Pinatay ng NameSilo ang aming Twitter Dahil Ipinagbigay Namin ang Katotohanan Tungkol Sa Kanila

Ang mga Resibo: Naglalabag ang X sa Sarili Nito sa Pagsulat

Dalawang opisyal na email mula sa X Support. Iisang account. Iisang apela. Magkasalungat na desisyon. Ang pangalawa ang mas bago. Basahin ang mga ito ayon sa pagkakasunod-sunod.

Ang Email #2 ang mas kamakailang desisyon. Ito ay malinaw na nagpapatali ng Email #1. Sinasabi nito — sa nakasulat, sa sariling letterhead ni X — na ang account ay naibalik sa buong kakayahan. Hindi naibabalik ang account. Patuloy na ibinabayaran ang bayad na suskripsyon. Walang ikatlong email na nagpapatalas ng Email #2. Ang pinakabagong pangako ng X sa amin ay simpleng hindi pinagpapalaki.

Bakit Ito Nagyari

Noong Marso 27, inilathala namin Ang Pagtatapos ng xmrwallet[.]com: Nagsinungaling ang NameSilo Upang Protektahan ang Isang Mangingagapang ng Crypto. Nakararanas ng pag-uulit ang paglalarawan: mga dump ng PHP endpoint, mga archived na pahayag, at 15+ na naidokumentong biktima. Tinukso ng tatlong peer registrar (India, Malaysia, China) ang parehong ebidensya at pinatay ang kanilang xmrwallet mga domain sa loob ng ilang araw. Ang NameSilo lamang ang nagpatuloy na nagpamuhunan sa tagapag-aksaya.

Mahalaga ang nangyari pagkatapos nito. Mahalaga ang pagkakasunod-sunod:

1. Ang scammer ang unang nag-email sa amin nang direkta. — bago ang anumang pampublikong pahayag ng NameSilo, bago ang anumang apela ang isinumite. Ang kanyang email ay nagpaalala sa amin na “magkaroon ng kaso laban sa registrar.” Hindi iyon ang uri ng pangungusap na isinusulat ng isang nag-iisang tagapagpangamba sa isang mananaliksik na naghahanap sa kanya. Iyon ay ang uri ng pangungusap na isinusulat ng isang tao na alam na ang registrar ay magpapatunay sa kanya. Hindi namin nakita ang ganitong reaksyon mula sa anumang ibang scammer na namin na-dokumentuhan.
2. Pagkatapos ay inilabas ng NameSilo ang isang pampublikong pahayag na naglalaman ng dalawang patunayang maling pahayag, na itinuturing na eksaktong salita at nakatago sa aming Medium na pagsusuri:
   • Na-compromise ang domain ilang buwan na ang nakalilipas — na pinagtatalunan ng katotohanang ang sariling code ng operator para sa pagpapakasala ay nagsasagawa pa rin sa production noong panahon ng pahayag ng NameSilo.
   • Bago naman iyon, wala kaming natanggap na mga ulat ng pang-aabuso. — na laban sa aming mga resibo ng paghatid ng maraming nakaraang ulat ng pang-aabuso na may buong teknikal na ebidensya.
   Nasabi rin sa parehong pahayag: Nagtatrabaho ang Registrant upang maalis ang kanyang talaan mula sa mga ulat ng VT, na kumpirmado ang ekspisitong suporta ng NameSilo sa pagtatangkang alisin ng operator ang mga deteksyon ng VirusTotal habang aktibo pa ang code ng pagnanakaw.
3. Sa parehong pahayag, tinanggihan ng NameSilo ang aming pananaliksik bilang hindi seryoso at inilagay sa publiko ang tulong upang matanggal ang mga deteksyon ng mga vendor ng seguridad (VirusTotal, Fortinet) para sa operator — habang aktibo pa rin ang code ng pagpang-aapi.
4. Kami sumagot nang batay sa katotohanan sa pampublikong pahayag na iyon. Walang pagpapahirap. Walang spam. Walang doxing. Inayos namin ang talaan sa parehong venue na pinili ng NameSilo.
5. Pitong araw na ang nakalipas, Nalock ang dalawang PhishDestroy X account. Naibanggit na dahilan: “bayad.” Naubos ang mga subscription. Noong Abril 14, nagbago ang dahilan tungo sa “mga hindi autentikong gawain.” Pagkatapos ng apil, nagbago ulit ang dahilan tungo sa “walang paglabag, naibalik.” Ang lock, at ang mga hindi naibalik na bayad, ay hindi nagbago sa kabuuan.

