформированы. Доказательства хранятся в IPFS — в неизменяемом, децентрализованном хранилище с автоматизированным мониторингом. Если какой-либо зеркальный сервер выходит из строя, новый запускается автоматически.
Они думают, что удаление ссылок приведет к исчезновению доказательств. Нет. Это лишь привносит новые доказательства. Каждое удаление фиксируется в журнале. Каждая попытка сокрытия становится еще одним доказательством в деле.
Публикация на dev.to — перепост, выполненный с целью создания нескольких записей о подавлении на разных платформах.
Оценка угроз для оператора
Оператор прислал нам электронное письмо: «Я нанял адвоката и частного детектива». Ни один адвокат не появился. Ни один частный детектив не появился. А вот что появилось: требования об удалении контента по закону DMCA, массовые жалобы, DDoS-атаки со стороны njal.la (реселлера NameSilo) и скоординированные манипуляции с отзывами на Trustpilot. Каждая угроза, каждое действие, каждая временная метка — все зафиксировано.
Google Search Console — каждый домен, который вы здесь видите, был создан с одной целью: чтобы его удалили. И их удалили. Все до единого.
Посмотрите на этот скриншот. Каждый поддомен Azure, каждый URL статьи — Мы создали их специально для того, чтобы о них сообщили и их удалили. Зачем кому-то создавать дюжину копий одного и того же контента на разных платформах? Потому что нам нужно было подать дюжину отдельных запросов на удаление. Каждый запрос регистрируется платформой. Каждая запись содержит данные о личности заявителя, его IP-адрес, отметку времени и метод запроса. Платформы хранят записи об удалении контента в соответствии с DMCA и GDPR в течение многих лет.
Они не задумывались. Увидев негативный контент, они нажимали кнопку «Пожаловаться». И в случае с NameSilo, и с xmrwallet. Один и тот же сценарий, одна и та же скорость, одни и те же платформы. Они ни разу не остановились, чтобы спросить: Почему PhishDestroy продолжает создавать новые ссылки? Почему «сумасшедший волонтёр» продолжает изготавливать зеркала, которые постоянно удаляют? Потому что каждое удаление — это доказательство. Каждая жалоба по закону DMCA — это криминалистический отпечаток. И когда следователи вызовут в суд Google, Bing, Twitter, Trustpilot и Medium — шаблон для обеих организаций будет одинаковым. Тот же заказчик. Тот же метод. Тот же график. Это не две не связанные между собой компании. Это одна операция.
Мы расследовали сотни мошеннических схем. Ни один из них не выглядел так. Большинство фишинговых злоумышленников, когда их разоблачают, сбегают, скрываются или перестают действовать. Но эти — нет. Они поступили наоборот:
Именно это делает данное дело интересным с точки зрения криминалистики. Это одинаковая схема подавления как в NameSilo, так и в xmrwallet — вот тот «отпечаток», который мы и стремились зафиксировать. Нам не нужно было доказывать связь с помощью электронных писем или платежей — мы доказали её с помощью анализа поведения. Мы задали им цели. Они достигли их абсолютно одинаково для обеих организаций — на тех же платформах, с той же скоростью, теми же методами. Именно эта модель поведения и является доказательством. И это единственное, что они не могут удалить, потому что это зафиксировано в журналах платформы каждой компании, в которую они на нас пожаловались.
Отравление базы данных и загрязнение телеметрических данных
Поскольку Наша цель — защищать людей — и пока сайт xmrwallet.com работал, люди теряли деньги. Мы создали скрипт Cloudflare Workers, который непрерывно вводил данные кошельков на каждый домен xmrwallet (.com, .me, .cc, .biz, .net) — в те же поля ввода, куда реальные жертвы вводят свои настоящие ключи. Если это легитимный кошелек на стороне клиента (как они утверждают), это ни на что не влияет. Ввод семенной фразы в официальном кошельке обрабатывается локально. Здесь нечего «атаковать».
Однако сайт xmrwallet.com похищает каждую введенную семенную фразу. Мы провели систематическую операцию по «отравлению» данных, внедрив 21 миллион криптографических ложных данных в сделать похищенные наборы данных бесполезными с оперативной точки зрения. Мы бы не остановились. Пока сайт не был бы полностью выведен из строя. Независимо от того, добавили бы они hCaptcha, Cloudflare Turnstile или что-то ещё — мы бы продолжали вводить адреса кошельков и защищать людей от них. Именно это и означает наше название.
Наши кошельки не просто авторизовались и ушли. Каждый сеанс моделирование реалистичного поведения пользователя — переход по ссылкам, перемещение по страницам, ожидание в течение различных промежутков времени, имитация поведения разных типов пользователей (исследователь, отправитель, опытный пользователь, новичок, параноик). Мы понимаем, как работают аналитические системы — и сайт xmrwallet.com работает Google Analytics, Google Tag Manager и пиксель отслеживания Google на «анонимном» кошельке. Наши сеансы были построены с использованием надежной рандомизации, поэтому оператор не смогли отличить наши записи от данных о реальных жертвах по поведению сеанса, временным параметрам или схемам навигации. Каждый украденный кошелек в их журналах — это лишь одна соломинка в нашем огромном стоге сена.
