NameSilo đã làm hỏng tài khoản Twitter của chúng tôi Bởi vì chúng tôi đã nói lên sự thật về họ

The Receipts: X tự mâu thuẫn trong bài viết

Hai email chính thức từ bộ phận Hỗ trợ của X. Cùng một tài khoản. Cùng một đơn khiếu nại. Hai quyết định trái ngược nhau. Email thứ hai là email mới hơn. Hãy đọc chúng theo thứ tự.

Email số 2 là quyết định mới nhất. Quyết định này rõ ràng đã hủy bỏ Email số 1. Trong đó nêu rõ — bằng văn bản, trên giấy tiêu đề của chính X — rằng tài khoản đã được đã khôi phục lại toàn bộ chức năng. Tài khoản vẫn chưa được khôi phục. Gói đăng ký trả phí vẫn tiếp tục bị tính phí. Không có email thứ ba nào để thu hồi nội dung của Email số 2. Cam kết gần đây nhất của X đối với chúng tôi đơn giản là không được thực hiện.

Tại sao điều này lại xảy ra?

Vào ngày 27 tháng 3, chúng tôi đã đăng tải Sự sụp đổ của xmrwallet[.]com: NameSilo đã nói dối để che giấu một tên trộm tiền điện tử. Cuộc điều tra đã được xác nhận lại: các bản sao lưu điểm cuối PHP, các lệnh đã được lưu trữ, cùng hơn 15 nạn nhân được ghi nhận. Ba nhà đăng ký đồng cấp (Ấn Độ, Malaysia, Trung Quốc) đã xem xét cùng một bằng chứng và đã ngừng hoạt động các xmrwallet tên miền trong vài ngày. Chỉ có NameSilo là đứng ra bênh vực kẻ lừa đảo.

Điều xảy ra tiếp theo rất quan trọng. Thứ tự cũng rất quan trọng:

1. Kẻ lừa đảo đã gửi email trực tiếp cho chúng tôi trước tiên — trước khi NameSilo đưa ra bất kỳ tuyên bố công khai nào, trước khi bất kỳ đơn kháng cáo nào được nộp. Trong email của mình, hắn đã bảo chúng tôi “kiện nhà đăng ký tên miền”. Đó không phải là câu mà một kẻ lừa đảo hành động một mình sẽ viết cho một nhà nghiên cứu đang truy lùng hắn. Đó là câu mà ai đó sẽ viết khi họ đã biết chắc rằng nhà đăng ký tên miền sẽ đứng về phía họ. Chúng tôi chưa từng thấy phản ứng như vậy từ bất kỳ kẻ lừa đảo nào khác mà chúng tôi đã ghi nhận.
2. NameSilo sau đó đã ra một tuyên bố công khai chứa hai thông tin sai sự thật có thể chứng minh được, được trích dẫn nguyên văn và được lưu trữ trong bài điều tra của chúng tôi trên Medium:
   • “Tên miền này đã bị xâm nhập cách đây vài tháng” — điều này mâu thuẫn với thực tế là mã chống trộm do chính nhà cung cấp dịch vụ phát triển vẫn đang hoạt động trên môi trường sản xuất tại thời điểm NameSilo đưa ra tuyên bố.
   • “Trước đó, chúng tôi chưa từng nhận được bất kỳ báo cáo nào về hành vi lạm dụng nào” — điều này mâu thuẫn với các biên nhận giao hàng của chúng tôi liên quan đến nhiều báo cáo lạm dụng trước đó, kèm theo đầy đủ bằng chứng kỹ thuật.
   Tuyên bố này cũng nêu rõ: “Bên đăng ký đang nỗ lực để được loại khỏi các báo cáo của VT,” điều này khẳng định rằng NameSilo đã công khai ủng hộ nỗ lực của nhà điều hành nhằm xóa các kết quả phát hiện của VirusTotal trong khi mã đánh cắp vẫn đang hoạt động.
3. Trong cùng một tuyên bố, NameSilo đã bác bỏ nghiên cứu của chúng tôi với lý do rằng nó thiếu tính nghiêm túc và đã công khai đề nghị giúp nhà điều hành gỡ bỏ các cảnh báo từ các nhà cung cấp giải pháp bảo mật (VirusTotal, Fortinet) — trong khi mã độc vẫn đang hoạt động.
4. Chúng tôi trả lời dựa trên sự thật liên quan đến tuyên bố công khai đó. Không quấy rối. Không gửi thư rác. Không tiết lộ thông tin cá nhân. Chúng tôi đã đính chính thông tin tại chính diễn đàn mà NameSilo đã chọn.
5. Bảy ngày sau, Hai tài khoản PhishDestroy X đã bị khóa. Lý do được nêu ra: “vấn đề thanh toán.” Các khoản đăng ký đã được thanh toán. Vào ngày 14 tháng 4, lý do được thay đổi thành “hành vi không hợp lệ.” Sau khi khiếu nại, lý do lại được thay đổi thành “không vi phạm, đã khôi phục.” Việc khóa tài khoản và các khoản thanh toán chưa được hoàn lại vẫn không có bất kỳ thay đổi nào.