May koneksyon ba ang NameSilo at ang Scammer?

Ang xmrwallet[.]com Sumagot ang operator ng mga ulat ng pang-aabuso nang may kumpiyansa, nag-tweet kasama ang registrar gamit ang mga koordinadong punto ng usapan, at hindi niya ilipat ang domain sa loob ng sampung taon ng mga reklamo. Hindi ganito ang ugali ng mga matakot na tagapagpang-aapi. Ganito ang ugali ng mga tagapagpang-aapi na may kasunduan.

Sa mahigit daang kaso ng mga operator ng phishing na aming naidokumento, hindi namin nakita ang partikular na sekvensyang ito bago:

Hindi ang istraktura ng operator na ito ay galing sa isang hobbyist. Ayon sa aming Katamtam na paglalarawan, xmrwallet[.]com nakabase sa Bulletproof hosting na $550 kada buwan sa pamamagitan ng IQWeb FZ-LLC (nakarehistro sa Belize), sa likod DDoS-Guard (Rusya). Ito ay isang propesyonal, naka-prepare, at anti-abuse na stack — hindi lamang isang one-off na scam page. Isang solong operator na gumagamit ng naka-prepare na bulletproof infrastructure habang pinagbibigyan din ng pampublikong pahayag sa kanyang panlaban ng kanyang registrar, ay sa minimum, isang hindi karaniwang koordinadong operasyon.

Hindi nating maaaring patunayan ang ugnayan mula sa labas ng mga talaan ng NameSilo. Ang mga internal na talaan nila lamang ang kayang gawin iyon. Ngunit batay sa mga nakikitang ebidensya, dalawang paliwanag pa rin ang nananatili: o ang operator ang pinakakumpiyansadong crypto scammer ng nakaraang dekada at tama siyang naglaban na ang registrar niya ay magiging kalasag sa kanya mula sa instinto — o Mayroong hindi pa ipinaliwanag na ugnayan sa pagitan nila. Ang unang bagay ay karapat-dapat sa pagsusuri ng publiko. Ang ikalawa ay karapat-dapat sa subpoena. Ang mga ahensya ng pagsasagawa ng batas sa mga hurisdiksyon ng EU ay kasalukuyang nagsasagawa ng pagsusuri sa pinagmulang kaso.

Diretong Ebidensya: Ano ang Sinabi ng NameSilo sa Publiko kumpara sa Ano ang Tunay na Pangyayari

Ang mga talata sa itaas ay naglalarawan ng isang pattern. Ang seksyong ito ay nagdokumento ng mga tiyak na katotohanang magkasalungat sa mga pampublikong pahayag ng NameSilo at sa aming sariling mga talaan mula sa unang kamay. Hindi namin hinaharap ang sinuman na maniwala sa amin sa pamamagitan ng pananampalataya lamang — bawat item sa ibaba ay maaaring beripika laban sa mga arkipulo ng ikatlong partido, mga resibo ng paghatid, at ang Wayback Machine.

Ang Scrubbing Pattern: Mga Account, Hindi Lamang Mga Komento

Sa aming tatlong taong pananaliksik, nakapanood kami sa real time ng pagpapatakbo ng suppression layer sa tatlong magkakaibang platform. Sapat na konsistente ang pattern na nagsimula kaming mag-archivo bago pa man ipaglabas, tuwing may nangyayari.

