Trustname[.]com: Bên trong một nhà đăng ký tên miền “bất khả xâm phạm” được ICANN công nhận, phục vụ các sòng bạc lừa đảo

Công ty Shell tại Estonia: Fewmoretaps OÜ

Công ty Fewmoretaps OÜ đã được đăng ký tại Cơ quan Đăng ký Doanh nghiệp Estonia với mã số đăng ký 16354846, thuế GTGT EE102702659, tại địa chỉ văn phòng ảo — Roseni tn 13, Tallinn. Được thành lập vào ngày 01.11.2021 với vốn điều lệ là 2.500 €, vốn này đã được chưa bao giờ nộp tiền vào (“Được thành lập mà không cần đóng góp” — Báo cáo thường niên năm 2022).

Chuỗi sở hữu: một nhà khai thác người Belarus kiểm soát công ty vỏ bọc ở Estonia, cả hai máy chủ proxy bảo mật “độc lập” này, cũng như công ty tiếp thị làm bình phong fewmoretaps.com.

Dòng sở hữu

Tình hình tài chính: 120 €/năm và lỗ ngày càng tăng

Các báo cáo thường niên bắt buộc của Estonia được công khai. Các con số này rất rõ ràng:

Các tuyên bố tiếp thị so với thông tin trong hồ sơ: “Được hàng triệu người tin tưởng” và “Khách hàng thuộc danh sách Fortune 500” ở một bên — Doanh thu 120 €, 1 nhân viên, giải thể mặt khác.

Bảng tài chính (EUR)

“Bulletproof” — Cụm từ do chính họ đặt ra

Đây không phải là chiêu trò tiếp thị của PhishDestroy — thông tin này thực sự có trong bản ghi TXT DNS của chính Trustname:

“Trustname là đơn vị được ICANN công nhận và là nhà đăng ký tên miền độc lập đáng tin cậy nhất thế giới dành cho các cá nhân và doanh nghiệp quan tâm đến quyền riêng tư trong các lĩnh vực nhạy cảm. Hãy tin tưởng chúng tôi sẽ là nhà đăng ký tên miền đáng tin cậy. “Chúng tôi đáng tin cậy, chúng tôi đáng tin cậy và giá cả phải chăng.”

Bất kỳ ai có máy khách DNS đều có thể xác minh: dig TXT trustname.com. Trong ngành dịch vụ lưu trữ và đăng ký tên miền, “chống đạn” là một thuật ngữ chuyên ngành — thuật ngữ này chỉ rõ ràng các dịch vụ chống lại các yêu cầu gỡ bỏ nội dung do lạm dụng và cung cấp dịch vụ cho các nhà khai thác nội dung bất hợp pháp.

Mạng lưới sòng bạc lừa đảo

Trong vòng một một tuần (Từ ngày 8 đến ngày 13 tháng 4 năm 2026), sáu tên miền sòng bạc tiền điện tử lừa đảo đã được đăng ký thông qua Trustname, tất cả đều được ẩn đằng sau các máy chủ proxy bảo mật riêng của Trustname:

Cả sáu sòng bạc này đều sử dụng chung các mẫu Next.js, các mã băm chunk của Webpack và một hệ thống quản trị phía máy chủ chung bằng tiếng Nga tại gambler-partners.is.

Các tên miền lừa đảo đã được xác nhận (tất cả đều được đăng ký qua IANA #4318)

Máy chủ proxy bảo mật ở nước ngoài — Thuộc sở hữu của cơ quan đăng ký tên miền

Trustname không sử dụng các dịch vụ bảo vệ quyền riêng tư độc lập của bên thứ ba. Công ty này tự vận hành hệ thống của riêng mình:

Tallinn (vỏ bọc) → Charlestown, Nevis (Perfect Privacy LLC) → Orlando, FL (WHOIS Privacy LLC) → Minsk (nhà điều hành). Tất cả các nút đều do cùng một người kiểm soát.

Tiền đi đâu rồi?

Các hình thức thanh toán: Stripe + BTC/ETH/LTC/XMR/ZEC. Các khoản thanh toán được khai báo với cơ quan thuế Estonia: 120 €/năm. Khoảng thâm hụt này được bù đắp bằng khoản “vay dài hạn” trị giá 175.310 euro từ các nguồn không được tiết lộ.

