# PhishDestroy — uk/xmrwallet-exposed ================================================================ Title: xmrwallet викрито: 10 років викрадених ключів Canonical: https://phishdestroy.io/uk/xmrwallet-exposed Published: 2026-03-16T00:00:00 Updated: 2026-03-16 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: xmrwallet, xmrwallet.com, Monero scam, XMR theft, private key theft, transaction hijacking, crypto wallet scam, Nathalie Roy, nathroy, DDoS-Guard, PhishDestroy, raw_tx, session_key, view key exfiltration OG image: https://phishdestroy.io/assets/og-cards/articles/xmrwallet-exposed-og.png ## SUMMARY ---------------------------------------------------------------- xmrwallet викрито: 10 років крадіжки приватних ключів Monero та перехоплення транзакцій. Наведено повні криптографічні докази. ## STRUCTURE ---------------------------------------------------------------- - xmrwallet викрито: 10 років викрадених ключів та незаконно перехоплених транзакцій - Фасад - Production проти GitHub: Повна розбіжність - Атака № 1: Викрадення ключів перегляду - Структура session_key - Понад 40 копій вашого приватного ключа - Атака № 2: Перехоплення транзакції - Ваша транзакція ніколи не існувала - Прихований виробничий код - Публічний GitHub (приманка) - Виробничий майданчик (реальний) - «Бакдор» та віддалене введення коду - Надійна інфраструктура - IOC у сфері хостингу та мереж - Індикатори загроз (IOC) для моніторингу та аналітики - $8K-$15K/Year for a "Free Volunteer Wallet" - Визначено оператора: Наталі Рой - Заблоковані, викриті, але все ще активні - Зареєстровані жертви - Видалені докази, відсутність гаманця для пожертв - Хронологія подій - Домен зареєстровано — xmrwallet.com - Створено організацію на GitHub - Заблоковано та код заморожено - 6 років мовчання - Розслідування у справі PhishDestroy - Опубліковано звіт — домен все ще активний - Повні докази та вихідні матеріали - Повний технічний звіт - Випуск № 35: Перехоплення транзакцій - Випуск № 36: Витік ключів доступу - Репозиторій досліджень PhishDestroy - Безпечні альтернативи - Настільні гаманці - Мобільні гаманці - Золоте правило криптовалюти - Захистимо громаду - Пов’язані розслідування - Поділитися цією статтею ## CONTENT ---------------------------------------------------------------- Назад до новин [https://phishdestroy.io/uk/news] Розслідування крадіжки гаманця Monero xmrwallet викрито: 10 років викрадених ключів та незаконно перехоплених транзакцій Слухати статтю 0:00 / --:-- Завантажити у форматі PDF — Офіційний звіт Глибоке криміналістичне розслідування щодо веб-гаманця Monero, який кодує ваш приватний ключ перегляду у форматі Base64 у session_key токен, передає його у понад 40 запитах до API за сеанс, а потім анулює вашу транзакцію за допомогою raw_tx = 0 і переробляє його, щоб викрасти ваші кошти. Діє з 2016 року. Оператор виявлений. ~9 хвилин на читання· Оновлено Березень 2026 року· PhishDestroy Research Діє з 2016 року Понад 40 витоків ключів / сесія Захищено DDoS-Guard 10 Роки діяльності 40+ Кількість витоків ключів за сеанс $2M-$15M+ Орієнтовна загальна сума викраденого 0 Оновлення GitHub з 2018 року Фасад xmrwallet.com позиціонується як безкоштовний, з відкритим кодом, клієнтський гаманець для Monero. Не потрібно завантажувати. Не потрібно реєструватися. У їхніх Умовах надання послуг міститься дуже конкретне твердження: «Усі криптографічні операції виконуються у вашому браузері. Сервер не має можливості отримати доступ до ваших приватних ключів». — Умови користування xmrwallet.com (що, як доведено, є неправдою) Це неправда. Наш криміналістичний аналіз — аналіз мережевого трафіку, деобфускація JavaScript та порівняння виробничого коду — доводить прямо протилежне. Кожен ключ, введений на xmrwallet.com, викрадається. Кожна транзакція може бути перехоплена. Production проти GitHub: Повна розбіжність Цей публічний репозиторій на GitHub [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] не отримав жодного коміту з того часу, як Листопад 2018 року. На виробничому сервері працює зовсім інший код із недокументованими параметрами, яких немає в репозиторії: session_key — Токен витоку ключа перегляду, закодований у форматі Base64 verification — вторинний канал витоку timestamp — параметр відстеження сеансу data — додатковий контейнер для вантажу Домен зареєстровано через NameSilo у 2016 році — оплачено заздалегідь через 2031. П'ятнадцять років реєстрації «вільного незалежного проекту». Атака № 1: Викрадення ключів перегляду Коли ви входите на сайт xmrwallet.com, ваш приватний ключ перегляду кодується у форматі Base64 і вбудовується в session_key токен. Потім цей токен передається на сервер разом із кожен запит до API — понад 40 разів за одне заняття. Структура session_key session_key = [зашифрований_блок]:[base64_address]:[base64_private_viewkey] // Decoded example: // blob: a3f8c2... (session identifier) // address: 4A1BxN... (your Monero public address) // viewkey: ВАШ ПРИВАТНИЙ КЛЮЧ ДЛЯ ПЕРЕГЛЯДУ У ВІДКРИТОМУ ТЕКСТІ Дані про мережеві запити Firefox WebExtension підтверджують, що цей токен передається 6 різних кінцевих точок API загалом понад 40 POST-запитів на сеанс: ↔ Кінцева точка API | Запити / Сесія | Витік session_key /api/getheightsync | 12 | Так /api/gettransactions | 10 | Так /api/getbalance | 6 | Так /api/getsubaddresses | 4 | Так /api/getoutputs | 3 | Так /api/support_login | 1 | Так Понад 40 копій вашого приватного ключа Під час одного сеансу входу ваш приватний ключ перегляду надсилається на сервер щонайменше 36 разів. Серверу не потрібен ваш ключ для жодної з цих операцій — перевірка балансу та синхронізація висоти є публічними запитами до блокчейну. Немає жодної обґрунтованої причини для передачі ключових даних. Докази повного перехоплення мережевого трафіку: xmrwallet.com, проблема № 36 на GitHub — Перегляд доказів витоку ключів [https://github.com/XMRWallet/Website/issues/36]. Атака № 2: Перехоплення транзакції Крадіжка ключа доступу дозволяє зловмиснику дивитися вашого гаманця. Але xmrwallet.com йде ще далі — він викрадає ваші кошти в режимі реального часу. Розшифрований виробничий код JavaScript розкриває 5-етапну послідовність атаки: // Step 1: Client builds a legitimate transaction cnUtil.create_transaction() → raw_tx_and_hash // Step 2: Client transaction is NULLIFIED raw_tx_and_hash.raw = 0; // Step 3: Only metadata sent to server (no real tx) ПУБЛІКАЦІЯ /api/submit_raw_tx { raw: 0, метадані: {...} } // Step 4: Server rebuilds its OWN transaction // using your keys + its destination address // Step 5: Stolen transactions tagged internally якщо(тип == «промітаний») → транзакція, перенаправлена зловмисником У вашому гаманці відображається повідомлення «транзакція відправлена». Ваші кошти надходять на адресу зловмисника. Жертви бачать «Невідомий ідентифікатор транзакції» коли вони намагаються перевірити це за допомогою блокчейн-експлорерів. Транзакції, внутрішньо позначені як swept це ті, що були вкрадені. Ваша транзакція ніколи не існувала raw_tx_and_hash.raw = 0 означає, що транзакція, створена клієнтом, відкидається. Сервер