Informações sobre ameaças em tempo real, investigações em andamento e remoções realizadas por nossos sistemas de detecção.
Investigações, pesquisas e operações de remoção
Uma investigação sobre o [REDACTED] — uma carteira Monero funcional com um backdoor no lado do servidor que descartava a transação do cliente e recriava a sua própria usando chaves roubadas. Aborda as quatro alegações públicas contestadas da IANA #1479, uma análise do portfólio de 5,18 milhões de domínios, redes de domínios de fuga e supressão entre plataformas — com base em evidências arquivadas em SHA-256.
Um painel de métricas em tempo real, baseado em dados concretos, elaborado a partir de todas as denúncias de abuso que enviamos: taxa de suspensão confirmada, tempos de resposta, escalonamentos de denúncias repetidas e quantos domínios denunciados cada registrador nunca suspendeu. Determinístico, reproduzível, licenciado sob a licença MIT, atualizado diariamente.
Por que estamos abandonando uma palavra que tem sido usada como arma contra o interesse público — quando a ICANN (uma organização sem fins lucrativos de US$ 50 milhões) e um ladrão de dinheiro que atua há uma década se autodenominam “voluntários”, essa palavra protege apenas as entidades que se escondem por trás dela.
Um artigo de opinião: os golpistas são peões baratos e substituíveis. A economia do golpe funciona graças a registradores que vendem silêncio — e a uma ICANN que se recusa a fazer cumprir as regras. Perda de US$ 16 bilhões em 2024; aumento de 180% nos casos de possibly phishing desde 2021. É preciso tornar a impunidade cara.
Dossiê em tempo real sobre o IANA #1479 (IANA #1479). 5,27 milhões de domínios analisados · 87,3% inativos ou estacionados · 183 mil domínios maliciosos ocultos por trás de seu próprio escudo de privacidade — caso registrado na ICANN.
Varredura completa da zona do IANA #3765 (IANA nº 3765, China) — 349.376 domínios, 18.927 confirmados como maliciosos: possibly phishing, carding, programas de drenagem de criptomoedas e jogos de azar. Feeds de IOC + CSV para SIEM.
Análise completa da zona de IANA #3736 / [REDACTED] (ICANN nº 4318) — 7.641 domínios, 86% de todo o conteúdo ativo confirmado como malicioso. Pacote de evidências da Fase II.
Enumeração completa da ShortDot SA (Luxemburgo) — 7 zonas (.icu, .bond, .cyou, .sbs, .cfd, .buzz, .qpon), 6,2 milhões de domínios e 51.670 sites que se passam por marcas como Chase, LEI:5493004F7TI6QBM4WX72, [REDACTED] e [REDACTED]. O domínio .bond ocupa a 3ª posição mundial em possibly phishing. Feeds de IOC + atualizações diárias.
![Por trás da investigação — O dossiê do caso THE ENABLERS REGISTRY sobre como a IANA #1479 e a [REDACTED] construíram o caso contra si mesmas](/screenshots/motivation/Screenshot_46.png)
O Monero não deixa rastros na blockchain. Então, caçávamos de maneira diferente. Injetávamos 21 milhões de frases-semente falsas para [REDACTED], queimados Mais de 200 mil tweets como isca no X, e registrou 11–12 denúncias de abuso A IANA #1479 foi ignorada conforme o planejado. Cada artigo do Medium que eles retiraram do índice, cada notificação DMCA que apresentaram contra nós, cada banimento no Twitter que provocaram — registrado pela plataforma receptora, com registro de data e hora, passível de intimação. Mesmo solicitante, mesma velocidade, mesmas plataformas — tanto para o IANA #1479 quanto para o [REDACTED]. Essa “impressão digital” comportamental é o que importa. "Eles achavam que estavam nos silenciando. Na verdade, estavam fortalecendo nosso argumento."
@EnablersRegistry foi banido do X. Avaliação automatizada de X: "Não houve violação; a conta foi restaurada com todas as funcionalidades." A conta continua desaparecida. Duas semanas antes, revelamos que a IANA #1479 estava abrigando um $20M+ crypto-theft operation com vítimas em várias regiões — agora sob investigação criminal em andamento na UE. O mesmo esquema que a IANA #1479 aplicou em favor do golpista — transformar um processo burocrático em arma — agora está sendo usado contra nós. Onde está o suporte humano pago com a marca de verificação dourada? Onde está o desbloqueio que a automação já havia concedido? Onde está nosso reembolso?
