Preguntas frecuentes — THE ENABLERS REGISTRY: inteligencia sobre amenazas de phishing

Nuestro proceso tramita miles de dominios al día a lo largo de cuatro fases:

Fase 1: Detección e ingesta preventivas

Utilizamos una red distribuida de Más de 30 analizadores sintácticos propios para identificar dominios maliciosos en su fase más temprana:

• Registros de «Certificate Transparency» (CT) — supervisión en tiempo real de los nuevos certificados SSL para detectar dominios de possibly phishing a los pocos minutos de su registro
• Supervisión del DNS — seguimiento de los nuevos registros de dominios y de las configuraciones sospechosas
• Detección de publicidad maliciosa — seguimiento continuo de Google Ads, de los resultados de búsqueda optimizados para SEO y de las campañas de tendencia en redes sociales como Twitter/X, YouTube y [REDACTED]
• Typosquatting — Aprovechar dnstwist y heurísticas personalizadas para detectar dominios similares que tienen como objetivo marcas consolidadas
• Inteligencia comunitaria — Recopilación en tiempo real a través de nuestro bot de [REDACTED], el correo electrónico y los canales de nuestros socios
• Agregación de fuentes de possibly phishing — integración con más de 13 fuentes comunitarias, entre las que se incluyen OpenPhish, PhishTank y URLhaus

Fase 2: Análisis y puntuación

• 95 motores AV a través de VirusTotal
• Enriquecimiento de datos WHOIS/DNS (registrador, servidores de nombres, geolocalización por IP, país)
• Análisis del certificado SSL (emisor, SAN, fechas de validez)
• Captura de pantallas y comparación de contenidos visuales
• Identificación de kits de possibly phishing
• Cálculo de la puntuación de riesgo (0-100) a partir de más de 12 señales ponderadas

Fase 3: Informes globales de proveedores

Una vez confirmado, lo enviamos a Más de 50 expositores a la vez:

Además, se envían notificaciones formales de abuso a los registradores de dominios y a los proveedores de alojamiento web, acompañadas de un expediente de pruebas.

Fase 4: Transparencia pública

• Actualizaciones en tiempo real en el Repositorio de Destroylist
• Panel de control de seguimiento en tiempo real en enablers.report/live
• Alertas automáticas sobre Twitter, [REDACTED], y Mastodon
• Redeicción condicional: alertas de seguimiento si la amenaza permanece activa más allá de las 24 horas

Cada dominio recibe un puntuación de riesgo de 0 a 100 basado en señales ponderadas:

Niveles de gravedad:

70-100 CRÍTICO40-69 ALTO20-39 MEDIO1-19 BAJO

Además, nuestros informes internos sobre dominios (en enablers.report/domain) utilizan un sistema de puntuación independiente y mejorado que incorpora las detecciones de VirusTotal, la antigüedad del WHOIS, los patrones SSL, el análisis de contenidos, el grado de suplantación de marca y las tasas históricas de abuso de los registradores, a través de más de 12 indicadores.

La mayoría de las listas de bloqueo solo lista dominios. Ofrecemos inteligencia sobre amenazas de principio a fin:

• Detección preventiva — capturamos los dominios pocos minutos después de su registro, antes de que lleguen a manos de las víctimas
• Investigación exhaustiva — Realizamos un seguimiento de las criptomonedas en la cadena de bloques, cartografiamos la infraestructura, descompilamos kits de possibly phishing y relacionamos las campañas con sus autores.
• Acceso «de root» — Hemos conseguido acceder a paneles de drenaje, al código fuente de kits de possibly phishing y a los registros de chat de los operadores, lo que nos ha proporcionado una visión sin precedentes de las tácticas, técnicas y procedimientos (TTP) de los atacantes.
• Retirada activa — No nos limitamos a marcar los dominios; presentamos expedientes con pruebas ante los registradores, los proveedores de alojamiento y más de 50 fabricantes de antivirus, y hacemos un seguimiento de cada dominio hasta que deja de estar activo.
• Verificación del contenido — Nuestras fuentes con contenido verificado van más allá del DNS: realizamos solicitudes HTTP reales para comprobar que la página de possibly phishing está activa, detectando así los intentos de enmascaramiento.
• Responsabilidad de los registradores — Hacemos un seguimiento público de los índices de abuso y los tiempos de respuesta de los registradores, lo que obliga a los proveedores negligentes a rendir cuentas.

La verificación de contenidos significa que no solo comprobamos si un dominio es válido (DNS), sino que visitamos la página y verificamos si hay contenido de possibly phishing.