Liệu NameSilo và kẻ lừa đảo có liên quan đến nhau không?

Cái xmrwallet[.]com Nhà cung cấp dịch vụ đã tự tin phản hồi các báo cáo về hành vi lạm dụng, đăng tweet cùng với đơn vị đăng ký tên miền với các nội dung phát ngôn được phối hợp sẵn, và chưa bao giờ chuyển nhượng tên miền trong suốt mười năm nhận được khiếu nại. Đó không phải là cách hành xử của những kẻ lừa đảo đang lo lắng. Đó là cách hành xử của những kẻ lừa đảo đã có sự thỏa thuận trước.

Trong hơn một trăm vụ việc liên quan đến các đối tượng thực hiện lừa đảo qua email mà chúng tôi đã ghi nhận, chúng tôi chưa từng gặp phải chuỗi hành động cụ thể này trước đây:

Hạ tầng của nhà khai thác không phải là của một người chơi nghiệp dư. Theo chúng tôi Cuộc điều tra quy mô vừa, xmrwallet[.]com được lưu trữ trên $550/month bulletproof hosting via IQWeb FZ-LLC (được đăng ký tại Belize), phía sau DDoS-Guard (Nga). Đó là một hệ thống chuyên nghiệp, được chuẩn bị kỹ lưỡng và có khả năng chống lại các cuộc tấn công — chứ không phải một trang web lừa đảo tạm bợ. Việc một cá nhân vận hành một hạ tầng được chuẩn bị kỹ lưỡng và “bất khả xâm phạm”, đồng thời còn khiến nhà đăng ký tên miền của mình công khai đưa ra tuyên bố bảo vệ thay mặt cho người đó, ít nhất cũng là một hoạt động được phối hợp một cách bất thường.

Chúng ta không thể chứng minh mối liên hệ này dựa trên các nguồn thông tin bên ngoài sổ sách kế toán của NameSilo. Chỉ có hồ sơ nội bộ của họ mới có thể làm được điều đó. Tuy nhiên, dựa trên những bằng chứng hiện có, vẫn còn hai giả thuyết: hoặc người điều hành này là kẻ lừa đảo tiền điện tử tự tin nhất trong thập kỷ qua và đã đoán đúng rằng nhà đăng ký tên miền của mình sẽ bản năng che chở cho anh ta — hoặc Giữa họ có một mối quan hệ chưa được tiết lộ. Vấn đề thứ nhất cần được dư luận xem xét kỹ lưỡng. Vấn đề thứ hai cần phải có lệnh triệu tập. Các cơ quan thực thi pháp luật tại các khu vực pháp lý thuộc Liên minh Châu Âu hiện đang điều tra vụ việc liên quan.

Bằng chứng trực tiếp: Những gì NameSilo đã công khai tuyên bố so với những gì thực sự đã xảy ra

Các đoạn văn trên mô tả một xu hướng. Phần này ghi chép lại những mâu thuẫn cụ thể về sự thật giữa các tuyên bố công khai của NameSilo và các ghi chép trực tiếp của chúng tôi. Chúng tôi không yêu cầu ai tin chúng tôi một cách mù quáng — mọi thông tin dưới đây đều có thể được xác minh thông qua các kho lưu trữ của bên thứ ba, biên lai giao hàng và Wayback Machine.

Mô hình kiểm duyệt: Tài khoản, không chỉ là bình luận

Trong suốt ba năm điều tra, chúng tôi đã theo dõi, theo thời gian thực, cách thức hoạt động của lớp kiểm duyệt trên ba nền tảng khác nhau. Mô hình này lặp lại một cách nhất quán đến mức chúng tôi đã bắt đầu lưu trữ dữ liệu trước khi công bố, mỗi lần như vậy.

