# PhishDestroy — ru/trustwallet-panel-exposed ================================================================ Title: Фишинг Trust Wallet: $239 тыс. и 6 операторов | PhishDestroy Canonical: https://phishdestroy.io/ru/trustwallet-panel-exposed Published: 2026-03-01T00:00:00 Updated: 2026-03-01 Author: PhishDestroy Research Schema: Organization, ImageObject, ContactPoint, WebSite, SearchAction, EntryPoint, NewsArticle, BreadcrumbList, ListItem, WebPage OG image: https://phishdestroy.io/assets/images/covers-v4/trustwallet-panel-exposed.webp ## SUMMARY ---------------------------------------------------------------- TrustWalletPanel: 14 месяцев фальшивый чат поддержки выманивал сид-фразы и депозиты. Уязвимость IDOR раскрыла 1 900 диалогов, $239 тыс. потерь и 6 операторов. ## STRUCTURE ---------------------------------------------------------------- - Раскрыта фишинговая группировка, атаковавшая Trust Wallet: похищено 239K долларов, установлены личности 6 участников - Резюме - Как работает эта афера: схема атаки - Финансовый ущерб: крупнейшие подтвержденные убытки - Фактический ущерб, вероятно, намного выше - Идентификация оператора - Основной оператор: Василий Навроцкий - Участники группы, упомянутые в логах чата - Приёмы социальной инженерии - Ирония - Воронка вовлечения жертв - Анализ инфраструктуры - Архитектура основного домена: tttadmin.com - Хостинговая инфраструктура - Фишинговые домены (сменяющиеся) - Критические уязвимости в системе безопасности - 11 Конечных точек API без аутентификации - Возможности панели администратора (анализ исходного кода) - Обнаружена исследовательская деятельность третьих лиц - В чате № 1 обнаружен полезный груз обратного шелла - Хронология операции - Рекомендации для пользователей - Полный технический отчет с журналами чата - Поделиться этим расследованием - Связанные расследования ## CONTENT ---------------------------------------------------------------- Вернуться к новостям РАССЛЕДОВАНИЕ АКТУАЛЬНОЙ УГРОЗЫ Раскрыта фишинговая группировка, атаковавшая Trust Wallet: похищено 239K долларов, установлены личности 6 участников tttadmin.com · Мошенничество в чате · IDOR · 14 месяцев активности · март 2026 года Время чтения: 9 минут· Обновлено Март 2026 года· PhishDestroy Research Слушать статью 0:00 / --:-- Скачать в формате PDF — Официальный отчет На этой странице01 / 12 1,900 Сеансы общения с жертвами $239K+ Подтверждено: кража (USDT/ETH/BTC) 21 Выявлены кошельки мошенников 6 Именованные операторы Резюме В данном расследовании приводятся данные о TrustWalletPanel — сложная фишинговая операция, в ходе которой злоумышленники выдавали себя за Trust Wallet, используя домен бэкэнда tttadmin.com. Выдвижение в качестве кандидата на 14 месяцев (январь 2025 г. — февраль 2026 г.) в ходе этой операции злоумышленники нацеливались на пользователей криптовалют через поддельный чат службы поддержки, выманивая у них сед-фразы и требуя пополнения счетов под ложными предлогами «соблюдения требований OFAC» и «замены активов». Все 1 900 переписок с жертвами были извлечены с помощью критической уязвимости IDOR. Личность главного организатора операции была раскрыта. Как работает эта афера: схема атаки Эта операция осуществляется в соответствии с тщательно разработанной 5-этапной схемой, направленной на извлечение максимальной выгоды из каждой жертвы: Этап 1 Открытие — Жертвы находят фишинговый домен через группы в Telegram, в результате романтического мошенничества (под ником «София») или в результатах поисковых систем Этап 2 Поддельный кошелек — Фишинговый сайт имитирует интерфейс Trust Wallet; перехватывает