TALE-VAULT: 3.622 dominios, 42 muestras y la arquitectura técnica de captación

Introducción

Las ofertas de inversión pueden cambiar de marca sin cambiar de tecnología. Una presentación comercial distinta puede apoyarse en las mismas plantillas, formularios y servicios de seguimiento. Esa separación entre identidad visible e implementación permite reutilizar la infraestructura y obliga a investigar el recorrido completo, además del nombre de cada página.

Vaca Muerta Investment ofrece una entrada reconocible para lectores argentinos. La captura conservada el 11 de septiembre de 2026 muestra una página en alemán, una promesa de ganancias superiores a €950 diarios mediante trading y un formulario con prefijo telefónico +49. El nombre evoca a la Argentina; el contenido registrado está configurado para Alemania. La página no acredita una relación con un proyecto energético.

Al seguir esa pista identifiqué una estructura mucho mayor: 3.003 dominios registrables de entrada asociados con 619 dominios de destino en 5.291 registros públicos. La unión de ambas capas reúne 3.622 dominios distintos. Las 42 páginas preservadas permiten examinar en detalle el código y el contenido de una parte de ese conjunto de registros.

La investigación conecta la escala del conjunto con su funcionamiento: destinos que cambian, plantillas que reaparecen bajo otras marcas y servicios que miden el interés del visitante. Cuatro sesiones permiten además demostrar un recorrido desde entradas alojadas en OmegaTech hasta páginas que contactan TALE. Este informe reúne esas relaciones bajo TALE-VAULT, nombre de trabajo del conjunto técnico, sin atribuirle una identidad de actor.

Tocá la imagen para ampliarla

Tocá la imagen para ampliarla

Hallazgos principales

• 3.622 dominios en dos capas. El conjunto de registros contiene 3.003 entradas y 619 destinos, sin coincidencias entre ambos conjuntos. Los 5.291 registros se reducen a 5.247 pares distintos de entrada y destino: hay reutilización y observaciones repetidas, no 5.291 plataformas independientes.
• La relación entre marca y destino cambia. Un total de 1.711 entradas aparecen con más de un destino y 955 cruzan distintos prefijos de nombres. En la muestra visual, una misma marca también cambia de plantilla y narrativa.
• La implementación conserva componentes estables. Los 42 registros preservados comparten el hash de loader.js; los 42 HTML incluyen el mismo campaignCode y host de analítica. La muestra reúne 26 identificadores de plantilla y 15 países de configuración.
• OmegaTech está conectado por cuatro recorridos concretos. La evidencia conserva la respuesta de cada entrada, el script que inicia el cambio de página y una solicitud posterior del destino al servicio de TALE. La conexión corresponde al alojamiento de las entradas.
• La captación está instrumentada. El código prepara formularios, verificación telefónica, continuación tras el registro y un comportamiento asociado al botón Atrás. El tráfico histórico confirma medición de visitas; la entrega posterior de contactos y el circuito de pagos siguen sin reconstruirse.

Quién puede encontrar esto útil

• Analistas de inteligencia y fraude: relacionar marcas por sus artefactos y reconstruir cambios de destino.
• SOC y equipos de respuesta: investigar accesos históricos, distinguir visita de entrega de datos y priorizar señales estables.
• Proveedores de alojamiento, CDN y protección de marca: recibir denuncias con recursos, fechas y recorridos delimitados.
• Usuarios finales: reconocer que una página profesional, una marca familiar o una verificación por SMS no acreditan una inversión autorizada.

Qué significa cada cantidad

La ventana principal va del 6 de septiembre a las 18:30:26 UTC al 6 de octubre a las 17:16:28 UTC de 2026. Los conteos describen ese archivo seleccionado, no el tamaño completo de una operación ni una cantidad de víctimas.

La rotación de destinos

La separación entre una entrada comercial y su destino es el primer rasgo estructural del conjunto. Distintos nombres desembocan en una capa menor de dominios de publicación. A su vez, una misma entrada aparece asociada con destinos diferentes a lo largo de las observaciones.

El conjunto de registros contiene 1.711 entradas vinculadas a más de un destino, aproximadamente el 57 % de las 3.003 entradas. En 955 casos, los destinos pertenecen a distintos prefijos. Esos cambios permiten seguir la continuidad de una entrada aunque su página final ya no sea la misma.

