NameSilo Bào chữa cho một vụ lừa đảo tiền điện tử trị giá 100 triệu USD
— Rồi Đã gỡ bỏ tài khoản Twitter của chúng tôi

Báo cáo kiểm toán của NewAlchemy đã nhận được 67 lượt bình chọn tích cực trên Reddit và được sử dụng như một tín hiệu tin cậy trong nhiều năm. Phạm vi cụ thể của báo cáo này là: "Chỉ sử dụng JavaScript phía máy khách." Nằm ngoài phạm vi một cách rõ ràng: "rất nhiều điểm cuối API PHP." Các điểm cuối đó chính là cơ chế trộm cắp thực sự. Về mặt cấu trúc, cuộc kiểm toán không thể phát hiện ra lỗ hổng bảo mật này.

Ngày 21 tháng 1 năm 2026 — xmrwallet đã trả tiền cho PR Newswire để đăng tải một thông cáo báo chí với nội dung như sau: "Các khóa riêng tư không bao giờ được truyền đến các máy chủ trung tâm." Cái session_key Trong suốt khoảng thời gian này, các yêu cầu POST đã được gửi liên tục trong mỗi phiên người dùng tới máy chủ sản xuất. PR Newswire là một dịch vụ phân phối có thu phí — các công ty tự soạn thảo và chi trả cho nội dung của mình, không qua kiểm duyệt biên tập. Nguồn: PR Newswire, ngày 21 tháng 1 năm 2026

Cả hai đều thao túng đánh giá: xmrwallet xóa khiếu nại mất cắp và trả lời nạn nhân bằng cùng một lý do đồng bộ; NameSilo phủ Trustpilot bằng lời khen năm sao theo kịch bản, nêu tên từng nhân viên hỗ trợ, trong khi đánh giá tiêu cực biến mất.

Cả hai đều vận hành cùng một hệ thống phòng vệ SEO: xmrwallet đăng bài về “lừa đảo”, “bảo mật”, “khôi phục” và “đồng bộ”; NameSilo đăng bài về “phishing”, “danh sách đen”, “gỡ tên” và “lạm dụng”. Cả hai đều dùng văn bản của mình để lấp đầy đúng những truy vấn do các cáo buộc nhắm vào họ tạo ra.

Cả hai đều dùng cùng một nguồn bài viết trả phí: hệ thống phân phối PR Newswire và chuyển tiếp email4pr. NameSilo dùng nó cho thông cáo nhà đầu tư trên thị trường Canada. xmrwallet dùng nó để bán câu chuyện giả về Tor và “khóa không bao giờ đến máy chủ” dưới hình thức tin doanh nghiệp.

Hai cái tên. Cùng thao túng đánh giá. Cùng SEO. Cùng đường ống PR trả phí. Một bộ não.

Thông cáo tháng 1 năm 2026 tuyên bố “tích hợp Tor đầy đủ” cho một dự án “mã nguồn mở” có lần commit GitHub thực sự cuối cùng vào ngày 6 tháng 11 năm 2018—hơn bảy năm trước. Không có mã Tor nào từng được commit. Họ trả tiền để quảng cáo một tính năng không tồn tại trong mã nguồn công khai, đồng thời tuyên bố khóa riêng tư không bao giờ đến máy chủ trung tâm. Thông cáo sử dụng số điện thoại không hợp lệ và địa chỉ chuyển tiếp PR doanh nghiệp. Đây không phải tin độc lập. Đây là nội dung do chính người vận hành viết và mua dịch vụ phân phối.

Thông cáo được lưu trữ và thông tin liên hệ · Kho GitHub công khai

Đây là phần bị che khuất khi các sự việc bị tách rời. Khách hàng đã biến mất. Điều tiếp tục diễn ra là NameSilo bảo vệ chính NameSilo.