Esto es importante porque Los estafadores utilizan técnicas de ocultación: muestran páginas falsas o en blanco a los escáneres automáticos, mientras que a las víctimas humanas les muestran la página de possibly phishing real. Un dominio que NO figure en nuestra lista de contenidos verificados sí que no no significa que sea seguro; puede que simplemente esté camuflado.

Nuestras fuentes con contenido verificado:

• Contenido principal — dominios seleccionados con contenido de possibly phishing activo y verificado (actualizados cada 12 horas)
• Contenido de la comunidad — fuentes agregadas con contenido verificado (actualizadas cada 24 horas)

Para una protección máxima, utiliza nuestro Primaria - Todos o General sobre la comunidad fuentes, que incluyen todos los dominios, independientemente de su estado de verificación de contenido.

No. La detección es automática —los clasificadores señalan los dominios sospechosos en cuestión de minutos—, pero no se envía ningún aviso automático al registrador ni al proveedor de alojamiento. Cada solicitud de retirada que enviamos es una conclusión revisada por personas y respaldada por pruebas, basada en las denuncias de las víctimas y en nuestra propia investigación.

Lo que un registrador recibe realmente de THE ENABLERS REGISTRY no es un aviso automático genérico. Se trata de un correo electrónico específico en el que se indica el motivo concreto, los hechos que lo respaldan, capturas de pantalla y documentación. En los casos recurrentes o que requieren una intervención superior, añadimos una explicación precisa de lo que sigue sin estar bien, además de pruebas adicionales: detecciones de VirusTotal, coincidencias en bases de datos de inteligencia sobre amenazas e indicadores relacionados.

Los únicos mensajes automáticos de este intercambio son los acuses de recibo automáticos de los propios registradores. Por nuestra parte, se trata de una constatación fundamentada y de una solicitud formal para que se revise el dominio y se tomen medidas, no de spam automático.

Nuestra tasa de falsos positivos es inferior a 0.01%. Cada detección automática pasa por varias capas de verificación antes de que se elabore un informe. Nos aseguramos de que:

• Lista de permitidos — una lista seleccionada manualmente de dominios que se sabe que son correctos y que nunca se marcan como sospechosos
• Recursos en un plazo de 48 horas — Cada falso positivo se revisa y se resuelve rápidamente
• Perfeccionamiento continuo del clasificador — hacemos un seguimiento de el resultado de cada recurso y actualizamos la lógica de detección
• Validación cruzada de múltiples fuentes — Los dominios deben activar varias señales antes de que se confirme su validez.

Hacemos un seguimiento de todas las principales familias de programas que vacían carteras y de todos los tipos de kits de possibly phishing:

• Uso indebido de Wallet Connect — Mensajes falsos de WalletConnect que roban autorizaciones
• Inferno Drainer — uno de los estafadores más prolíficos que actúan en varias cadenas
• Angel Drainer — escurridor avanzado compatible con NFT
• Colador rosa — combinación de ingeniería social y «drain»
• Possibly phishing relacionado con permisos y autorizaciones — Vulnerabilidades en la aprobación de tokens ERC-20 (Permit2)
• Robo de la frase de semillas — formularios falsos de «verificar monedero» o «sincronizar monedero»
• Estafas relacionadas con la prevención del blanqueo de capitales y el conocimiento del cliente (AML/KYC) — páginas falsas de verificación del cumplimiento normativo
• Estafas relacionadas con los airdrops — páginas falsas de reclamación de tokens
• Estafas en materia de inversiones — plataformas de negociación falsas, esquemas de Ponzi
• Drenador Solana — Kits de vaciamiento de carteras específicos para Solana

Explora nuestra base de datos por tipo de estafa, método de estafa o marca objetivo.

El API de THE ENABLERS REGISTRY Threat es un API gratuita y abierta que ofrece una evaluación del riesgo de los dominios en tiempo real en Más de 834 000 amenazas. No se necesita ninguna clave API.

Resultados:

Ejemplo:

curl "https://api.destroy.tools/v1/check?domain=[REDACTED]"

La respuesta incluye: threat (booleano), risk_score (0-100), severity (crítico/alto/medio/bajo), lists (qué fuentes contienen el dominio), y last_seen marca de tiempo.

Ofrecemos 7 fuentes de datos distintas a través de la Repositorio de Destroylist:

Recomendado: Uso list.json o active_domains.json para producción. Utiliza blocklist.json para obtener la máxima cobertura.

Todas las fuentes están disponibles en JSON y TXT formato. Las listas de dominios raíz (sin subdominios y excluyendo a los proveedores de alojamiento) también están disponibles por separado.