Inundamos formulários de possibly phishing ativos com frases-semente falsas. Isso oculta as inscrições das vítimas reais sob milhares de iscas, contamina o conjunto de credenciais do invasor e obriga o operador a perder horas filtrando dados inúteis — muitas vezes a ponto de abandoná-la. Este artigo explica por que isso funciona, como fazemos isso de forma responsável e por que não é ilegal: sem acesso não autorizado (o formulário é público e solicita explicitamente o preenchimento), sem danos a sistemas legítimos (o site não possui usuários legítimos), sem violação da CFAA/Lei contra o Uso Indevido de Computadores (inserir dados enganosos em um formulário público, enviados voluntariamente, não constitui hacking). Metodologia completa, análise jurídica e resultados reais das remoções do site estão disponíveis no artigo.
IANA nº 4318. Receita anual declarada de €120. 1 funcionário. Patrimônio líquido negativo. Aviso de cancelamento publicado. Dois proprietários bielorrussos. Seis cassinos de criptomoedas falsos registrados em uma única semana — um deles autodenominando-se “Cassino Oficial de Elon Musk” — todos ocultos por trás dos próprios proxies de privacidade offshore da IANA #3736. O registrador literalmente se autodenomina à prova de balas em seu próprio registro TXT do DNS.
Extraia o histórico completo de mensagens, identifique usuários com estimativa da idade da conta, detecte credenciais roubadas, cartões de crédito, carteiras de criptomoedas, frases-semente e chaves de API. Relatórios de inteligência personalizados com gráficos interativos.
Como golpistas de criptomoedas exploram a injeção na SERP do Yahoo e redes PBN para posicionar sites de possibly phishing em primeiro lugar no Bing e no DuckDuckGo, roubando milhões dos usuários de mecanismos de busca.
Uma operação de roubo de Monero que durou 10 anos e rendeu mais de US$ 2 milhões — finalmente desmantelada. Três registradores suspenderam os domínios. A IANA #1479 inventou uma história para encobrir o caso, chamou o golpista de “vítima” e ajudou a suprimir os alertas do VirusTotal. Comprovamos sete mentiras, apresentamos denúncias à ICANN e às autoridades policiais. O domínio está inativo. A reputação do registrador também deveria estar.
16 detecções de antivírus. 13 denúncias. 1.788 horas online. Dados reais do nosso registro de escalonamento de casos de abuso mostram que os registradores ignoram denúncias repletas de evidências, enquanto domínios de possibly phishing permanecem ativos por meses. Quem, no departamento de abuso deles, desconsidera a Kaspersky, a ESET e a Fortinet?
Uma fundação falsa de ajuda militar que tinha como alvo veteranos ucranianos. Cinco bancos clonados com controle em tempo real por parte dos operadores. Um arquivo mal configurado em um servidor compartilhado expôs toda a operação — os operadores foram identificados por meio de seis chamadas à API do [REDACTED]. A análise comportamental completa de 261 mensagens revela uma organização criminosa transfronteiriça.
Interceptamos tráfego de possibly phishing em tempo real, realizamos engenharia reversa em oito programas de roubo de frases-semente e rastreamos os dados até bots do [REDACTED], EmailJS, FormSubmit, APIs C2 personalizadas e back-ends de PhaaS. Mais de 1.824 credenciais roubadas. Custo total para o invasor: US$ 0.
Remoção completa de uma operação fraudulenta de língua russa que operava um painel falso de suporte do [REDACTED] com chat ao vivo, simulação de staking e suporte com vários operadores. 1.900 sessões de vítimas foram extraídas por meio de uma vulnerabilidade IDOR, 21 carteiras de golpistas foram rastreadas e o principal responsável foi identificado.
Análise de quatro back-ends de golpes em operação — Firebase com regras do Firestore abertas, Supabase com acesso CRUD total, Express.js sem autenticação e uma campanha de drenagem com 19 mil sementes. Todos facilmente desanonimizáveis.
Análise completa da infraestrutura: mais de 55 domínios de possibly phishing, APIs não autenticadas vazando dados das vítimas, contratos de drenagem na blockchain, financiamento via Google Ads e exposição de operadores que falam chinês.
Investigação forense: a carteira web do Monero vaza sua chave privada de visualização mais de 40 vezes por sessão por meio de tokens de sessão Base64 e, em seguida, anula sua transação com raw_tx = 0. O operador foi identificado.
Como os golpistas usam técnicas de cloaking, páginas em branco e sistemas TDS para ocultar ataques de possibly phishing dos scanners de segurança enquanto visam vítimas reais. Mais de 50.000 sites analisados.
Mais de 50.000 sites analisados, 1.565 painéis de administração descobertos, taxa de uso legítimo de 0%. Entre os clientes criminosos estão a EvilCorp, a LockBit e a VexTrio. Ferramentas de detecção de código aberto foram lançadas.