• GitHub. Buong mga account na nag-post ng mga isyu o komento na tumutukoy xmrwallet[.]com na alisin — hindi ang mga indibidwal na komento, hindi ang mga thread, kundi ang buong mga account. Mayroon kaming mga Wayback captures ng mga issue thread kung saan ang profile ng commenter ay ngayon ay 404. Ang sinumang nagdadala ng imbestigasyon ay maaaring magtanong sa GitHub, sa ilalim ng tamang legal na proseso, kung ilang user account na may mga post na binanggit xmrwallet ang mga ito ay pinasara sa pagitan ng 2018 at 2026, at para sa anong ipinahayag na dahilan. Inaasahan namin na hindi kaunti ang bilang nito.
• Trustpilot. Maraming totoo at negatib na pagsusuri ang tinanggal sa ilalim ng mga magkasunod na alon. Ang mga pagtatanggal ay nagsamang kasama ang bawat siklo ng pampublikong reklamo, na tugma sa koordinadong pag-uulat kaysa sa organikong moderasyon. Muli, ang panloob na talaan ng pagtanggal ng Trustpilot, sa ilalim ng subpoena, ang katapustapusan na talaan.
• X (Twitter). Ang mga kritikal na sagot sa mga scam-adjacent na account ay nawala sa isang bilis na mahirap ipaliwanag sa pamamagitan ng normal na patakaran ng platform. Pagkatapos ng aming @Phish_Destroy Nang huli, ipinagbawal ang account sa pamamagitan ng nagbabagong rason (tingnan ang mga resibo ng email sa itaas), napagtanto ko ang buong pattern. Ang parehong estratehiya sa pagpupugot na ginamit laban sa mga indibidwal na nagreklamo sa loob ng maraming taon ay ngayon ay ginagamit na laban sa isang research account.

Gusto naming maging eksakto: hindi namin inilalapat ang telepathy. Inilalapat namin ang isang naka-dokumentong kronolohiya. I-post. I-archive. I-delete. Ulitin, sa tatlong platform, para sa iisang target, sa loob ng isang dekada, habang hindi kailanman inililipat ng registrar ang domain. Hindi nangangailangan ang kronolohiyang iyon ng teorya ng konspirasyon. Nangangailangan ito ng pormal na hiling para sa mga pampublikong talaan.

Kung Ikaw ay Biktima ng xmrwallet[.]com — Mangyaring Lumapit

Alamin namin na marami pa kayo. May mga taong nag-ugnay sa amin nang pribadong nawalan ng pera at natatakot na lumabas sa pampublikong rekorh habang aktibo pa ang operator at habang pinagtanggol pa siya ng kanyang registrar sa pampublikong antas. Nagbago na ang sitwasyon. Naipahayag na ang operasyon, naidokumentado na ang infrastructure, at ginagawa na ng mga awtoridad sa batas sa mga hurisdiksyon ng EU ang salaysay ng kaso.

Sa mga institusyon na may kakayahang ipilit ang pagpapakita ng impormasyon — ang ICANN Compliance, ang mga awtoridad ng EU GDPR, ang Canadian Anti-Fraud Centre (sapagkat ang operator ay Kanada), ang mga kaugnay na awtoridad sa buwis, at anumang korte na may hurisdiksyon sa operating entity ng NameSilo: ang mga materyales mula sa pangunahing pinagkukunan ay naka-preserba at maaaring kumuha nito sa hiling. Ang mga resibo ng paghatid, ang mga Wayback captures, ang Medium write-up, ang domain-report infrastructure graph, at ang mga pagtanggol ng mga biktima na may firmang pahintulot. Hindi namin hinihigpitan ang ebidensya. Ipinipigil namin ito sa anyong maaari ninyong gamitin.