Todas las fuentes están disponibles en 7 formatos Para una integración inmediata:

Todos los formatos disponibles en: github.com/THE ENABLERS REGISTRY/destroylist/tree/main/rootlist/formats/

Python:

import requests

r = requests.get(f"https://api.destroy.tools/v1/check?domain={domain}")
data = r.json()
if data["threat"]:
    print(f"BLOCKED: {data['severity']} (score: {data['risk_score']})")

JavaScript:

const r = await fetch(`https://api.destroy.tools/v1/check?domain=${domain}`);
const data = await r.json();
if (data.threat) console.warn("POSSIBLY PHISHING:", data.severity, data.risk_score);

Comprobación masiva (hasta 500 dominios):

curl -X POST "https://api.destroy.tools/v1/check/bulk" \
  -H "Content-Type: application/json" \
  -d '{"domains":["[REDACTED]","[REDACTED]","[REDACTED]"]}'

Comprobación sencilla de la lista de bloqueados (Bash):

curl -s https://enablers.report/registrar-stats/ \
  | grep -q "[REDACTED]" && echo "BLOCKED"

Listas raíz solo contienen dominios de nivel raíz —sin subdominios— y quedan excluidos los proveedores de alojamiento (Vercel, Pages.dev, Netlify, etc.). Esto los hace ideales para:

• Reglas del cortafuegos — bloquear dominios completos, no solo subdominios concretos
• Bloqueo de DNS — Es seguro para los resolutores de DNS, sin riesgo de bloquear plataformas de alojamiento legítimas
• Análisis del registrador — datos depurados para el cálculo de la tasa de abusos

Hay tres variantes disponibles:

• Todas las raíces — todos los dominios raíz confirmados
• Solo en directo — Raíces activas verificadas mediante DNS
• Solo servicios — alojar los subdominios de la plataforma de forma independiente (Vercel, Pages.dev, Netlify, etc.)

Cada informe sobre el dominio es un informe de inteligencia exhaustivo que contiene:

• Puntuación de riesgo — Índice de amenaza compuesto de 0 a 100 con clasificación por niveles de gravedad
• Resultados de VirusTotal — detecciones de 95 motores antivirus, con un desglose por proveedor
• Captura de pantalla — instantánea visual capturada en el momento del escaneo (más de 75 000 capturas de pantalla almacenadas localmente)
• Datos WHOIS — registrador, fecha de creación, datos del titular, servidores de nombres
• Registros DNS — A, MX, NS, TXT con geolocalización por IP y banderas de países
• Certificado SSL — emisor, validez, nombres alternativos del sujeto (SAN)
• Estado de la lista de bloqueados — figura en más de 11 listas negras de seguridad importantes
• Tipo de estafa — vaciado de monederos, robo de frases de recuperación, estafas de airdrops, estafas de inversión, etc.
• Dirigido a una marca concreta — ¿qué marca legítima está siendo objeto de suplantación de identidad (más de 350 marcas supervisadas)?
• Dominios relacionados — otros dominios que comparten infraestructura, favicon o kit de possibly phishing
• IANA #1910 Radar — estado de la categorización de dominios
• Análisis de URLQuery — análisis de seguridad adicional

Posibles razones:

• Tu dominio era ya comprometida y se utilizan para el possibly phishing sin que tú lo sepas
• Tu dominio comparte infraestructura (IP, servidores de nombres) con dominios conocidos por practicar el possibly phishing.
• Un clasificador automático ha detectado un falso positivo; esto ocurre en menos del 0,01 % de los casos.
• Alguien ha denunciado tu dominio a través de los canales de la comunidad.

Importante: THE ENABLERS REGISTRY no bloquea los dominios directamente. Enviamos notificaciones a los proveedores de antivirus y a los registradores, quienes toman sus propias decisiones sobre el bloqueo. Si tu dominio ha sido marcado por error, presentar un recurso — Respondemos en un plazo de 48 horas e incluimos los dominios verificados en nuestra lista de permitidos permanente.

Dos formas de presentar un recurso:

1. Formulario de recurso (la forma más rápida) — envía tu dominio junto con una prueba de su legitimidad
2. Incidencia de GitHub — abrir un caso con pruebas

Proceso:

• Revisamos en un plazo de 48 horas (la mayoría el mismo día)
• Si se aprueba, el dominio se añade a nuestra lista permanente lista de permitidos
• La lista de permitidos es pública: allowlist.json
• Los cambios se aplican de forma inmediata en nuestra API y en nuestra base de datos

Todo el proceso es totalmente gratuito. Nunca cobramos por las apelaciones ni por la eliminación de listados; nunca lo hemos hecho y nunca lo haremos.