мнемоническую фразу и пароль при «создании кошелька» Этап 3 Триггер «Онлайн-чат» — Попытки вывода средств намеренно заканчиваются неудачей; в чате оператор отображается как «Служба поддержки Trust Wallet» Этап 4 Социальная инженерия — Операторы заявляют, что активы были заморожены из-за нарушений требований OFAC и AML, и требуют внесения депозитов в криптовалюте для «замены» или «подтверждения» Этап 5 Повторная экстракция — Постоянные требования о дополнительных платежах с использованием тактики создания ощущения срочности и давления в виде установленных сроков Финансовый ущерб: крупнейшие подтвержденные убытки ↔ Идентификатор чата | Сумма | Актив | Контекст #1795 | 197 000 USDT | TRON (TRC-20) | Взял у бывшей жены #481 | ~45,77 ETH | Эфириум | Несколько вкладов #965 | ~16 000 USDT | USDT | Последовательные вклады #720 | 8 000 USDT | TRC-20 | Однодневный трансфер #1090 | 5 839 USDT | USDT | Мать-одиночка, подтвержденная утрата #1430 | ~3 686 USDT | USDT | Два отдельных месторождения #92 | 3 340,23 USDT | USDT | Подтверждена точная сумма #1089 | 0,3201 BTC | Биткойн | Из аппаратного кошелька Ledger Фактический ущерб, вероятно, намного выше Это непроверенные данные, полученные из логов чатов. Многие жертвы никогда не указывали суммы. Из-за смены кошельков подсчитать общие суммы в цепочке блоков невозможно без полного отслеживания всей цепочки. Идентификация оператора Основной оператор: Василий Навроцкий Параметр | Значение Полное имя | Василий Навроцкий (Василий Навроцкий) Идентификатор в Telegram | 6005741623 Текущий дескриптор | @Addmeks История имен пользователей | @Slo221, @Li_Sin_main, @Handert, @Surr2201, @surr2204 Период действия | Июль 2023 г. — май 2025 г. Отслеживаемые сообщения | 249 в 61 группе Telegram Ключевые группы | Binance RU (34), P2P LAB (9), Trust Wallet RU (6) Участники группы, упомянутые в логах чата 👤 Лёха / Алексей Основной оператор чата 👤 Дима Оператор (чат № 92) 👤 Максим Оператор (чат № 446, 201 сообщений) 👤 Андрей Оператор (чат № 579) 👤 Александр Рекрутер в Telegram 👤 София Образ, используемый в романтическом мошенничестве Приёмы социальной инженерии ↔ Тактика | Сообщения | Описание Мошенничество с использованием поддельного приложения Trust Wallet | 1,905 | Выдавая себя за официальную службу поддержки Trust Wallet Заявления о заморозке/блокировке кошелька | 360 | Сообщение о блокировке кошелька из-за «подозрительной активности» Предложения по замене активов | 305 | Обещание «возместить» замороженные активы после внесения депозита Угрозы введения санкций со стороны OFAC | 210 | Ложные утверждения о санкциях Министерства финансов США в отношении кошелька Требования о внесении залога для разблокировки | 185 | Требование внесения депозита в криптовалюте для «разблокировки» кошелька Поддельные предложения по стейкингу | 161 | Настраиваемые пулы стейкинга с индивидуальной годовой доходностью (APY) в панели администратора Обвинения в связи с противодействием отмыванию денег и борьбой с финансированием терроризма | 66 | Обвинение жертв в отмывании денег Ирония Русскоязычные мошенники, нацеленные на русскоязычных жертв (51 % чатов на русском языке), угрожающие Санкции Управления по контролю за иностранными активами (OFAC) Министерства финансов США — механизм регулирования, не учитывающий географические особенности их аудитории. Социальная инженерия на основе шаблонов, а не понимание контекста. Воронка вовлечения жертв Первые сеансы 1,900 100% Ответил в чате 679 35.7% Активная вовлеченность (10 и более сообщений) 175 9.2% Подтвержденные переводы средств ~20 1% Языки: Русский 51 % (3 