PR Newswire thu khoảng 195–249 USD mỗi năm cho tư cách thành viên, cộng thêm 805–3.000 USD trở lên cho mỗi thông cáo. Có những lựa chọn miễn phí hoặc rẻ hơn rất nhiều, gồm PRLog và EIN Presswire với giá khoảng 149 USD. Thế nhưng một ví “tình nguyện” không công bố bất kỳ khoản quyên góp nào lại chọn đúng hệ thống phân phối doanh nghiệp mà NameSilo Technologies sử dụng cho thông tin gửi tới Sở Giao dịch Chứng khoán Canada.

xmrwallet phát hành ba thông cáo qua hệ thống này, gồm thông báo Tor ngày 21 tháng 1 năm 2026. NameSilo phát hành 12 thông cáo: “Surpasses 6 Million Domains” vào ngày 22 tháng 1 năm 2026—một ngày sau xmrwallet, kết quả cả năm 2025 vào ngày 1 tháng 5 năm 2026, cùng mười thông cáo khác về kết quả quý, SewerVUE, CommerceHQ, Reach Systems và việc bán công ty con. SewerVUE đúng nghĩa là một công ty kiểm tra đường ống cống—đó là lý do câu “người bạn cũ làm sạch đường ống cống” của chúng tôi không phải nhắc đến ngẫu nhiên.

Các bài SEO và đánh giá hỗ trợ giải quyết cùng một vấn đề danh tiếng từ hai hướng. NameSilo lấp các tìm kiếm tiêu cực—phishing, lạm dụng, danh sách đen, gỡ chặn, tên miền bị đánh cắp—bằng lời giải thích của chính họ. Đồng thời, luồng đánh giá lấp câu hỏi về hỗ trợ bằng lời khen dành cho “Leonid” và những nhân viên được nêu tên khác.

Một khách hàng thật nhận câu trả lời thô lỗ, khó hiểu hoặc theo kịch bản, rồi thấy hết trang này tới trang khác nói Leonid xuất sắc và hữu ích. Hiệu ứng mong muốn là sự nghi ngờ: “Nếu ai cũng khen bộ phận hỗ trợ này, có lẽ vấn đề nằm ở tôi.” Khách hàng do dự và quyết định không đăng đánh giá tiêu cực đúng sự thật. Nếu họ vẫn đăng, mẫu hình chúng tôi quan sát là NameSilo thách thức hoặc báo cáo nó cho tới khi biến mất. Đánh giá tích cực không chỉ cải thiện điểm số; chúng dập tắt đánh giá tiêu cực tiếp theo trước khi nó tồn tại, còn việc xóa sẽ gạt bỏ những đánh giá vẫn được viết.

Đó là cơ chế chung: chiếm các từ tiêu cực trong tìm kiếm, tạo câu trả lời tích cực trong đánh giá và xóa lời chứng mâu thuẫn với cả hai.

Cơ sở dữ liệu 2023–2024 của chúng tôi chứa hàng chục nghìn báo cáo lạm dụng liên quan tới NameSilo mà theo đánh giá của chúng tôi đã bị bỏ qua hoặc không dẫn tới hành động hiệu quả. Trong phần drainer chúng tôi theo dõi khi đó, gần như mọi chiến dịch đều đăng ký tên miền ở đó. Trên bộ dữ liệu ấy, chúng tôi coi NameSilo là nhà đăng ký hoạt động tệ nhất. Chúng tôi sẽ công bố riêng toàn bộ so sánh nhà đăng ký.

Quan điểm của chúng tôi: các bài lặp đi lặp lại về phishing, danh sách đen, gỡ chặn và lạm dụng không được viết vì ICANN yêu cầu. Chúng được viết để chiếm các tìm kiếm do hồ sơ lạm dụng thực của NameSilo tạo ra.

Từ tin nhắn đầu tiên, chúng tôi đã cảnh báo cả xmrwallet và NameSilo không biến báo cáo kỹ thuật thành chiến dịch gây sức ép. Cả hai đều đáp lại bằng đe dọa kiện tụng và điều tra viên tư. Người vận hành xmrwallet thậm chí đề nghị đưa nhà đăng ký ra tòa. Sau khi đề nghị giúp xóa các phát hiện VirusTotal cho cùng khách hàng, NameSilo về sau công khai đe dọa hành động pháp lý.