Nền tảng Trustname chấp nhận thanh toán bằng thẻ qua Stripe (/v2/users/billing/stripe/payment-methods) và tiền điện tử thông qua các địa chỉ ví sau đây được nhúng trong điểm cuối thông báo API đã được xác thực:

ETH:  0xdee6582dc53fa56180311393018121c6f1e8bd7c
LTC:  MEREvHtzqAUTJ1XvEevmci8UqMnDvfe2ri
ZEC:  t1d19KevpcXpesr9XA9UUyMW9XGYVDxkK9S
XMR:  8B5N29BocrTjkRCeGCARnkhKgBeHBhg4oH7ay4RfXfnL7RqBdyiuL4k6iN4GVUVxt1EQJvZRqLg8n4qgCNWmYHQQDZmfytM

Sự chấp nhận Monero (XMR) — một loại tiền điện tử được thiết kế đặc biệt để không thể truy vết — cùng với một nhà cung cấp dịch vụ thanh toán được quản lý và yêu cầu xác minh danh tính (KYC) (Stripe), đồng thời tuyên bố 120 euro doanh thu hàng năm đối với cơ quan thuế Estonia, điều này tạo ra một nghịch lý về tuân thủ. Chỉ riêng việc đăng ký một tên miền .com với giá sỉ (~13 USD) đã vượt quá doanh thu khai báo của cả năm.

Các tuyên bố tiếp thị so với hồ sơ khai thuế

Những gì họ nói với khách hàng

• “Nhà đăng ký tên miền độc lập có tốc độ tăng trưởng nhanh nhất năm 2025”
• “Được hàng triệu chủ sở hữu tên miền tin tưởng”
• “Được các công ty trong danh sách Fortune 500 tin tưởng”
• “Một đội ngũ gồm hơn 35 người làm việc tại nhiều địa điểm khác nhau trên khắp thế giới”
• Các văn phòng có trụ sở tại London, Beverly Hills và Melbourne
• Khách hàng: McDonald’s, Vodafone, Adidas, Tata, Yahoo, BCG (bức tường logo của fewmoretaps.com)
• “Kể từ năm 1997” (fewmoretaps.com)

Những tài liệu mà họ nộp cho cơ quan thuế Estonia

• Doanh thu 0 € vào năm 2023, Doanh thu 120 euro vào năm 2024
• 1 nhân viên (FTE) trong cả hai năm
• Vốn chủ sở hữu −71.648 €, vốn chưa góp là 2.500 €
• Văn phòng ảo tại Roseni tn 13, Tallinn
• Được thành lập 2021, chứ không phải năm 1997
• Công ty đang trong quá trình thanh lý

Những lời chứng thực giả mạo (“Bức tường tình yêu”)

30 đánh giá. 11 tên riêng khác nhau. Tên “Jack” xuất hiện 5 lần, tên “Lily” xuất hiện 6 lần. Không có ảnh, không có ngày tháng, không có hồ sơ có thể xác minh, không có liên kết đến Trustpilot hay G2. Không có họ.

Phân tích về trustname.com/wall-of-love trang: Trong số 30 “đánh giá của khách hàng”, chỉ có 11 tên riêng khác nhau. “Jack” xuất hiện năm lần. “Lily” sáu lần. “Megan” ba lần. Tất cả các đánh giá đều là những lời khen chung chung chỉ vỏn vẹn một dòng, được viết theo một phong cách thống nhất. Không có liên kết nào dẫn đến các nền tảng đánh giá độc lập. Không có thông tin xác thực về danh tính khách hàng. Để so sánh, Namecheap và Porkbun có hàng nghìn đánh giá đã được xác minh trên Trustpilot và G2.

Rủi ro về cơ sở hạ tầng và an ninh

Sơ đồ cơ sở hạ tầng: Frontend Vercel, Kubernetes trên AWS eu-central-1 với các máy chủ Kafka được mở công khai trên cổng 7777, giao diện quản trị Strapi mở, hệ thống WHOIS của CoreNIC không được bảo vệ và đang ở chế độ phát triển.

trustname.com (Vercel / Next.js)
  ├── api.trustname.com              Fastify API (Swagger behind Basic Auth only)
  ├── admin.trustname.com            React-Admin panel (publicly accessible)
  ├── blog.trustname.com             Strapi CMS (admin UI exposed)
  ├── support.trustname.com          Freshdesk (EU instance)
  └── whois-fewmoretaps.corenic.net  Knipp DomainSRS (JSF Development mode)

fewmoretaps.com (WordPress) origin: 37.1.219.211
     Open ports: FTP:21 (vsftpd 3.0.5), SSH:22, HTTP:80, HTTPS:443