Ang pagtawag ng itim na puti ay hindi nagpapaginto nito. Isang dekada ng pampublikong ebidensya, 20+ na dokumentadong abiso ng pang-aabuso, isang makina ng pagnanakaw na nakahost sa bulletproof hosting, ang koordinadong pagtanggal ng mga account sa tatlong platform, isang baneadong account para sa pananaliksik, at isang tinukoy na operator na ang kanyang pagkakakilanlan ay nasa pampublikong rehiyon na — hindi ito isang isyu sa public relations. Ito ay isyu sa jurisdiksyon. May tiwala kami na sapat na ang nasa pampublikong rekord upang maayos ito.

Ang mga Biktima: Sino ang Tunay na Nasaktan

Ang implicit na argumento ng NameSilo, sa pamamagitan ng pagpili ng platform abuse button kaysa sa retraction, ay “hindi namin gustong ma-expose.” Fair enough. Hindi madalas gustu ng mga tao na ma-expose. Ngunit ilagay ang dalawang pinsalang ito sa iisang sukat.

Ang Permanente na Talaan

Ang pagpapahina ng isang account sa Twitter ay hindi nagtatanggal ng ebidensya. Ang lahat ng mga bagay na may kaugnayan sa kaso na ito ay naka-archive:

• Bawat pampublikong pahayag ng NameSilo na nagpapagtanggol sa xmrwallet operator — Wayback Machine, Archive.today, ang aming GitHub evidence repository.
• Mga screenshot ng live na code ng pagnanakaw sa production, kasama ang mga timestamp.
• 8 na PHP endpoints ang na-reverse-engineer at naipubliko.
• Ang buong kadena ng usapan sa ulat ng pang-aabuso.
• Ang aming buong X timeline ay naka-mirror sa Mastodon, Bluesky, Medium, Telegram, GitHub, at IPFS.
• Mga oras-oras na snapshot ng phishdestroy.io itself, 14-day retention, installed specifically so nothing we wrote can quietly disappear.

Kung isang mirror ang itinatago, ang nilalaman ay mananatili sa pitong ibang mirror. Mas lumang arkitektura ito kaysa sa NameSilo. Mas matagal itong mananatili kaysa sa kanila.

Napatunayan ba ito? Limang Tanong para sa Lahat ng Nagbabasa

Hindi ito mga retorikal. Basahin ang mga ebidensya sa itaas, tapos sagutin ito para sa sarili mo — sa pribadong paraan, sa iyong sariling oras, o habang nagdedesisyon kung itatago o ililipat ang iyong mga domain.

1. Napatunayan na ang pagbabawal sa isang security researcher dahil sa pampublikong sagot nito sa sariling pampublikong pahayag ng isang registrar? Ang registrar ang nagsimula ng usapan. Sumagot ang mananaliksik gamit ang mga katotohanan. Isang panig lamang ang naitiis.
2. Angkop ba na ang pampublikong pahayag ng isang registrar ay tumanggi sa dokumentadong pananaliksik bilang hindi seryoso, habang sabay-sabay na nag-aalok ng tulong sa isang scammer upang alisin ang mga deteksyon ng seguridad? Parehong nangyari sa isang NameSilo statement. Walang binanggit na biktima kahit saan sa dokumentong iyon.
3. Tanggap ba na ipagbawal ng X ang sarili nitong rason para sa lock sa pamamagitan ng pagsulat ("walang paglabag, naibalik") at ituloy pa rin ang ban? Sasabihin ng pinakabagong desisyon ng X mismo na dapat ay aktibo ang account.
4. Tanggap ba na magpatuloy ang pagbabayad ng isang bayad na verification subscription habang naka-lock ang pinagmulang account? Kung hindi naibibigay ang serbisyo, isang produkto ba ito — o isang paglabag sa kontrata?
5. Ano ang ibig sabihin ng "good standing" ng isang ICANN-accredited registrar? Kung maaaring gamitin ng isang akreditadong registrar ang mga abuse channel ng isang third-party platform upang itigil ang researcher na nagdokumento ng kanilang pagkabigo sa pagtugon sa abuse? Ito ay isang tanong sa compliance, at idinadagdag ito sa umiiral na RAA § 3.18 filing.