013 сообщений) · Английский 40 % (2 995 сообщений) · Другие языки 9 % (365 сообщений) Пик активности: Ноябрь 2025 года (959 сообщений). Рабочие часы: 10:00–13:00 UTC, в выходные дни — на 40 % меньше. Анализ инфраструктуры Архитектура основного домена: tttadmin.com IDORАВТОРИЗАЦИЯ ОТСУТСТВУЕТРАСКРЫТЫ ИСТОЧНИКИ КАРТCORS НАСТРОЕН НЕПРАВИЛЬНО Компонент | Подробности API «Жертва» | appp.tttadmin.com Административный интерфейс | core.tttadmin.com / app.tttadmin.com Статическая CDN | static.tttadmin.com Стек бэкенда | Java Spring Boot + Spring Security, JWT RS256 База данных | PostgreSQL (JPA/Hibernate) Фронтенд | React CRA + Material UI (восстановлено 339 исходных файлов) Веб-сервер | nginx/1.18.0 (Ubuntu) Хостинговая инфраструктура ↔ IP | Местоположение | Поставщик | Роль 45.144.30.6 | Москва, Россия | UFO Hosting (AS33993) | В первую очередь ориентированные на пострадавших 2.56.178.117 | Москва, Россия | UFO Hosting (AS33993) | Начальный этап (январь–февраль 2025 г.) 185.170.198.121 | Вильнюс, Литва | Hostinger (AS47583) | Фронтенд для фишинга 69.10.62.71 | Нью-Йорк, США | Interserver (AS19318) | Ориентированный на жертву 69.49.231.166 | Атланта, штат Джорджия | Сетевые решения | Текущий первичный сервер — все *.tttadmin.com 94.131.121.154 | Москва, Россия | UFO Hosting (AS33993) | Фишинг 146.185.239.62 | Мадрид, Испания | GTHost (AS63023) | Вторичный (казино + Next.js) Фишинговые домены (сменяющиеся) ALIVE (Cloudflare) wallet-premium.com PARKED (Epik) trustarter.io ОТКЛЮЧЕНО trust-multi-chain.com trust-multichain.com trust-multi.online coinbridge.online premium-trust.com СЕТЕЙ, ПОДГОТОВЛЯЮЩИЕ ЖЕРТВ К РОМАНТИЧЕСКИМ МОШЕННИЧЕСТВАМ rynova-qw.shop Критические уязвимости в системе безопасности Инфраструктура мошеннической панели была полна уязвимостей, благодаря которым полный вывод данных не представлял никакой сложности: 11 Конечных точек API без аутентификации # IDOR - enumerate all 1,900 chats by sequential ID POST /chat/get → Полная стенограмма чата, без указания автора# Returns latest victim session data POST /session/get → Утечка мнемоники + пароля# Inject messages into any victim chat POST /message/save → Авторизация не требуется# Create fake victim sessions POST /session/init → Сохраняет фразы-семена# Full system config POST /system/get → swap_percent, status_support# All token/network config (174KB) POST /network/get → Полные данные о сети POST /token/info/get/all → Актуальные котировки на CoinMarketCap POST /stake/get/all → Настройки пулов стейкинга# Admin login - no rate limiting POST /admin/sign-in → Неограниченный перебор методом «грубой силы» IDOR в /chat/get Все 1 900 чатов доступны для просмотра без авторизации Раскрыты карты источников Восстановлено 339 исходных файлов (3,4 МБ) Неправильная настройка CORS Отражает любой источник с учетными данными Без ограничения частоты запросов Неограниченное количество попыток подбора пароля для входа в админ-панель Возможности панели администратора (анализ исходного кода) Из утечек исходных карт производственной среды было восстановлено 339 исходных файлов (main.3924229a.js.map). В состав панели входят: Менеджер кошельков Просмотр/редактирование всех кошельков пострадавших с помощью мнемонических фраз Онлайн-чат (опрос длительностью 1 секунду) Чат с жертвой в режиме реального времени от имени «Службы поддержки Trust Wallet» Контроль транзакций Изменить статус, внести фиктивные транзакции Пулли для стейкинга Индивидуальные ставки APY, сроки фиксации, фиктивная доходность Обнаружена исследовательская деятельность третьих лиц В чате № 1 обнаружен полезный груз