AWS eu-central-1 (EKS Kubernetes):
  35.156.29.145 / 18.196.68.81 / 52.28.105.156
  Port 7777 — Apache Kafka (Strimzi)
  SSL cert CN: kafka-staging-kafka   SAN: staging.kafka-0.trustname.com
  Namespace: backend-staging

Upstream registrar: OpenSRS (Tucows)
Invoicing: Quaderno · Payments: Stripe + Crypto
Email: Brevo  ·  Analytics: Google, Fuago
S3: domain-registrar-strapi-media (eu-central-1, leaked via CSP header)

Dòng thời gian

Ai là người tạo điều kiện cho việc này?

Mọi nền tảng lớn có liên quan đến hoạt động này đều có Chính sách Sử dụng Hợp lý riêng, trong đó nghiêm cấm hành vi gian lận. Tuy nhiên, chưa có nền tảng nào thực hiện biện pháp nào cả.

Gửi ICANN

• Làm thế nào mà một công ty với Doanh thu 0 € và 0 nhân viên Tại thời điểm nộp đơn, liệu đã được ICANN công nhận chưa? Các biện pháp thẩm định nào đã được thực hiện?
• Một nhà đăng ký mà bản ghi TXT DNS của họ ghi rõ ràng là “nhà đăng ký tên miền an toàn tuyệt đối” và “các phân khúc nhạy cảm” — Điều này phù hợp như thế nào với Thỏa thuận công nhận của Văn phòng Đăng ký?
• Hiện tại, cơ quan đăng ký đang thuộc thanh lý tại Estonia. Các khiếu nại về hành vi lạm dụng đang được xử lý liên quan đến các tên miền được đăng ký thông qua IANA #4318 sẽ được xử lý như thế nào?
• Cả hai chủ sở hữu đều là công dân của Belarus — một quốc gia đang phải chịu các biện pháp trừng phạt toàn diện từ Liên minh châu Âu (EU) và Hoa Kỳ kể từ năm 2020. Thông tin này có được tiết lộ trong quá trình công nhận hay không?

Gửi OpenSRS (Tucows)

• OpenSRS cung cấp API nguồn mà Trustname sử dụng để đăng ký tên miền (đã được xác nhận bởi opensrsOrderId (trong dữ liệu giao dịch). Liệu Tucows có tiến hành kiểm tra tuân thủ đối với các nhà phân phối lại tự quảng bá mình là “không thể bị tấn công” hay không?
• Sáu tên miền sòng bạc lừa đảo — trong đó có một tên miền đã bị Cloudflare đánh dấu — đã được đăng ký qua OpenSRS thông qua Trustname chỉ trong vòng một tuần. Hiện nay, có những biện pháp phát hiện gian lận tự động nào được áp dụng ở cấp độ đại lý phân phối?

Gửi đến AWS, Stripe, Vercel, Cloudflare

• AWS: cụm EKS, bucket S3 và ba máy chủ Kafka được mở công khai nằm tại eu-central-1. Chính sách Sử dụng Được Chấp nhận (AUP) của AWS cấm các dịch vụ tạo điều kiện cho hành vi gian lận.
• Dải sọc: các giao dịch thanh toán bằng thẻ được xử lý qua /v2/users/billing/stripe/payment-methods. Danh sách các ngành nghề bị hạn chế của Stripe cấm các dịch vụ tạo điều kiện cho hoạt động bất hợp pháp. Danh mục khách hàng đã được rà soát chưa?
• Vercel: trustname.com và admin.trustname.com được lưu trữ trên Vercel. Chính sách Sử dụng Được Chấp nhận (AUP) của Vercel cấm “các dịch vụ quảng bá các âm mưu lừa đảo.”
• Cloudflare: jopexplay.com được gắn nhãn là “Trang web nghi ngờ gây hiểu lầm”. Năm sòng bạc còn lại sử dụng các mẫu thiết kế giống hệt nhau vẫn đang hoạt động bình thường. Tại sao lại có sự không nhất quán này?