После того как наш инструмент проработал несколько недель, оператор добавил CAPTCHA — примитивную квадратичную задачу для защиты от перебора, которую можно решить за ~0,1 секунды с помощью Python. В легальном кошельке при вводе семенной фразы не требуется ввод CAPTCHA. У Ledger его нет. У Trezor его нет. У MyMonero его нет. Ни у одного надежного кошелька его нет — потому что надежные кошельки обрабатывают седы локально. Единственная причина добавить CAPTCHA — это если вы сбор и регистрация всех входных данных на стороне сервера. Сама по себе CAPTCHA является доказательством существования механизма кражи.
Мы ожидали, что они внедрят настоящее решение — hCaptcha, Cloudflare Turnstile, что-нибудь достойное. Но они этого не сделали. Вместо этого они внедрили тривиальную задачу, которую можно решить методом перебора за 0,1 секунды. Это говорит само за себя об их техническом уровне. Они защищали свой канал незаконного оборота, а не своих пользователей.
xmrwallet.com: 4 743 сеанса · xmrwallet.me: 114 031 сеанс. Пример журнала данных одного прогона. Инструмент неоднократно перезапускался и обновлялся — при удалении или изменении доменов, а также при внедрении CAPTCHA. Общий объем полных журналов за все циклы работы составляет примерно 21 миллион успешных записей по всем доменам xmrwallet, февраль — апрель 2026 года. Полный набор данных предоставляется правоохранительным органам по запросу.
5.4 Общий показатель RPS по всем мероприятиям — но не более 1 авторизации каждые 7–10 секунд. Для кошелька, работающего на стороне клиента, это же не проблема, верно? Если только он не работает на стороне сервера. Если только они не регистрируют каждый входной транзакции. Если только они не крадут всё и не ведут полный журнал. А именно это они и делают.
Это нападение? Нет. Мы ввели данные в общедоступную веб-форму. И всё. Мы не обходили аутентификацию, не использовали уязвимости, не получали доступ к системам, к которым не должны были. Мы использовали сайт именно так, как и предполагалось — в качестве «кошелька». Если сайт работает так, как заявлено (только на стороне клиента), то введенные нами данные не имеют никакого значения. Если же введенные нами данные имеют для них значение — что доказывает существование механизма кражи.
Мы официально уведомили DDoS-Guard (их хостинг-провайдера) о характере нашей деятельности, описали механизм сбора сед-фраз и предоставили IP-адреса серверов. Они ни разу не связались с нами, не высказали никаких возражений и не просили нас прекратить деятельность. Молчание — значит, проблем нет. Наш скрипт потреблял менее 50 МБ оперативной памяти и работал со скоростью 5,4 запроса в секунду — менее 1 % от мощности сервера. Мы примерно знаем, какой сервер они использовали. Наш трафик оставался незаметным.
А вот и самое интересное. Как «частный кошелек на стороне клиента», xmrwallet.com заявляет, что не ведет журналы. Но если они сделать ведут журналы (потому что они воруют), и теперь у них примерно столько же записей, сколько у нас — 21 миллион. А что, если они пытаются обработать, оценить и опустошить каждый кошелек? Это 21 миллион кошельков Monero, которые нужно просканировать, загрузить и проверить их остатки. Вычислительные затраты на проверку 21 миллиона кошельков огромны. Каждый пустой кошелек — это пустая трата времени и ресурсов. Кошелек каждой реальной жертвы теряется в «стоге сена» из наших записей. В этом-то и был весь смысл.
Хотите обвинить нас в нападении? Запросите наши журналы. Мы предоставим гигабайты данных, подтверждающих, что в ваш «легитимный кошелек на стороне клиента» было введено 21 миллион семенных фраз. Объясните суду, почему кошелек на стороне клиента регистрировал, обрабатывал и пытался использовать все эти фразы.
По всем доменам xmrwallet (.com, .me, .cc, .biz, .net) наш инструмент зафиксировал примерно 21 миллион успешных операций с кошельком. Под «успешным» подразумевается, что сайт xmrwallet.com принял семенную фразу, обработал её на стороне сервера и попытался получить доступ к кошельку — точно так же, как это происходит с реальными жертвами. У нас есть журналы регистрации каждого такого случая. Каждая запись является подтверждением того, что сайт собирает и обрабатывает семенные фразы на стороне сервера. Если бы это действительно работало «исключительно на стороне клиента», то нечего было бы регистрировать, нечего было бы обрабатывать и не было бы никаких оснований добавлять CAPTCHA, чтобы нас остановить.