Kung Ang Sinuman na Sagot ay "Hindi, Hindi Ito Patas"

Narito ang tatlong konkretong, walang-bayad na hakbang, ayon sa pagtaas ng kanilang epekto.

1. Ibahagi ito sa publiko

Ang tahimik na pagtutol ay walang epekto. Ang makikitang presyon ang nagpapaandar. Isang click, na may mga naka-pre-fill na detalye:

2. Tanungin ang mga kalahok gamit ang kanilang mga pangalan

Itagmo sila. Ang tahimik na pagtutol ay walang epekto. Ang mga malinaw na tanong mula sa mga mambabasa ay napapansin.

• @NameSilo — ang @Phish_Destroy ban na may kaugnayan sa iyong pampublikong pahayag na nag-aalok ng tulong sa xmrwallet Nakakuha ba ng pagtanggal ng mga deteksyon ang operator?
• @X / @XSupport / @elonmusk — Sinasabi ng Email #2 na “naibalik na sa buong kakayahan.” Nakalok ang account. Aling desisyon ang naka-impluwensya?
• @ICANN — Tinutukoy ba ng RAA § 3.18 ang paghihiganti ng mga registrar laban sa mga mananaliksik?
• @Tucows — Ang pagtutol sa mga mananaliksik dahil sa paggamit ng platform, ay angkop ba sa mga pamantayan ng OpenSRS reseller ninyo?

3. Ilipat ang iyong mga domain (ito ang pinakamapaghihirap)

Tumutugon ang mga kumpanya sa pagkawala ng kita, hindi sa mga tweet. Tumatagal ng humigit-kumulang limnapung minuto ang mga transfer. Ang aming pahina ng estadistika ng registrar Ilistahan ang mga registrar na may malinis na talaan ng pagtugon sa mga abuse. Bawat naipaglipat na domain ay isang datapoint ng renewal number na makikita ng pamunuan ng NameSilo sa susunod na quarter.

Kung ikaw ay isang organisasyon — isang crypto project, bug-bounty platform, journalism outlet, o threat-intel company — na may anumang Ang domain sa NameSilo: isipin kung ano ang ibig sabihin ng pagbibigay-pondo sa registrar na nagbigay-pamprotekta sa operasyon ng pagkalat ng higit sa $20M at pagkatapos ay pinaliit ang researcher na nagdokumento nito. Maaari mong gawin ang hakbang na ito sa pampubliko. May bigat ito.

Huling Salita

Hindi mo maipapatupad ang pagprotekta ng isang operasyon ng pagnanakaw na halaga ng $20M+ sa loob ng sampung taon, ang pagpapakasama sa publiko tungkol dito, ang paghihimagsik laban sa mananaliksik na nakakuha sa iyo — at ang buong gawain ay tahimik na kalimutan. Lalo na habang ang mga awtoridad sa pagsasagawa ng batas ng EU ay nagsasagawa ng kaso.

Hindi namin hinihiling na paniniwalaan mo ang aming salita. Bawat factual na pahayag sa itaas ay may link, naka-document, may timestamp, naka-archive sa off-site, at maaaring i-reproduce. Hinihiling namin na tingnan mo ang ebidensya, sagutin mo ang limang tanong para sa sarili mo, at gumawa ayon sa iyong sariling sagot. Ito ang anyo ng katarungan — isang mambabasa na binabasa ang ebidensya at nagdedesisyon. Ito rin ang eksaktong bagay na pinipigilan ng silencing.

Ang PhishDestroy ay isang malaya at independiyenteng threat intelligence. Walang bayad, walang sponsorship, walang pribilehiyo. Ipinapubliko namin ang natutuklasan namin. Ipinagbawal tayo ng NameSilo dahil dito.

Orihinal na paglalarawan: phishdestroy.io/xmrwallet-namesilo-exposed
Katamtamang pananaliksik (pangunahing pinagkukunan): phishdestroy.medium.com/xmrwallet-com-2953f35b8a79
Repo ng ebidensya: github.com/PhishDestroy