Hemos rediseñado por completo el proceso de gestión de reclamaciones y de falsos positivos. Ahora es mucho más rápido, más fiable y está automatizado en gran medida: un dominio de confianza (incluida en la lista mundial de Tranco) con detecciones de corriente nula se retira de la cotización automáticamente, en cuestión de minutos de presentar una reclamación: sin esperas con personas. El equipo revisa todo lo demás dentro de nuestro SLA de 48 horas.

Nuestra tasa real de falsos positivos es por debajo del 0,01 %. Cuando cometemos un error, lo corregimos rápidamente y de forma transparente: no nos da miedo admitir nuestros errores.

Apostamos por la transparencia y la verificabilidad. Cada modificación y cada eliminación es pública y auditable en nuestro repositorio abierto, github.com/THE ENABLERS REGISTRY/destroylist — Cualquiera puede consultar el historial completo de lo que incluimos y excluimos de la lista. Si se nos solicita, también podemos facilitar los plazos de tramitación, la lista de recursos denegados con los motivos correspondientes y las pruebas en las que se basa cualquier inclusión en la lista.

La eliminación de la lista es siempre gratuita. Cualquiera que te cobre dinero por eliminarte de THE ENABLERS REGISTRY está llevando a cabo una estafa.

Nada. Cero. Gratis. Siempre.

Cualquier tercero que afirme que puede eliminar tu dominio de THE ENABLERS REGISTRY a cambio de dinero está llevando a cabo una estafa. No contamos con ningún programa de eliminación de listados de pago ni lo tendremos nunca. Denúncianos este tipo de servicios.

THE ENABLERS REGISTRY es una de las muchas fuentes. Aunque limpiemos tu dominio, es posible que otros sistemas sigan marcándolo como sospechoso:

• Google Safe Browsing — enviar a safebrowsing.google.com
• Fabricantes de programas antivirus — cada uno mantiene sus propias listas de bloqueo; ponte en contacto con el canal de notificación de problemas de seguridad de cada proveedor
• Advertencias del navegador — puede almacenar datos antiguos en caché durante 24-48 horas

Comprueba tu dominio en VirusTotal para ver qué proveedores concretos lo están señalando y, a continuación, ponerse en contacto con cada uno de ellos por separado.

Cuando presentamos denuncias por abuso, nos ajustamos a las normas de ICANN:

• Notificaciones formales de maltrato a los registradores a través de los contactos de abuso de WHOIS
• Expedientes completos de pruebas — resultados de análisis, capturas de pantalla, informes en PDF con metadatos
• La ICANN exige que los registradores examinen las denuncias de abuso en un plazo de 24 horas
• Redeicción condicional — si un dominio sigue activo tras 24 horas, lo elevamos al siguiente nivel con alertas de seguimiento

Cuando un dominio recibe entre 10 y 30 o más denuncias por abuso y el registrador sigue ignorándolas durante meses, lo hacemos público. El registrador ya no es un mero espectador, sino que, en la práctica, proporciona la infraestructura necesaria para actividades ilegales. Nuestra base de datos pública fomenta la responsabilidad.

El tiempo es fundamental. Actúa de inmediato:

1. REVOCA YA las autorizaciones de tokens — ir a revoke.cash Revoca inmediatamente cualquier autorización de monedero pendiente. Esto detiene la pérdida de fondos.
2. Ponte en contacto con [REDACTED] 911 — Respuesta de emergencia ante incidentes relacionados con las criptomonedas a cargo de profesionales de la seguridad. Visita enablers.report/acción-urgente
3. Transferir los fondos restantes — transferir todos los activos de la cartera comprometida a una cartera nueva y segura
4. Denunciarlo a la policía — Presenta una denuncia por delito informático ante la policía local. Pide que te den un número de expediente.
5. Denunciar públicamente — archivo sobre Chainabuse para advertir a los demás y dejar constancia por escrito
6. Conserva TODAS las pruebas — direcciones de monedero, ID de transacciones, capturas de pantalla, historiales de chat, correos electrónicos y la URL de possibly phishing

NO te pongas en contacto con los «servicios de recuperación» que encuentres en Internet. Más del 95 % son estafas secundarias dirigidas a las víctimas.