Los nombres siguen la secuencia fisios → finme → finnio → fizzy → filzzy → finzzy → new → newwy. En el archivo, sus ventanas aparecen sucesivamente. Esto documenta rotación de nombres de destino; no demuestra que cada prefijo sea una versión del software, un cliente diferente o una orden coordinada de migración.

Tampoco conocemos la vida útil completa de cada dominio. Un destino observado durante minutos puede haber existido antes o después de las capturas disponibles. La cadencia del archivo no equivale a la cadencia real de toda la infraestructura.

Miles de URL no equivalen a miles de diseños

Las 5.291 URL finales son distintas, pero incorporan parámetros variables. El recuento de URL describe recorridos y observaciones, no demuestra 5.291 plantillas diferentes. La muestra de 42 HTML contiene 26 valores de landingId, mientras que una sola plantilla aparece en nueve marcas. La escala debe comunicarse conservando esas unidades.

Relaciones entre entradas y destinos

Las tablas y anexos reúnen la escala de los registros, la muestra de aplicación y las cuatro cadenas de OmegaTech. Se distinguen las asociaciones entre entrada y destino, las navegaciones auditadas y las capacidades visibles únicamente en el código.

Los anexos descargables conservan los 3.622 dominios y las 5.247 relaciones distintas entre entrada y destino. Cada relación incluye los identificadores públicos que la sustentan. Esas aristas expresan la coincidencia de entrada y destino final dentro del mismo resultado: no atribuyen un iniciador JavaScript a todos los registros ni control común sobre sus dominios.

El inventario y la tabla de relaciones descargables permiten buscar entradas y destinos y consultar las observaciones que sustentan cada relación.

El recorrido de captación

Etapa 1 Presentar la oportunidad

El objetivo aparente es transformar atención en disposición a registrarse. Vaca Muerta Investment combina un nombre reconocible con promesas de ganancias, valoraciones, disponibilidad y un formulario. La presentación busca aportar familiaridad y urgencia. El origen de las visitas —anuncios, redes, correo o mensajes— no quedó establecido.

Etapa 2 Conducir a una página de destino

La entrada comercial y la página final se desacoplan. El conjunto de registros conserva su asociación y las cuatro cadenas de OmegaTech permiten verificar el cambio mediante un script de la propia entrada. Esta arquitectura puede mantener el nombre que ve el usuario mientras sustituye la página que desarrolla la captación.

Etapa 3 Adaptar la presentación

Los HTML contienen configuración de marca, país, plantilla y campaña. Una misma base puede mostrar distintas identidades comerciales y versiones locales. Funciona como una línea de producción de presentaciones: se reutilizan piezas y cambian los elementos visibles. La evidencia no permite afirmar que el kit se venda como servicio.

Etapa 4 Preparar el contacto y comprobar el teléfono

El código reúne nombre, apellido, correo y teléfono. Contempla solicitar y comprobar un código telefónico y enviar el formulario a /send-v2. Estas funciones podrían validar que el contacto es accesible y preparar su continuidad. No se enviaron formularios ni se comprobaron respuestas de registro; la verificación no demuestra robo de códigos bancarios.

Etapa 5 Medir el interés durante la visita

La medición funciona en paralelo a la presentación y el registro. Las solicitudes archivadas a TALE incluyen identificador de visita, tipo de página, tiempo activo y avance de lectura. El código integra además PostHog. Esta instrumentación permite asociar comportamiento con una visita, como en un embudo comercial.

Etapa 6 Preparar la continuación

El código acepta una dirección de continuación si el registro tiene éxito. Las páginas recuerdan atender una llamada de un supuesto gestor; Bitpie Wallet presenta un primer depósito como parte del comienzo. Esas referencias muestran el recorrido propuesto al usuario. No se observaron llamadas, entrega efectiva a un intermediario ni pagos realizados.

Tocá la imagen para ampliarla

La implementación detrás de las páginas

Una misma plantilla con nueve identidades

Vaca Muerta Investment comparte landingId 1741, country de y campaignCode WnFHimVys-nV con otras ocho marcas. La coincidencia de configuración acompaña al parecido visual y permite relacionar sus presentaciones con mayor precisión que una comparación de logotipos.

Los nombres se consignan como aparecen en las páginas. Su presencia no acredita autorización ni participación de empresas con denominaciones semejantes. Las fechas son observaciones conservadas, no fechas de creación o sustitución de las marcas.