Có lẽ cách này đã hiệu quả suốt mười năm. Nó không làm bằng chứng nền tảng biến mất.

xmrwallet đã đóng cửa. Việc khóa Twitter, yêu cầu GDPR, thông báo DMCA, khiếu nại từng kết quả tìm kiếm, báo cáo chính trang của chúng tôi là phishing, xóa chỉ mục Bing và cố gỡ IPFS sau đó không còn có thể bảo vệ chiếc ví. Chúng chỉ có thể bảo vệ danh tiếng NameSilo.

Các yêu cầu không chỉ nhắm tên miền của chúng tôi. Chúng nhắm từng liên kết dẫn tới công trình của chúng tôi. Hồ sơ công khai trong Lumen Database ghi lại một phần chiến dịch này; các hồ sơ bổ sung được lưu trong kho Telegram của chúng tôi.

Chúng tôi cũng tin rằng nếu có ngân sách truyền thông lớn hơn, bước tiếp theo có thể dự đoán là mua bài mô tả nhà nghiên cứu như kẻ quấy rối hoặc tống tiền. Đây là dự báo dựa trên mẫu đàn áp, không phải sự kiện mà chúng tôi khẳng định đã xảy ra.

Đây không phải một khiếu nại nhắm một trang. Chiến dịch sử dụng GDPR, DMCA, báo cáo phishing và khiếu nại nền tảng để nhắm tên miền của chúng tôi và từng kết quả tìm kiếm liên kết tới công trình của chúng tôi—hết URL này tới URL khác. Mục tiêu là làm cuộc điều tra biến mất khỏi hành trình tìm kiếm ngay cả khi kho lưu trữ nền vẫn trực tuyến.

Thời điểm trả lời câu hỏi về động cơ: xmrwallet đã đóng cửa. Một chiếc ví đã đóng không thể hưởng lợi từ cuộc tấn công này. Bên hưởng lợi còn lại là NameSilo, vì tên, lịch sử lạm dụng và việc bảo vệ chiếc ví của họ gắn với các kết quả đó.

Vậy còn ai trong câu chuyện này liên tục thao túng khả năng tìm thấy thông tin quanh đúng tên và đúng truy vấn tiêu cực—qua các trang SEO tự viết, phân phối trả phí và, theo đánh giá của chúng tôi, Google Ads nhắm các cụm từ cụ thể? NameSilo. Cùng logic xuất hiện lần nữa: chiếm tên, thay kết quả và đàn áp liên kết không thể viết lại.

Trong khi họ viết lại cùng các bài SEO, mua thông báo trông như của doanh nghiệp, tạo lời khen cho hỗ trợ và cố xóa liên kết của chúng tôi, hoạt động mà họ bảo vệ đã bị đóng cửa. Nó không bị đóng bởi nạn nhân mà họ đánh lừa, một điều tra viên nổi tiếng hay công ty bảo mật thương mại. Chúng tôi đã đóng nó—một dự án nghiên cứu phi thương mại làm việc với số tiền bằng không.

Chiến dịch đàn áp sau đó khiến sự tương phản còn tệ hơn. Tài khoản doanh nghiệp, khiếu nại pháp lý, yêu cầu xóa chỉ mục và nỗ lực gỡ bỏ đều nhắm vào các nhà nghiên cứu không có ngân sách truyền thông trả phí. Họ vẫn không thể xóa kho lưu trữ, đảo ngược bằng chứng hay mở lại chiếc ví. Mỗi nỗ lực chỉ tạo thêm một dấu thời gian và một chứng cứ mà không gây cho chúng tôi bất kỳ chi phí nào.

Đó không phải sức mạnh vận hành. Đó là sự bất lực chiến lược. Họ có tiền, hạ tầng và quyền truy cập nền tảng. Chúng tôi có bằng chứng, kho lưu trữ công khai và $0—và thứ biến mất chính là vụ lừa đảo.

Một logic, một chiến lược: tạo đánh giá, chiếm các từ ngữ cáo buộc trong tìm kiếm, mua nội dung trông như tin doanh nghiệp, xóa phát hiện, chuyển tên miền từng được bảo vệ, đe dọa nhà nghiên cứu rồi đàn áp mọi con đường dẫn tới bằng chứng của họ. Khách hàng biến mất. Chiến lược vẫn tiếp tục vì giai đoạn hai là bảo vệ chính NameSilo.