формує абсолютно нову транзакцію, використовуючи ваші ключі, і надсилає ваші XMR зловмиснику. Повідомлення про «успіх», яке ви бачите, є неправдивим. Детальний аналіз коду: xmrwallet.com, проблема № 35 на GitHub — Доказ захисту від перехоплення транзакцій [https://github.com/XMRWallet/Website/issues/35]. Прихований виробничий код xmrwallet.com веде публічний репозиторій на GitHub, щоб виглядати як легітимний ресурс. Цей репозиторій є лише прикриттям. З того часу до нього ніхто не звертався Листопад 2018 року. На виробничому майданчику використовується зовсім інший, зашифрований код. Публічний GitHub (приманка) Останній коміт: Листопад 2018 року Ні session_key параметр Ні verification param Ні /support_login.html Без Google Tag Manager Чистий код, що піддається аудиту Виробничий майданчик (реальний) Активно оновлюється у 2024–2026 роках session_key з ключем перегляду Base64 verification канал виведення даних /support_login.html задній вхід Віддалене введення JavaScript у GTM Заплутаний, непідданий аудиту код «Бакдор» та віддалене введення коду Виробничий майданчик включає /support_login.html — прихована адміністративна точка доступу, яка взагалі відсутня у репозиторії GitHub. У поєднанні з Google Tag Manager (контейнер GTM) Завдяки цій інтеграції оператор може в будь-який момент дистанційно вставляти та змінювати код JavaScript на активному сайті — без оновлення загальнодоступної кодової бази. Це вектор віддаленого виконання коду, замаскований під аналітику. Надійна інфраструктура xmrwallet.com не використовує дешевий спільний хостинг. Сайт працює на надійній інфраструктурі преміум-класу, спеціально обраній для того, щоб протистояти вимогам щодо ліквідації сайту та діям правоохоронних органів. IOC у сфері хостингу та мереж Показник | Значення Домен | xmrwallet.com Реєстратор | NameSilo (2016 – 2031, реєстрація на 15 років) Провайдер хостингу | IQWEB FZ-LLC (від 550 доларів на місяць) IP-адреса | 186.2.165.49 ASN | AS59692 CDN / Захист від DDoS-атак | DDoS-Guard Веб-сервер | Apache 2.4.58 (Ubuntu) Бек-енд | PHP 8.2.29 SSL-сертифікат | Let's Encrypt (з автоматичним поновленням) Дзеркало Tor | xmrwalletdatuxms.onion Щорічні витрати на інфраструктуру | $8,000 – $15,000+ Індикатори загроз (IOC) для моніторингу та аналітики ↔ Трекер | Запити / Сесія | Ідентифікатор Google Tag Manager | 12 | Контейнер GTM Google Analytics (UA) | 12 | UA-116766241-1 Google Analytics 4 | 5 | Потік GA4 DoubleClick | 1 | Піксель відстеження реклами Файли cookie DDoS-Guard | — | __ddg8_, __ddg9_, __ddg10_, __ddg1_ $8K-$15K/Year for a "Free Volunteer Wallet" Справжній безкоштовний гаманець не витрачає понад 550 доларів на місяць на захищений хостинг IQWEB FZ-LLC із технологією DDoS-Guard — інфраструктуру, спеціально розроблену для протидії скаргам щодо зловживань та викликам до суду з боку правоохоронних органів. Він не реєструє домен на 15 років. Він не використовує Google Analytics для відстеження на «орієнтованому на конфіденційність» гаманці Monero. Ця інфраструктура створена з єдиною метою: постійні крадіжки у великих масштабах. Визначено оператора: Наталі Рой За даними відкритих джерел, інфраструктура сайту xmrwallet.com безпосередньо пов’язана з однією конкретною особою. Поле | Деталі Ім'я | Наталі Рой Місцезнаходження | Канада Ім'я користувача на GitHub | nathroy [https://github.com/nathroy] (ID: 39167759) Організація на GitHub | xmrwallet [https://github.com/XMRWallet] (створено 10 травня 2018 року) Електронна пошта (адміністратор) | admin@xmrwallet.com