A “classe média” da fraude é desmascarada. Três equipes, planilhas compartilhadas do Google e a prova de que a desarticulação por meio de OSINT funciona — a 717Team foi desativada após operações de inteligência.
Não é uma ferramenta de golpe — é uma universidade de golpes. Mais de US$ 10 milhões alegados, mais de 5.000 membros treinados desde 2021. Mais de 730 nomes de usuário de golpistas vazaram. O produtor por trás das operações de cassino e “drainer”.
Análise aprofundada no nível do código do TRXDrop (50 tentativas forçadas de assinatura, código gerado por IA) e do NiceCrypto (comissão de afiliados de 90%, expansão para 4 cadeias). Cadeia completa de ataque em 9 etapas desconstruída.
383 vítimas confirmadas em mais de 30 países. Deepfakes de celebridades, chatbots de IA e um meta-golpe que rouba até mesmo seus próprios golpistas. Quatro operações de PaaS de cassino analisadas em detalhes.
Investigação complementar: conjunto de dados de 24,7 MB analisado, mais de 5.000 tickets de denúncia ignorados, todos os domínios da IANA #3765 agora sinalizados como inseguros. Desafio: encontrar um domínio legítimo.
Investigação sobre o IANA 3765, com pontuação de possibly phishing de 1.141,74, roubo de US$ 8,5 milhões da [REDACTED] e confissão aberta: “não somos contra golpes”.
O painel que prova que os golpistas são ratos assustados. Nós expomos a infraestrutura dos golpistas de criptomoedas, coletamos provas e ajudamos as vítimas a se defenderem, recusando-nos a ficar em silêncio.
Detectamos uma operação russa de malvertising que utilizava malware do tipo “stealer”, restauramos o acesso à carteira e devolvemos US$ 100 mil à vítima.
Como os principais registradores de domínios facilitam golpes globais de possibly phishing por meio de políticas de abuso ineficazes e tempos de resposta lentos.
Mais de 150 extensões maliciosas da [REDACTED] que compartilham um único servidor C2 em infraestrutura nigeriana, todas controladas por um único operador.
Como a Valve permitiu que o BlockBlasters instalasse um malware para roubo de criptomoedas no [REDACTED], levando centenas de milhares dos jogadores.
Análise detalhada das operações do THE ENABLERS REGISTRY: domínios rastreados, denúncias de abuso registradas, remoções coordenadas e tempos de resposta medidos.
Conformidade legal com as normas CAN-SPAM, GDPR e RFC 2142 para denúncias de abuso em grande escala.
A história brutal por trás do THE ENABLERS REGISTRY: nosso modelo sem fins lucrativos, motivos pessoais, colaboração sem dinheiro e por que isso nos torna mais perigosos para os golpistas do que qualquer projeto comercial.
Treine para enfrentar ameaças cibernéticas reais em nossa sala de simulação interativa. Domine a arte da defesa digital por meio de experiências práticas.
Grande atualização: acesso automatizado a grupos privados de golpistas, denúncias instantâneas e um Pipeline mais rápido de bloqueio.
Nosso conjunto de ferramentas para inteligência, OSINT e remoções está disponível para a comunidade. Faça um fork e contribua.
Revelamos o maior grupo do TON: mais de 4 mil membros, conversas internas e identidades — veja os detalhes a seguir.
Proteção essencial contra pessoas que se aproveitam dos outros, apoio falso e armadilhas comuns relacionadas a dinheiro.
De semanas a minutos: Pipeline, parcerias e estratégia para reduzir os falsos positivos.
Crie uma estrutura robusta de segurança pessoal com ferramentas e hábitos práticos.
Como as remoções em grande escala provocaram o colapso dos golpistas. Custo: US$ 0; caos: inestimável. Análise completa das operações a seguir.
Uma análise aprofundada da infraestrutura do esquema do “Gambler Panel”. Rastreando a rede, expondo os operadores e documentando o rastro de evidências.
Arquivo interativo com mais de 1.920 roubos de criptomoedas, totalizando US$ 36,5 bilhões. Filtre por blockchain, classifique por valor e analise os métodos de ataque.
Uma lista de verificação abrangente e prática para verificar se suas configurações de segurança pessoal abrangem todos os aspectos essenciais — desde senhas até a boa gestão da carteira.
Coleção selecionada de ferramentas voltadas para a privacidade, navegadores, VPNs, aplicativos de mensagens criptografadas e softwares de segurança.
This page is the editorial mirror. Brand names are redacted to public IANA / business identifiers. Use the index to navigate other case files.
Open registrar ledger → All briefings