Cómo desmantelamos una red de fraude internacional desde fuentes abiertas

En octubre de 2023, una víctima española perdió 6.090 euros en menos de una semana. El método: una estafa sofisticada llamada Pig Butchering o Task Scam, operada desde una plataforma tecnológica de origen chino que en ese momento se hacía pasar por MediaMarkt.

Este es el relato completo de cómo Zero101OSINT rastreó, documentó y denunció ante el FBI, GoDaddy, Bybit y la Autoridad de Valores israelí una red criminal con al menos 7 dominios activos, utilizando exclusivamente fuentes abiertas y técnicas OSINT legales.

Qué es el Pig Butchering

El Sha Zhu Pan (屠猪盘) o Pig Butchering es una modalidad de fraude originaria del sudeste asiático — principalmente operada desde Camboya, Myanmar y Laos — que combina ingeniería social con plataformas tecnológicas sofisticadas. El nombre hace referencia al proceso de "engordar al cerdo antes de sacrificarlo": el estafador construye una relación de confianza con la víctima durante semanas o meses antes de extraer sus fondos.

En la variante Task Scam, el vector de entrada es una oferta de trabajo falsa. La víctima recibe un mensaje por WhatsApp ofreciéndole ganar dinero "completando pedidos" en una plataforma que simula ser una tienda online conocida. Las primeras tareas salen bien. La plataforma muestra ganancias acumulándose. Y entonces llega la trampa.

El primer hilo: mediamarktni.com

Todo empieza con una URL que no termina en .com sino en .ni. Un detalle que la mayoría pasa por alto. La plataforma tenía el logo de MediaMarkt, los colores corporativos, y una interfaz de tareas que prometía comisiones del 0,5% por pedido.

El operador — identificado en el chat de WhatsApp como "Charles ByBit" — guiaba paso a paso a la víctima. Primero depósitos pequeños. Luego tareas completadas con éxito. Y en el momento en que el sistema había acumulado suficiente confianza, aparecía el "pedido de paquete": una tarea especial con saldo negativo ficticio que bloqueaba cualquier retiro hasta que se depositaran más fondos.

El chat completo — 17 de octubre al 16 de noviembre de 2023 — documenta con precisión el patrón psicológico de la estafa. "Estoy al borde de un ataque de ansiedad", escribió la víctima. "Estoy temblando de miedo". Los textos de Charles seguían un script predefinido, posiblemente escrito originalmente en mandarín y traducido automáticamente.

La evidencia técnica clave: el JWT

Cuando la plataforma cayó, la víctima conservó los archivos descargados. El análisis forense del código fuente fue el primer gran hallazgo.

En el archivo Customer_Service.html encontramos un token JWT embebido:

{"from_url": "www.mediamarktni.com", "link": "iN9RQu7GUUUKKu7A4R7RaUQKuvmrkmu7"}

Decodificado en Base64, este token confirma de forma técnica e irrefutable que mediamarktni.com no era un sitio independiente sino una instancia — un "merchant" — dentro de una plataforma mayor: winaopp.com.

Ahí empezó la investigación real.

Diseccionando winaopp.com

El análisis del código JavaScript de winaopp.com reveló la arquitectura completa del sistema:

• 1.207 fragmentos en mandarín embebidos en el código fuente
• Vant UI — biblioteca de componentes exclusiva del ecosistema de desarrollo chino
• Vue 3 + Vite — stack tecnológico moderno y sofisticado
• Sistema multi-merchant: cada instancia de estafa tenía un merchant-id único en las cabeceras HTTP
• 9 idiomas soportados: chino, inglés, español, indonesio, japonés, portugués, tailandés, turco, vietnamita
• Sistema VIP de niveles con 4 categorías (VIP0 a VIP3) para gestionar a las víctimas
• Chat de soporte integrado con rotación automática de wallets TRON

No estábamos ante una operación artesanal. Era una plataforma SaaS de fraude industrial.

El certificado SSL que lo conecta todo

La herramienta crt.sh — que registra todos los certificados SSL emitidos — reveló el dato más explosivo de toda la investigación.