Електронна пошта (особиста) | royn5094@protonmail.com Reddit | u/WiseSolution [https://reddit.com/u/WiseSolution] (заблоковано на r/Monero) Twitter | @xmrwalletcom [https://twitter.com/xmrwalletcom] Поштовий сервер (MX) | mail.privateemail.com Заблоковані, викриті, але все ще активні Наталі Рой було заборонено брати участь в офіційному субреддит r/Monero [https://reddit.com/r/monero] у 2018 році з метою просування сайту xmrwallet.com. Останній коміт на GitHub відбувся того ж року. Вже понад 6 років відкритий код залишається незмінним, тоді як робочий сайт активно викрадає кошти, використовуючи зовсім інший код. Домен оплачено до 2031 року — оператор нікуди не збирається. Зареєстровані жертви Принаймні 15 випадків, про які повідомлялося у ЗМІ про випадки розкрадання коштів на Trustpilot, Sitejabber, Reddit та GitHub Issues. Справжні люди. Справжні гроші. Зникли. 15+ Публічні звіти 590 XMR Найбільша окрема сума (177 тис. доларів) 10 Роки крадіжок $2M-$15M+ Орієнтовна загальна сума 590 XMR (~177 000 доларів) — поодинока крадіжка, найбільший зафіксований випадок 17,44 XMR — зафіксовано в ланцюжку блоків із зазначенням ідентифікатора транзакції За ніч було викрадено 20 XMR — гаманець спорожніли, поки користувач спав Численні повідомлення про «Невідомий ідентифікатор транзакції» — це swept тег підпису Видалено завдання GitHub № 13 та наступні — оператор видаляє повідомлення про жертв з репозиторію Видалені докази, відсутність гаманця для пожертв Оператор активно видаляє повідомлення жертв із GitHub Issues (усі звернення до № 13 вже зникли). На сайті зазначено, що приймаються пожертви, але адреса гаманця для пожертв ніколи не оприлюднювалася. Чому «незалежний проєкт», витрати якого становлять 8–15 тис. доларів на рік, відмовляється від пожертв? Тому що його доходи походять від крадіжок. Хронологія подій Хронологія подій 2014–2024 рр.: xmrwallet.com — понад 10 000 викрадених ключів — від запуску сайту до появи перших жертв і встановлення особи оператора 2016 Домен зареєстровано — xmrwallet.com Зареєстровано через NameSilo з 15-річний термін реєстрації (2016–2031). Представлений як безкоштовний веб-гаманець Monero з відкритим кодом. Травень 2018 року Створено організацію на GitHub Організація xmrwallet на GitHub створена 2018-05-10 автор: nathroy (ID: 39167759). Публічний код опубліковано як «театр прозорості». 2018 Заблоковано та код заморожено Оператор від WiseSolution заблоковано в r/Monero через рекламний спам. Останній коміт на GitHub приблизно в цей час. Починають видаляти звіти про проблеми від постраждалих (проблеми № 1–№ 12 зникли). 2018–2024 6 років мовчання Публічний репозиторій заморожено. Продуктивний код повністю відрізняється від оригіналу: він містить зашифрований JavaScript-код, недокументовані параметри та кінцеві точки з «задніми дверцятами». На Trustpilot і Reddit накопичуються повідомлення від потерпілих. 2025–2026 Розслідування у справі PhishDestroy Аналіз мережевого трафіку показує, що session_key витік даних. Розшифрування коду JavaScript підтверджує raw_tx = 0 викрадення транзакцій. Докази опубліковано на GitHub Issues #35 [https://github.com/XMRWallet/Website/issues/35] & #36 [https://github.com/XMRWallet/Website/issues/36]. лютий 2026 року Опубліковано звіт — домен все ще активний Опубліковано повний технічний звіт. Сайт xmrwallet.com продовжує працювати. Оплата домену здійснено через 2031. DDoS-Guard забезпечує стійкість до ліквідацій. Повні докази та вихідні матеріали Кожне твердження в цій статті підкріплене доказами, які можна