How the scam operates.
A operação se apresenta como uma interface funcional de wallet Ethereum. Ao registrar um domínio cuja codificação Punycode (xn--metherwallet-3ml.com) é renderizada de forma visualmente quase idêntica a um serviço de wallet Ethereum amplamente utilizado quando exibida em determinados navegadores, o operador posiciona o site para interceptar o tráfego de usuários que digitam errado o endereço legítimo ou seguem um link falsificado. A apresentação superficial imita o layout esperado de uma ferramenta de wallet de autocustódia, tendo como alvo titulares de Ether e tokens ERC-20.
A mecânica se apoia em um ataque homógrafo IDN, uma técnica em que um ou mais caracteres Unicode substituem letras ASCII visualmente semelhantes em um nome de domínio. A barra de endereços do navegador pode exibir a forma decodificada do domínio, fazendo com que ele pareça genuíno para um usuário que não inspeciona a string Punycode subjacente. As vítimas que prosseguem para acessar ou recuperar uma wallet por meio da interface costumam ser solicitadas a inserir uma seed phrase ou chave privada, que o operador captura em tempo real antes do encerramento da sessão.
O momento da descoberta normalmente chega quando a vítima tenta transferir fundos e encontra seu saldo já esvaziado. Como o envio da seed phrase é irreversível e concede acesso total a uma wallet, a recuperação de ativos nesse estágio depende inteiramente de rastreamento forense no nível da blockchain, e não de qualquer forma de reversão direta. Os operadores por trás de uma infraestrutura de domínio homógrafo costumam abandonar o domínio logo após um ciclo de coleta, sem deixar canal de atendimento ao cliente, entidade registrada ou contraparte identificável a perseguir.
Red flags we documented.
- 01Punycode prefix signals homograph intentThe xn-- prefix in the domain name is not a formatting quirk; it is the technical marker that this domain contains Unicode characters. Its presence in a wallet-adjacent domain name is a near-universal indicator of a lookalike or impersonation operation rather than a legitimate service.
- 02Listed on CryptoScamDB community blacklistThe domain appears in the CryptoScamDB blacklist, a widely-referenced dataset of confirmed malicious cryptocurrency addresses and URLs maintained through community contribution and ongoing verification. Inclusion is a hard signal, not a probabilistic one.
- 03Seed-phrase solicitation is an absolute loss signalAny web interface requesting a wallet seed phrase or private key operates outside all legitimate norms. No genuine non-custodial wallet service requires this for standard access. Submission to an unverified site constitutes an immediate, total, and irreversible transfer of wallet control to the operator.
- 04No legitimate wallet platform uses IDN homograph domainsEstablished cryptocurrency wallet services do not register their primary interfaces under internationalised domain names that incorporate Unicode lookalike characters. Such registrations have no plausible commercial purpose other than deception.
- 05Disposable infrastructure with no verifiable operatorHomograph-domain operations are low-cost to create and trivial to abandon. No corporate identifiers, regulatory licences, or verifiable operator details are associated with this domain, which is consistent with infrastructure designed for a single harvest cycle rather than a sustainable service.
What you can do now.
Open a free 24-hour case assessment with CryptoLeek +
Tell us what happened. A senior analyst reads your file within 24 hours and replies with an honest yes/no/conditional on recovery. The assessment is free. If we cannot recover the funds we say so plainly, including which (free) regulator channel you should use instead. If we accept the case, we open a numbered case file and issue a written quote for a flat investigation retainer before any work begins, scoped to case complexity, the jurisdictions involved, and the on-chain trail.
Trace your funds on-chain with our analysts +
We trace stolen crypto across BTC, ETH, EVM L2s, Solana, Tron, and major stablecoins using the same toolchain as regulators and tier-1 exchange compliance teams. The output is a forensic report anchored to specific transaction hashes and block heights, the evidence that exchanges, payment processors, and counsel actually act on. Recovery starts here.
Recover with counsel where civil action makes sense +
Where the trace lands in a jurisdiction with cooperative banks and courts, we coordinate with bar-licensed counsel in our 40+ jurisdiction network for civil action and asset-freezing orders (Mareva-style). Counsel bill you directly; the CryptoLeek investigation retainer is independent of counsel fees. The outcome is funds released back to your nominated wallet or bank account.