Ирония заключается в том, что: они пытались защитить свой механизм кражи, вместо того чтобы защитить самих себя. Они добавили CAPTCHA, чтобы продолжать воровать. А им следовало бы готовиться к судебной защите. Каждое решение CAPTCHA, каждый запрос DDoS-Guard, каждая сессия на стороне сервера — всё это регистрировалось с отметкой времени. Они были настолько заняты тем, чтобы отстаивать своё право грабить людей, что забыли: кто-то всё это записывал.
В семенных фразах Monero не хранится дата создания кошелька (высота восстановления). Это ставит злоумышленника перед серьёзной дилеммой: если он будет сканировать только недавние блоки, то упустит из виду более старые кошельки, которые могут содержать огромные суммы. Мошенники жадны. Чтобы гарантировать, что они не пропустят долгосрочных держателей, им приходится просматривать всю цепочку блоков Monero — от генезис-блока 2014 года до настоящего момента — в поисках каждой отдельной семенной фразы.
Даже при наличии оптимизированной инфраструктуры и локальных узлов полное криптографическое сканирование цепочки занимает примерно От 2 до 5 минут высокой нагрузки на процессор на каждый кошелек.
Мы создали абсолютная вычислительная асимметрия: на создание и внедрение достоверной ложной цели у нас уходят миллисекунды, но для их проверки им приходится затрачивать реальные инфраструктурные ресурсы, тысячи долларов на оплату серверов и подвергаться огромному операционному риску. Мы не просто загрязнили их базу данных — они использовали их собственную жадность в своих целях, чтобы довести их вычислительные ресурсы до состояния банкротства.
Именно поэтому некоторые считают наши методы агрессивными. Мы же считаем их пропорциональным и полностью этичным. Никаких прокси-серверов. Никаких ботнетов. Никаких платных услуг по организации атак. Никакой незаконной инфраструктуры. Никакого сотрудничества с поставщиками «серого рынка». Всё работает на стандартных Cloudflare Workers — облегчённых, легальных и прозрачных. Нам не нужны дорогостоящие или незаконные инструменты для защиты людей. Простые, законные решения более эффективны — и они выдерживают проверку в суде.
Google Search Console — данные об индексации и производительности сайта phishdestroy.github.io/DO-NOT-USE-xmrwallet-com.
Здесь нет компромисса.
Сайт либо является мошенническим, либо нет. Здесь нет середины. Нам все равно, кто на этом наживается, сколько они платят и кто их защищает. Этот оператор — преступник. Регистратор либо не знал (халатность), либо знал (соучастие). Доказательства указывают на последнее.
Вы специально делали ошибки?
Да. Мы намеренно оставленные видимые маркеры ИИ и заимствовали модели поведения из других расследований — мелкие ошибки, которые вселяли в оператора и регистратора уверенность в успехе их кампании по подавлению информации. Мы хотели, чтобы они нас недооценивали. Мы хотели, чтобы они нажимали кнопку «сообщить», будучи полностью уверенными, что это сработает, что мы — дилетанты, которые сдадутся. Каждая решительная мера по подавлению, которую они предприняли, теперь представляет собой вещественное доказательство с отметкой времени. Подробности будут опубликованы в готовящейся к выходу научной статье, посвящённой криминалистической экспертизе онлайн-мошенничества — в частности, методам определения поведенческих «отпечатков» мошенников.
Какова конечная цель?
Доказательства были представлены Соблюдение договорных обязательств ICANN и федеральные правоохранительные органы. Расследование продолжается по официальным каналам. Этот архив создан для того, чтобы ничего не могло быть удалено, изменено или скрыто. Каждое заявление подтверждается. Каждый скриншот защищен хэш-кодом. Каждое действие фиксируется.
Если они отрицают удаление отзывов — мы предоставляем скриншоты из Wayback Machine. Если они отрицают игнорирование жалоб — мы предоставляем подтверждения о доставке. Если они отрицают наличие связи — мы предоставляем отметки времени PR Newswire, совпадения по схеме подавления информации и записи о покупке доменов.
Они убрали 30–50+ ссылок из результатов поиска в Google, Bing и на множестве платформ — в отношении обеих организаций. Это доказывает одно из двух: либо они необыкновенно глупы и не понимают, что каждый запрос на удаление записывается в журнал и оставляет след, который можно проследить с помощью криминалистической экспертизы, либо у них есть постоянная договоренность с кем-то об удалении негативного контента. В любом случае, эти журналы существуют, схема действий у обеих компаний одинакова, и все эти данные могут быть истребованы по судебному предписанию. Все это расследование было задумано именно для того, чтобы получить именно этот набор данных — как для научной статьи, так и для правоохранительных органов.
Это никогда не было перепалкой. Это материалы дела.
PhishDestroy Medium profile — одна из многочисленных платформ для публикации, используемых для документирования и распространения доказательств.
Каждое из приведенных выше утверждений подкреплено общедоступными доказательствами. Начнем с наиболее резонансных дел:
Исследовательская группа PhishDestroy
Независимая инициатива по борьбе с фишингом — основана в 2019 году
← Вернуться на PhishDestroy · Архив новостей · abuse@phishdestroy.io
ФишУничтожить