Phân cụm IP: 185.129.100.248 được chia sẻ bởi .cc và .me — cùng một máy chủ. 190.115.31.40 được chia sẻ bởi .biz và .net — cùng một máy chủ. Bốn nhà đăng ký tên miền, hai cụm IP. Thời hạn đăng ký trả trước 33 năm. Tất cả đều được đăng ký bí mật sau lần liên hệ đầu tiên với các điều tra viên.

Một đánh giá 5 sao cho NameSilo (tháng 1 năm 2026): “Leonid rất nhiệt tình… 5 sao!” Bài đánh giá khác: về Otrium — một công ty có các bài đánh giá cáo buộc gian lận và chiếm đoạt tiền. Một tài khoản bot, hai doanh nghiệp có liên quan đến lừa đảo. Mô hình nhận diện: nêu tên nhân viên hỗ trợ, khen ngợi thời gian phản hồi, sử dụng ngôn ngữ theo mẫu có sẵn. Người mua tên miền thực sự đánh giá về giá cả và trải nghiệm người dùng trên bảng điều khiển. Các bài đánh giá từ bot ca ngợi “Leonid.”

Leonid xuất hiện vào ngày 13 tháng 4 năm 2025. Trước đó, không có bất kỳ đề cập nào về anh. Sau đó, anh nhận được 65 đánh giá chỉ trong hai tháng đầu tiên. Tháng 5 năm 2025: 106 đánh giá (gấp 5 lần mức bình thường), 95% đánh giá 5 sao, không có đánh giá 1 sao. Không có một khách hàng nào phàn nàn trong số 106 đánh giá dành cho nhà đăng ký tên miền xếp thứ 96 về mức giá tên miền .com.

43% các bài đánh giá về Leonid có độ dài dưới 80 ký tự. Bốn bài trong số đó chỉ có tiêu đề “Leonid”. Thêm ba cái nữa: “Leonid đã giúp đỡ rất nhiều.” Trong số những người đánh giá có: “Satoshi Nakamoto,” “Tác giả,” “Виктор -”, “Anna Koroleva,” “Boris Martin,” “Andrei Dobrescu” xen lẫn với “Brad,” “LaToya,” “Patty Johnson.” Một công cụ tạo tên luân phiên qua các châu lục. Tên Leonid là tên Nga.

“Công ty A có những bằng chứng phong phú và đa chiều cho thấy việc thao túng các bài đánh giá một cách có hệ thống thông qua việc tạo ra các đánh giá giả mạo một cách có phối hợp. Khả năng những mô hình này xuất hiện một cách tự nhiên gần như bằng không.”

Phân tích chi tiết: phishdestroy.eth.limo/namesilo-trustpilot.html · Dữ liệu thô: trustpilot-forensic-report-final.txt

Tên miền xmrwallet.com đã được chuyển sang Namecheap vào tháng 5 năm 2026, với thời hạn đăng ký đến năm 2036. NameSilo dường như coi vấn đề này đã được giải quyết. Không phải vậy.

Bạn nghĩ rằng những chuyên gia có thể vượt trội hơn mọi nhà cung cấp phần mềm diệt virus sẽ dừng lại khi tên miền được chuyển sang nơi khác sao? Vụ việc đang được điều tra trên IPFS. Vụ việc đang được điều tra trên Arweave. Vụ việc đang được xử lý trong hệ thống khiếu nại chính thức của ICANN. Vụ việc đang được cơ quan thực thi pháp luật của Liên minh Châu Âu (EU) xử lý. Vụ việc đang được 3 đơn vị chống tội phạm mạng quốc gia xử lý. Lời đe dọa pháp lý đã thêm một dấu thời gian nữa vào hồ sơ. Việc chuyển nhượng tên miền đã bổ sung thêm một bằng chứng nữa. Mọi hành động được thực hiện nhằm ngăn cản cuộc điều tra này đều chính là bằng chứng được ghi chép lại về mô hình mà chúng tôi đã mô tả.

Trong tình huống này, các bạn không phải là những người thông minh nhất. Chỉ là trong một thời gian ngắn, các bạn có nhiều tiền hơn mà thôi.