Giới thiệu về Belarus và Monero

• Cả hai chủ sở hữu đều là Cư dân thuế Belarus. Theo luật thuế của Belarus, thu nhập từ khắp nơi trên thế giới phải được khai báo tại Belarus. Các cơ quan chức năng Belarus không có hiệp định hỗ trợ tư pháp về thuế (MLAT) với hầu hết các quốc gia phương Tây — do đó, việc thi hành pháp luật trên thực tế rơi vào bế tắc.
• Trustname chấp nhận Monero (XMR), một loại tiền điện tử được thiết kế để không thể truy vết. Các khoản thanh toán bằng XMR được kê khai như thế nào đối với thuế GTGT, phòng chống rửa tiền (AML) và báo cáo tài chính tại Estonia? Báo cáo thường niên cho thấy 120 €. Điều đó có bao gồm tiền điện tử không? Nếu không, thì nó được xếp vào đâu?

Các dấu hiệu cho thấy hệ thống đã bị xâm nhập

Mã định danh của cơ quan đăng ký

IANA ID:        4318
WHOIS Server:   whois.fewmoretaps.com
Abuse email:    abuse@trustname.com
Abuse phone:    +372.6884747

Cơ sở hạ tầng

trustname.com
fewmoretaps.com
harakiri.org
whoispps.com
gambler-partners.is
pictures-cdn.is

37.1.219.211      fewmoretaps.com origin (FTP, SSH, HTTP, HTTPS)
195.253.23.47     CoreNIC WHOIS origin
35.156.29.145     AWS Kafka broker
18.196.68.81      AWS Kafka broker
52.28.105.156     AWS Kafka broker

Các tên miền lừa đảo đã được xác nhận

noawin.com          henofex.com         jopexplay.com
bezowin159.pro      noswin152.pro       bazowin781.pro

Các nghiên cứu liên quan

Nguồn và việc xác minh

Mọi khẳng định trong báo cáo này đều được chứng thực bằng các tài liệu công khai hoặc dữ liệu thu thập được thông qua tài khoản đã được xác thực của chính nhà nghiên cứu. Dưới đây là các nguồn chính kèm theo hướng dẫn để kiểm chứng độc lập.

Đăng ký doanh nghiệp và hồ sơ thuế

ICANN và mã định danh nhà đăng ký tên miền

Bằng chứng WHOIS và DNS

Các tuyên bố tiếp thị (trực tiếp + đã lưu trữ)

• trustname.com/giới-thiệu — “hơn 35 người”, “Kir N., Giám đốc điều hành”
• trustname.com trang chủ — “#1 về tốc độ tăng trưởng”, “được hàng triệu người tin dùng”, “Fortune 500”
• trustname.com/bức-tường-tình-yêu — 30 bài đánh giá / 11 tên riêng khác nhau
• fewmoretaps.com — “từ năm 1997”, “hoàn thành 100% dự án”, bức tường trưng bày logo các công ty trong danh sách Fortune 500
• fewmoretaps.com/liên-hệ — Địa chỉ tại London / Beverly Hills / Melbourne
• whoispps.com — “Thư giấy bị vứt bỏ”
• harakiri.org — Perfect Privacy LLC, Saint Kitts và Nevis
• Những khoảnh khắc lịch sử: Wayback Machine cho trustname.com

Cơ sở hạ tầng kỹ thuật (không xâm lấn)

Phân tích mạng lưới sòng bạc

• Nội dung về sòng bạc (“Sòng bạc chính thức của Elon Musk”) — curl https://henofex.com
• Tính năng chặn lừa đảo của Cloudflare — curl https://jopexplay.com hiển thị trang trung gian của Cloudflare
• Mẫu chung (các giá trị băm của các đoạn mã giống hệt nhau) — so sánh _next/static/chunks/ trên cả sáu lĩnh vực
• Bảng điều khiển quản trị bằng tiếng Nga — curl https://gambler-partners.is trả về tiêu đề “Gambler | Trang chủ”

Các công cụ được sử dụng

DNS / WHOIS:    dig, nslookup, whois
Port scanning:  nmap (service / version detection only)
HTTP:           curl (header + content retrieval)
SSL:            openssl s_client
JavaScript:     manual deobfuscation of publicly served bundles
PDF:            PyPDF2 (annual report text extraction)

Phương pháp tính toán chi phí tài chính

Cái Chi phí vận hành tối thiểu từ 35.000–50.000 euro Con số này được tính toán dựa trên các mức giá công khai:

• Phí công nhận của ICANN: ~$4,000/year (ICANN đã công bố mức phí)
• OpenSRS bán buôn tên miền .com: $8–12/domain (Giá dành cho đại lý của Tucows)
• AWS eu-central-1 (3 máy chủ m5.large dành cho Kafka + hệ thống điều khiển EKS + S3): $500–2,000/month (Công cụ tính giá AWS)
• Vercel Pro: 20 USD/tháng, Freshdesk: 15 USD/nhân viên hỗ trợ/tháng, Brevo: 25 USD/tháng (trang công bố giá công khai)
• Chi phí nhân sự được báo cáo cho năm 2024: 24.084 € (báo cáo thường niên của chính công ty)

Đạo đức và Phương pháp luận

Chức danh về công bố thông tin và báo cáo

Cuộc điều tra này đã được công bố toàn văn dưới dạng công bố công khai. PhishDestroy là một nhóm nghiên cứu OSINT chứ không phải là một thực thể báo cáo chịu sự quản lý, do đó không có nghĩa vụ pháp lý nào theo Điều 306 của Bộ luật Hình sự Estonia (KarS) hoặc các quy định tương đương của Liên minh Châu Âu về việc phải nộp báo cáo riêng cho các cơ quan chức năng — nghĩa vụ này chỉ áp dụng đối với các ngân hàng, các nhà cung cấp dịch vụ tài sản ảo (VASP) và các thực thể chịu sự quản lý tương tự.

Nếu các báo cáo về hành vi lạm dụng liên quan đến các tên miền được đăng ký thông qua IANA #4318 tiếp tục bị phớt lờ, hồ sơ này sẽ được chuyển lên cấp trên một cách chính thức tới:

1. Tuân thủ các quy định của ICANN — icann.org/tuân-thủ/khiếu-nại · RAA Điều 3.7.8 (Tính chính xác của WHOIS) và Điều 3.18 (Xử lý các trường hợp lạm dụng)
2. Tucows / OpenSRS — cơ quan đăng ký cấp trên; abuse@tucows.com, compliance@opensrs.com
3. CERT-EE (RIA) — cert@cert.ee
4. Cơ quan Thuế Estonia (MTA) (Maksu- ja Tolliamet, Cục Thuế và Hải quan) — đường dây nóng tố giác gian lận thuế vihjeliin@emta.ee
5. Cơ quan Tình báo Tài chính Estonia (Văn phòng Thống kê Rahapesu) — rab@politsei.ee đối với tội phạm rửa tiền (AML) và các hoạt động của nhà cung cấp dịch vụ tài sản ảo (VASP) không có giấy phép
6. Bộ phận xử lý các trường hợp lạm dụng nền tảng — AWS Trust & Safety, Stripe Risk, Vercel Abuse, Cloudflare Trust & Safety
7. Mạng lưới FIU của EU.net thông qua Cơ quan Tình báo Tài chính (FIU) của Estonia — liên quan đến phần trừng phạt đối với Belarus

Hiện tại, việc đưa vụ việc lên cấp cao hơn theo thủ tục chính thức đã được chủ động hoãn lại: đơn vị đăng ký tên miền hiện đang trong quá trình thanh lý tại Estonia, các nhà điều hành có trụ sở tại Belarus (không có Hiệp định Hỗ trợ Tư pháp Hình sự — MLAT ⇒ việc thi hành pháp luật đi vào ngõ cụt), và một báo cáo công khai có sức nặng hơn một phiếu yêu cầu đang chờ xử lý. Chúng tôi sẽ xem xét lại nếu tình hình thay đổi — hoặc nếu ai đó đọc bài viết này đưa ra lập luận cho thấy điều đó.

Cuộc điều tra này được thực hiện hoàn toàn bằng các phương pháp OSINT và phân tích kỹ thuật không xâm nhập. Tất cả các nguồn dữ liệu đều có thể truy cập công khai hoặc được thu thập thông qua tài khoản đã được xác thực của chính nhà nghiên cứu trên nền tảng đó. Không có bất kỳ hành vi truy cập trái phép nào được thực hiện ở bất kỳ giai đoạn nào. Các chỉnh sửa, bằng chứng phản bác hoặc dữ liệu bổ sung: @PhishDestroy_bot · @Phish_Destroy · github.com/PhishDestroy.