обратного шелла Было обнаружено, что полезный груз обратного шелла, закодированный в формате Base64, был внедрён через неавторизованный /message/save конечная точка на 6 мая 2025 года — примерно за 10 месяцев до начала данного расследования. Это свидетельствует о том, что уязвимости в течение длительного времени были доступны для публичного использования, и другой исследователь обнаружил их задолго до нас. Хронология операции Январь 2025 года Появились первые сообщения о жертвах (845 сообщений). Инфраструктура расположена на московских IP-адресах. Май 2025 года Независимый исследователь обнаружил уязвимость IDOR и внедрил полезную нагрузку в виде обратного шелла Ноябрь 2025 года Пик активности: 959 сообщений за один месяц. SSL-сертификаты продлены. Февраль 2026 года Выдан последний сертификат. Сервис по-прежнему активен, создаются новые сеансы. 1 марта 2026 года Опубликованы результаты расследования PhishDestroy. Все 1 900 чатов были извлечены и проанализированы. Рекомендации для пользователей Никогда не разглашайте фразы-семена через чат, электронную почту или любой другой канал поддержки — Trust Wallet никогда не будет запрашивать эти данные Проверить контактные данные службы поддержки исключительно через официальные каналы Trust Wallet Выявление угроз, связанных с OFAC и AML в качестве типичных предлогов для мошенничества — легальные сервисы не блокируют кошельки через чат Сообщить о фишинговых доменах команде по безопасности Trust Wallet и PhishDestroy [https://t.me/PhishDestroy_bot] Используйте аппаратные кошельки для подписи при снятии средств с целью предотвращения несанкционированных переводов Проверить состояние кошелька через историю транзакций в блокчейне, а не через какой-либо «вспомогательный» интерфейс Полный технический отчет с журналами чата Полные данные расследования, включая все стенограммы чатов, адреса кошельков, анализ операторов и интерактивные визуализации Просмотреть полный отчет на GitHub → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/] Просмотреть все 1 900 стенограмм чатов → [https://phishdestroy.github.io/ScamIntelLogs/TrustWalletPanel/chats.html] (GitLab [https://phishdestroy.gitlab.io/ScamIntelLogs/TrustWalletPanel/chats.html]) Поделиться этим расследованием X / Twitter [https://twitter.com/intent/tweet?text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators&url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Telegram [https://t.me/share/url?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&text=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] Reddit [https://reddit.com/submit?url=https%3A//phishdestroy.io/trustwallet-panel-exposed&title=Trust%20Wallet%20Phishing%20Panel%3A%20%24239K%20Stolen%2C%206%20Operators] LinkedIn [https://www.linkedin.com/sharing/share-offsite/?url=https%3A//phishdestroy.io/trustwallet-panel-exposed] Связанные расследования ТЩАТЕЛЬНОЕ РАССЛЕДОВАНИЕ Набор инструментов «Crypto Drainer»: раскрыты имена реселлеров «Angel Drainer» РАССЛЕДОВАНИЕ Разоблачение BUYTRX: 55 доменов и схема похищения средств через TRON Approval ТЩАТЕЛЬНОЕ РАССЛЕДОВАНИЕ Анализ криптофишинга: реверс-инжиниринг 8 реальных программ для кражи семенных фраз ## EXTERNAL REFERENCES ---------------------------------------------------------------- t.me (3 mentions) github.com (2 mentions) gitlab.com (2 mentions) phishdestroy.github.io (2 mentions) phishdestroy.gitlab.io (1 mention) twitter.com (1 mention) reddit.com (1 mention) www.linkedin.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/ru/trustwallet-panel-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.