El 13 de septiembre de 2024, GoDaddy emitió un certificado SSL (serial: 3e7eb283702c884) con el siguiente campo Subject Alternative Name:

DNS: invest-mentor.com
DNS: winaopp.com

Un certificado compartido entre dos dominios implica el mismo servidor y el mismo operador. No es una coincidencia técnica. Alguien, deliberadamente, configuró ambos dominios bajo la misma cuenta e infraestructura.

invest-mentor.com estaba activa en abril de 2026: un sitio bilingüe (hebreo/inglés) que suplantaba a un asesor financiero israelí llamado "Ephraim Tzuriel" para captar víctimas en Israel y ciudadanos con doble nacionalidad Israel-EEUU.

Identidades fabricadas y fotos robadas

"Ephraim Tzuriel" no existe. Búsqueda en LinkedIn: sin resultados. Truecaller: sin resultados. Facebook: perfil con 24 amigos, creado en julio de 2021, con una única foto — una imagen religiosa genérica de águila, león y Jesucristo, sin ningún rostro humano.

Pero las fotos del sitio sí eran reales. El análisis del nombre de archivo sallykatzinphotography-baka-nana-2191.jpg llevó directamente a Sally Katzin Photography, una fotógrafa israelí profesional basada en Modín. Los estafadores habían robado una foto de su portfolio para darle una cara al inexistente "Ephraim".

Sally fue contactada directamente. No sabía que su trabajo estaba siendo usado en una web de fraude activa.

La cadena de mules

El dinero no llegaba directamente a las wallets TRON. Primero pasaba por una cadena de mules bancarios con identidades reales y cuentas en bancos europeos:

Otros mules identificados operaban desde Lituania (ZEN.COM, Paysera), Reino Unido (Clear Junction) y Bélgica (Wise), formando una red de intermediarios europeos que convertían euros en USDT antes de enviarlo a las wallets finales en TRON.

Total documentado en blockchain: 3.874,27 USDT en 4 transacciones verificables en tronscan.org.

Las acciones ejecutadas

Con el expediente completo, Zero101OSINT ejecutó 14 acciones coordinadas en dos días:

Reportes formales

• GoDaddy Abuse: casos DCU101225394 y DCU101225395 — certificado SSL fraudulento
• FBI IC3: caso 2c56e205c5ab446b9839e7fa4b8dfbca — infraestructura completa
• Bybit: caso 24862312 — cuenta del mule bancario español reportada
• Chainabuse: 3 wallets TRON marcadas en la base de datos de exchanges
• Google: Safe Browsing, Calendar Abuse y Workspace Abuse

Publicación pública

• alarmadefraude.com / ScamDoc
• ScamAdviser (5 dominios)
• Reddit r/Scams (post público)
• INCIBE-CERT España

Organismos internacionales

• ISA Israel (Israel Securities Authority) — con informe adjunto
• Email directo a Sally Katzin Photography

Lo que aprendimos

Tres conclusiones que todo investigador OSINT debería conocer sobre estas operaciones:

1 — El código fuente es el mejor testigo

Los estafadores son cuidadosos con su identidad pero descuidados con su código. El mandarín embebido, las bibliotecas chinas y la arquitectura multi-merchant cuentan la historia completa de quién construyó esto y cómo funciona.

2 — Los certificados SSL son registros públicos

crt.sh guarda todos los certificados emitidos, incluyendo los campos SAN que vinculan dominios. Un certificado compartido es una firma digital que el operador no puede borrar.

3 — El eslabón más débil está en Europa

Los operadores principales están probablemente fuera del alcance judicial. Pero los mules bancarios — con IBANs europeos, KYC verificado y timestamps exactos — están dentro de jurisdicciones con plena capacidad de actuación.

El nicho del contra-fraude OSINT

Este caso demuestra que existe un trabajo real y necesario en la intersección entre OSINT, blockchain forensics y denuncia ante organismos reguladores. Víctimas de fraude digital raramente tienen los conocimientos técnicos para documentar lo que les ha ocurrido con el nivel de detalle que las autoridades necesitan para actuar.

Zero101OSINT está desarrollando un servicio especializado en investigación de fraude digital: documentación forense completa para soporte de denuncia, trazabilidad blockchain, identificación de infraestructura, y coordinación con organismos nacionales e internacionales.

Si has sido víctima de una estafa similar, o si eres un profesional legal o periodista trabajando en un caso de fraude digital, contacta con nosotros.

Preguntas frecuentes