• GitHub. Toàn bộ tài khoản đã đăng các vấn đề hoặc bình luận đề cập đến xmrwallet[.]com đã bị xóa — không phải các bình luận riêng lẻ, cũng không phải các chuỗi thảo luận, mà là toàn bộ tài khoản. Chúng tôi có các bản lưu trữ từ Wayback Machine về các chuỗi thảo luận liên quan, trong đó trang hồ sơ của người bình luận hiện hiển thị lỗi 404. Bất kỳ ai tiến hành điều tra đều có thể yêu cầu GitHub, theo thủ tục pháp lý thích hợp, cung cấp thông tin về số lượng tài khoản người dùng có bài đăng đề cập đến xmrwallet đã bị đóng cửa trong giai đoạn từ năm 2018 đến năm 2026, và vì lý do nào đã được nêu ra. Chúng tôi dự đoán con số này sẽ không hề nhỏ.
• Trustpilot. Hàng chục bài đánh giá tiêu cực trung thực đã bị xóa trong các đợt liên tiếp. Các vụ xóa này tập trung vào mỗi chu kỳ khiếu nại công khai, điều này phù hợp với việc báo cáo có sự phối hợp hơn là hoạt động kiểm duyệt tự nhiên. Một lần nữa, nhật ký xóa nội bộ của Trustpilot — vốn đang bị yêu cầu cung cấp theo trát tòa — chính là bằng chứng xác thực nhất.
• X (Twitter). Các bình luận chỉ trích nhắm vào những tài khoản có dấu hiệu lừa đảo đã biến mất với tốc độ khó có thể giải thích chỉ dựa trên chính sách thông thường của nền tảng. Sau khi chúng tôi @Phish_Destroy Khi tài khoản này cuối cùng bị khóa với lý do thay đổi liên tục (xem các email xác nhận ở trên), bức tranh tổng thể đã trở nên rõ ràng. Chiến lược đàn áp tương tự đã được sử dụng chống lại các cá nhân khiếu nại trong nhiều năm nay giờ đây đang được áp dụng đối với một tài khoản nghiên cứu.

Chúng tôi muốn làm rõ: chúng tôi không khẳng định rằng đó là khả năng truyền tư tưởng. Chúng tôi khẳng định rằng đó là một trình tự thời gian đã được ghi chép lại. Đăng bài. Bài viết được lưu trữ. Bài viết bị xóa. Lặp lại quy trình này trên ba nền tảng, nhắm đến cùng một đối tượng, trong suốt một thập kỷ, trong khi nhà đăng ký tên miền không bao giờ chuyển nhượng tên miền đó. Dòng thời gian đó không cần đến một thuyết âm mưu. Điều cần thiết là một yêu cầu truy cập hồ sơ công khai.

Nếu bạn là nạn nhân của xmrwallet[.]com — Xin mời bước lên phía trước

Chúng tôi biết còn nhiều người khác như các bạn. Chúng tôi đã nhận được những liên hệ riêng tư từ những người bị mất tiền nhưng không dám lên tiếng công khai khi kẻ điều hành vẫn còn hoạt động và khi đơn vị đăng ký tên miền của hắn vẫn đang công khai bênh vực hắn. Tình hình hiện nay đã thay đổi. Hoạt động này đã bị phanh phui, cơ sở hạ tầng đã được ghi chép lại, và các cơ quan thực thi pháp luật tại các khu vực pháp lý thuộc Liên minh Châu Âu đang điều tra vụ việc này.

Đối với các cơ quan có thẩm quyền thực sự buộc phải công bố thông tin — Bộ phận Tuân thủ của ICANN, các cơ quan quản lý GDPR của EU, Trung tâm Chống Gian lận Canada (nhà điều hành là công ty Canada), các cơ quan thuế có liên quan, và bất kỳ tòa án nào có thẩm quyền đối với đơn vị điều hành của NameSilo: các tài liệu nguồn gốc đã được lưu giữ và sẵn sàng cung cấp theo yêu cầu. Biên nhận giao hàng, bản chụp lưu trữ từ Wayback Machine, bài viết trên Medium, sơ đồ cơ sở hạ tầng báo cáo tên miền và lời khai của nạn nhân kèm theo văn bản đồng ý có chữ ký. Chúng tôi không giấu giếm bất kỳ bằng chứng nào. Chúng tôi lưu giữ chúng dưới dạng mà quý vị thực sự có thể sử dụng.

Gọi đen là trắng cũng không thể biến nó thành trắng. Một thập kỷ bằng chứng công khai, hơn 20 thông báo lạm dụng được ghi chép đầy đủ, một hệ thống trộm cắp được lưu trữ trên nền tảng “bulletproof”, việc xóa tài khoản có phối hợp trên ba nền tảng, một tài khoản nghiên cứu bị cấm, và một người điều hành được nêu tên mà danh tính đã được công khai — đây không phải là vấn đề quan hệ công chúng. Đây là vấn đề thuộc thẩm quyền pháp lý. Chúng tôi tin rằng các hồ sơ công khai hiện đã chứa đủ bằng chứng để giải quyết vấn đề này.