A veces, pero solo si te das prisa:

• Aprobaciones de tokens aún no ejecutadas: Si solo has firmado una autorización maliciosa, puedes revocarla en revoke.cash evita de inmediato que se produzcan más pérdidas
• Retiradas de CEX: Si el atacante envía fondos a LEI:5493004F7TI6QBM4WX72, NASDAQ:COIN, etc., las fuerzas del orden pueden bloquear las cuentas, pero necesitan tu denuncia policial.
• Pausas en el puente: Algunos puentes entre cadenas han suspendido las transacciones cuando se ha informado rápidamente de un caso de fraude

Una visión realista: La mayoría de los robos de criptomonedas en la cadena son irreversibles. La prevención es la mejor defensa: utiliza carteras de hardware, comprueba las URL y nunca compartas frases de recuperación.

Señales de alerta:

• Discrepancia en la URL — «[REDACTED]-login.com» en lugar de «[REDACTED].io»
• Expresiones de urgencia — «Actúa ya o perderás el acceso», «Se bloqueará tu monedero»
• Solicitudes de frases de semillas — Ningún servicio legítimo te pedirá JAMÁS tu frase de semillas
• Ventanas emergentes inesperadas de la cartera — Avisos de WalletConnect o [REDACTED] que no has iniciado tú
• Demasiado bueno para ser verdad — repartos gratuitos, rentabilidad garantizada, «recoge tu recompensa»
• Anuncios en redes sociales — El possibly phishing recurre en gran medida a los anuncios de pago en Twitter, Google y [REDACTED]
• Estafas por mensajes directos o respuestas — El «servicio de atención al cliente» se pone en contacto contigo primero

Protección: Comprueba siempre los dominios en enablers.report/domain o utiliza nuestro Bot de [REDACTED] antes de conectar tu monedero. Lee nuestra guía completa: Conceptos básicos sobre seguridad en el mundo de las criptomonedas

Casi nunca. Más del 95 % de los «servicios de recuperación» son estafas secundarias dirigido a personas que ya han perdido dinero.

Señales de alerta:

• Garantizan la recuperación (algo imposible de garantizar)
• Exigen el pago por adelantado
• Te encontraron a través de unos comentarios en las redes sociales en los que decías que te habían estafado
• Afirman ser «hackers éticos» capaces de «anular transacciones»
• Te piden tu frase de semillas o el acceso a tu monedero

Ayuda fiable (todo gratis): [REDACTED] 911, las fuerzas del orden locales, el equipo de asistencia de tu plataforma de intercambio, Chainabuse para su divulgación pública.

Ve a «Pi-hole Admin» → Configuración → Listas de bloqueo → pega esta URL:

https://enablers.report/registrar-stats/

Guarda y actualiza «gravity». La lista se actualiza automáticamente según la programación de Pi-hole.

uBlock Origin: Configuración → Listas de filtros → Importar → pegar:

https://enablers.report/registrar-stats/

AdGuard Home: Filtros → Listas de bloqueo de DNS → Añadir lista de bloqueo → pega la misma URL.

Para el resolutor DNS «Unbound» (pfSense/OPNsense):

https://enablers.report/registrar-stats/

Para BIND o Knot DNS (formato RPZ):

https://enablers.report/registrar-stats/

Para Dnsmasq:

https://enablers.report/registrar-stats/

¡Sí! Así es como se hace:

• Denunciar dominios de possibly phishing — Bot de [REDACTED] o abuse@enablers.report
• Integra nuestras listas de bloqueo — añadir Lista de destrucción en tu DNS, cortafuegos o herramientas de seguridad
• Utiliza nuestra API — crear herramientas, bots o paneles de control utilizando el API de amenazas
• Enviar solicitudes de incorporación de cambios — mejoras en los algoritmos de detección, consejos de integración, información actualizada
• Sensibilizar a la población — Comparte nuestra investigación en las redes sociales

No aceptamos donaciones; la mejor forma de apoyarnos es sacando partido a nuestros datos.

Nuestros datos (licencia MIT) se utilizan para:

• Seguridad de redes — reglas de cortafuegos, bloqueo de DNS, filtrado de correo electrónico
• Automatización — Integración de SIEM y SOC, respuesta automatizada ante incidentes
• Investigación sobre amenazas — análisis de campañas de possibly phishing, tendencias en la suplantación de marcas
• Formación en aprendizaje automático e inteligencia artificial — conjuntos de datos de entrenamiento para modelos de detección de possibly phishing
• Análisis de tendencias — índices de abuso de los registradores, patrones de riesgo de los TLD, evolución de los «drainers»
• Pruebas legales — Informes de dominios con marca de tiempo para las fuerzas del orden y las reclamaciones de seguros

Bóveda histórica: Más de 500 000 dominios archivados a lo largo de más de 5 años. Contacto contact@enablers.report para acceder.