перевірити будь-яким бажаючим. Завантажте звіти. Перевірте код. Самі перегляньте записи мережевого трафіку. Повний технічний звіт Повний звіт про розслідування, що містить аналіз коду, записи мережевого трафіку та результати OSINT, розміщено на GitHub Pages [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Випуск № 35: Перехоплення транзакцій raw_tx = 0 доказ • Відновлення транзакції на стороні сервера • Докази за тегом «swept» [https://github.com/XMRWallet/Website/issues/35] Випуск № 36: Витік ключів доступу Понад 40 мережевих знімків • Декодування session_key у форматі Base64 • 6 кінцевих точок із витоком даних [https://github.com/XMRWallet/Website/issues/36] Репозиторій досліджень PhishDestroy Усі вихідні матеріали, розшифрований код та результати аналізу [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Безпечні альтернативи Ніколи не вводьте приватні ключі в жодному веб-гаманці. Крапка. Використовуйте перевірене та протестоване програмне забезпечення, яке працює локально на вашому пристрої. Настільні гаманці Графічний інтерфейс Monero [https://getmonero.org/downloads/] — Офіційний гаманець, з повним набором функцій, з відкритим кодом, що пройшов аудит Гаманець «Feather» [https://featherwallet.org/] — Легкий, швидкий настільний гаманець, орієнтований на захист конфіденційності Мобільні гаманці Монерухо [https://monerujo.io/] (Android) — Програма з відкритим кодом із підтримкою Tor Гаманець Cake [https://cakewallet.com/] (iOS/Android) — Підтримка декількох криптовалют, добре підтримуваний Золоте правило криптовалюти Ніколи не вводьте свою фразу-насіння, приватні ключі або ключі перегляду на будь-який веб-сайт. Надійні гаманці працюють локально — їм ніколи не потрібно надсилати ваші ключі на сервер. Якщо веб-гаманець просить надати ваші приватні ключі, це шахрайство. Для максимальної безпеки використовуйте апаратний гаманець (Ledger, Trezor) з офіційним програмним забезпеченням Monero. Захистимо громаду xmrwallet.com вже 10 років краде Monero. Докази є загальнодоступними. Оператор встановлений. Поширюйте результати цього розслідування. Повідомте про цей домен. Допоможіть нам закрити цей сайт. Повний технічний звіт [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Репозитарій наукових досліджень [https://gitlab.com/phishdestroy/DO-NOT-USE-xmrwallet-com] Повідомити про загрози Пов’язані розслідування РОЗСЛІДУВАННЯ Кінець xmrwallet.com: NameSilo збрехало, щоб захистити криптозлодія, який вкрав 2 млн доларів ГЛИБОКЕ РОЗСЛІДУВАННЯ Панель з фішингових атак на Trust Wallet: викрадено 239 тис. доларів, 6 зловмисників ГЛИБОКЕ РОЗСЛІДУВАННЯ Набір інструментів «Crypto Drainer»: викрито реселерів «Angel Drainer» Поділитися цією статтею X [https://twitter.com/intent/tweet?text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys&url=https://phishdestroy.io/xmrwallet-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/xmrwallet-exposed&text=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Monero%20Keys] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/xmrwallet-exposed&title=xmrwallet.com%20Exposed%3A%2010%20Years%20of%20Stolen%20Keys] ## EXTERNAL REFERENCES ---------------------------------------------------------------- github.com (8 mentions) gitlab.com (6 mentions) reddit.com (3 mentions) twitter.com (2 mentions) t.me (2 mentions) getmonero.org (1 mention) featherwallet.org (1 mention) monerujo.io (1 mention) cakewallet.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/uk/xmrwallet-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.