Các nạn nhân: Ai thực sự là người bị tổn hại?

Lý do ngầm của NameSilo, khi họ chọn nhấn nút báo cáo lạm dụng nền tảng thay vì rút lại bài viết, là “chúng tôi không thích bị phơi bày”. Cũng hợp lý thôi. Ai cũng hiếm khi thích bị phơi bày. Nhưng hãy đặt hai tác hại đó lên cùng một cán cân.

Hồ sơ vĩnh viễn

Việc ẩn một tài khoản Twitter không đồng nghĩa với việc xóa bỏ bằng chứng. Mọi thông tin liên quan đến vụ việc này đều đã được lưu trữ:

• Mọi tuyên bố công khai của NameSilo nhằm bảo vệ xmrwallet nhà điều hành — Wayback Machine, Archive.today, kho lưu trữ bằng chứng trên GitHub của chúng tôi.
• Các ảnh chụp màn hình mã trộm cắp đang hoạt động trên môi trường sản xuất, kèm theo dấu thời gian.
• 8 điểm cuối PHP đã được phân tích ngược và công bố.
• Toàn bộ chuỗi cuộc trò chuyện về báo cáo lạm dụng.
• Toàn bộ dòng thời gian X của chúng tôi đã được sao chép lên Mastodon, Bluesky, Medium, Telegram, GitHub và IPFS.
• Các bản chụp nhanh theo giờ của phishdestroy.io chính nó, thời gian lưu trữ 14 ngày, được cài đặt đặc biệt để đảm bảo rằng không có nội dung nào chúng tôi đã viết có thể biến mất một cách âm thầm.

Nếu bất kỳ máy chủ gương nào bị ngừng hoạt động, nội dung vẫn sẽ tồn tại trên bảy máy chủ còn lại. Kiến trúc này ra đời trước cả NameSilo. Nó sẽ tồn tại lâu hơn cả NameSilo.

Điều này có công bằng không? Năm câu hỏi dành cho tất cả những ai đang đọc bài viết này

Đây không phải là những câu hỏi tu từ. Hãy đọc các bằng chứng ở trên, sau đó tự mình đưa ra câu trả lời — một cách riêng tư, trên dòng thời gian của bạn, hoặc trong khi cân nhắc xem nên giữ lại hay chuyển các tên miền của mình.

1. Việc cấm một nhà nghiên cứu bảo mật chỉ vì người này đã công khai phản hồi lại tuyên bố công khai của chính nhà đăng ký tên miền có công bằng không? Người ghi chép đã mở đầu cuộc trò chuyện. Nhà nghiên cứu trả lời bằng những dữ kiện. Chỉ có một bên bị im lặng.
2. Liệu có thể chấp nhận được việc một nhà đăng ký đưa ra tuyên bố công khai bác bỏ các nghiên cứu có bằng chứng cụ thể là thiếu nghiêm túc, trong khi đồng thời lại đề nghị giúp một kẻ lừa đảo loại bỏ các cơ chế phát hiện bảo mật hay không? Cả hai sự việc đều được đề cập trong một tuyên bố của NameSilo. Tên của các nạn nhân không được nhắc đến ở bất kỳ đâu trong tuyên bố đó.
3. Việc X chính thức rút lại bằng văn bản lý do khóa tài khoản của chính mình (“không vi phạm, đã khôi phục”) nhưng vẫn duy trì lệnh cấm có được chấp nhận hay không? Theo phán quyết mới nhất của X, tài khoản này phải được duy trì hoạt động.
4. Việc gói đăng ký xác minh trả phí tiếp tục tính phí trong khi tài khoản liên quan đang bị khóa có được chấp nhận không? Nếu dịch vụ không được cung cấp, thì đó là một sản phẩm — hay là vi phạm hợp đồng?
5. “Tình trạng hoạt động hợp lệ” của một nhà đăng ký tên miền được ICANN công nhận có nghĩa là gì? Liệu một cơ quan đăng ký được công nhận có thể lợi dụng các kênh xử lý vi phạm của nền tảng bên thứ ba để bịt miệng nhà nghiên cứu đang ghi chép lại sự thất bại của họ trong việc ứng phó với các vi phạm hay không? Đây là một vấn đề liên quan đến tuân thủ, và nội dung này đang được bổ sung vào hồ sơ hiện có theo Điều 3.18 của Thỏa thuận Đăng ký (RAA).

Nếu có câu trả lời nào là “Không, điều này không công bằng”

Dưới đây là ba biện pháp cụ thể, không tốn chi phí, được sắp xếp theo thứ tự từ ít tác động nhất đến nhiều tác động nhất.

1. Chia sẻ công khai

Sự phản đối thầm lặng chẳng mang lại kết quả gì. Áp lực rõ ràng mới có tác dụng. Chỉ cần một cú nhấp chuột, đã điền sẵn:

2. Hỏi tên từng bên

Hãy gắn thẻ họ. Sự phản đối thầm lặng chẳng giải quyết được gì. Những câu hỏi được nêu ra công khai từ phía độc giả sẽ thu hút sự chú ý.

• @NameSilo — là @Phish_Destroy lệnh cấm liên quan đến tuyên bố công khai của bạn trong đó đề nghị giúp đỡ xmrwallet Các phát hiện của toán tử đã bị xóa chưa?
• @X / @XSupport / @elonmusk — Email số 2 ghi là “đã khôi phục đầy đủ chức năng”. Tài khoản hiện đang bị khóa. Quyết định nào đang có hiệu lực?
• @ICANN — Điều 3.18 của RAA có quy định về việc cơ quan đăng ký thực hiện các biện pháp trả đũa đối với các nhà nghiên cứu hay không?
• @Tucows — Việc trả đũa các nhà nghiên cứu bằng cách lạm dụng nền tảng có phù hợp với các tiêu chuẩn dành cho đại lý phân phối OpenSRS của quý vị không?

3. Chuyển các tên miền của bạn (đây là việc khó khăn nhất)

Các công ty phản ứng trước việc sụt giảm doanh thu, chứ không phải trước các dòng tweet. Quá trình chuyển khoản mất khoảng mười lăm phút. Của chúng tôi trang thống kê của cơ quan đăng ký liệt kê các nhà đăng ký có hồ sơ xử lý vi phạm trong sạch. Mỗi tên miền được chuyển sang NameSilo đều là một dữ liệu về số lượng gia hạn mà ban lãnh đạo NameSilo sẽ xem xét trong quý tới.

Nếu bạn là một tổ chức — dự án tiền điện tử, nền tảng săn lỗi, cơ quan báo chí, công ty phân tích thông tin về mối đe dọa — với bất kỳ Tên miền tại NameSilo: hãy suy ngẫm về ý nghĩa của việc tài trợ cho nhà đăng ký tên miền đã che chở cho một vụ trộm cắp trị giá hơn 20 triệu đô la và sau đó bịt miệng nhà nghiên cứu đã ghi chép lại vụ việc này. Bạn có thể công khai hành động đó. Điều đó sẽ có sức nặng.

Lời kết

Bạn không thể che giấu một đường dây trộm cắp trị giá hơn 20 triệu đô la trong suốt mười năm, nói dối về vụ việc trước công chúng, trả đũa nhà nghiên cứu đã vạch trần bạn — rồi để toàn bộ sự việc bị lãng quên một cách lặng lẽ. Đặc biệt là khi các cơ quan thực thi pháp luật của EU đang điều tra vụ án này.

Chúng tôi không yêu cầu các bạn tin theo lời chúng tôi. Mọi khẳng định dựa trên sự thật nêu trên đều có liên kết, được ghi chép đầy đủ, có dấu thời gian, được lưu trữ tại một địa điểm khác và có thể kiểm chứng lại. Chúng tôi mong bạn xem xét các bằng chứng, tự mình trả lời năm câu hỏi và hành động dựa trên câu trả lời của chính mình. Đó chính là sự công bằng — một độc giả tự đọc các bằng chứng và đưa ra quyết định. Đó cũng chính là điều mà việc bịt miệng nhằm ngăn chặn.

PhishDestroy là nguồn thông tin tình báo về mối đe dọa độc lập. Không nhận tiền, không có nhà tài trợ, không có sự ưu ái nào. Chúng tôi công bố những gì chúng tôi phát hiện. NameSilo đã cấm tài khoản của chúng tôi vì lý do đó.

Nghiên cứu ban đầu: phishdestroy.io/xmrwallet-NameSilo-bị rò rỉ
Nghiên cứu cấp trung (nguồn sơ cấp): PhishDestroy.medium.com/xmrwallet-com-2953f35b8a79
Kho bằng chứng: github.com/PhishDestroy