Una misma marca con varias presentaciones

La relación también funciona en sentido inverso. DonTradeZip conserva landingId 2339, 1677 y 1502 en tres registros del 28 de septiembre, 2 y 3 de octubre. BAYKAR presenta 1749, 2080 y 2690; Bright Stakeldom, 2080 y 1671. Por lo tanto, el nombre de entrada no identifica una plantilla fija.

Estos cambios explican por qué una captura aislada puede representar solo una versión de la oferta. El archivo no permite aislar la causa: actualización, distribución de visitas, localización u otra decisión. No se ha demostrado una técnica de cloaking.

Localización del contenido

Los 42 HTML contienen 15 países de configuración: Alemania, Australia, Canadá, Suiza, Austria, Países Bajos, Israel, Japón, Reino Unido, Italia, Finlandia, Polonia, España, Francia y Dinamarca. Ninguno corresponde a América Latina. Son selecciones de la aplicación; no identifican el país de una víctima ni la ubicación del operador.

Código compartido y seguimiento de la visita

El loader como huella de continuidad

El mismo SHA-256 de loader.js aparece en los 42 registros preservados. Los HTML incluyen un campaignCode constante y el mismo host PostHog. En conjunto, estas coincidencias sostienen continuidad de componentes dentro de la muestra. No permiten elegir entre un operador central, varios clientes de una plataforma o varias personas que reutilizan la misma implementación.

Parámetros que acompañan a la entrada

Las URL finales del conjunto de registros incorporan on y d. El primero transporta una etiqueta relacionada con el nombre presentado; el segundo contiene un valor opaco que cambia por observación. Su presencia ofrece material para reconstruir el recorrido, pero no hemos establecido qué representa d ni demostrado que su contenido esté cifrado.

Formulario y telemetría tienen destinos funcionales diferentes

El HTML de Vaca Muerta prepara el envío del formulario a /send-v2 y contiene funciones en /verification/request y /verification/check. Son rutas relativas a la página. El servicio de TALE, por su parte, recibe métricas de interacción mediante /engagement/ping. No debe describirse ese endpoint de medición como receptor demostrado de los datos personales del formulario.

La configuración de PostHog apunta a un host específico y el código contempla grabación de sesiones. Los registros conservan solicitudes y respuestas de recursos de ese host; eso no acredita por sí solo eventos analíticos enviados ni grabaciones realizadas. No se recuperaron grabaciones ni un panel administrativo. PostHog y las bibliotecas de interfaz son herramientas legítimas y su utilización no implica participación de sus proveedores.

Un comportamiento previsto para el botón Atrás

El código preservado incluye un manejador popstate que construye una dirección hacia qooqlle[.]com con parámetros de idioma, marca e identificador de visita. Es una función prevista para actuar cuando cambia el historial del navegador. No se ejecutó durante esta revisión ni se observó el contenido del destino, por lo que su función final permanece pendiente.

Dónde termina lo reconstruido

El código menciona eventos como lead_created, lead_sent y deposit. Son etiquetas de seguimiento; no acreditan contactos entregados ni depósitos realizados. La evidencia no incluye un CRM, la respuesta a un registro completado, un centro de llamadas ni receptores de fondos. La reconstrucción llega hasta la captación preparada y la medición observada.

En las 42 sesiones preservadas no se encontraron solicitudes a /send-v2, /verification/request ni /verification/check. La presencia de estas rutas en el código acredita capacidad disponible, no un registro completado.

Proveedores e infraestructura verificados

La revisión distingue dos proveedores con funciones verificadas en este expediente. Cloudflare aparece en el borde de los destinos y de los servicios revisados. OmegaTech aparece como alojamiento de cuatro entradas. Son funciones diferentes dentro del recorrido y no una atribución del control de las ofertas.

En los cuatro casos, el navegador terminó en una página distinta y registró POST HTTP 200 a api.tale-tro-ve-vault[.]com/engagement/ping. La IP de entrada, el ASN y el iniciador del cambio están conservados dentro de cada sesión. Es evidencia más específica que una coincidencia de alojamiento.

No se identificó el origen de los 619 destinos detrás del borde de Cloudflare. Las 503 IP no equivalen a 503 servidores dedicados o VPS. Vaca Muerta se relaciona con el conjunto por su plantilla y componentes; su propia captura no acredita una entrada desde OmegaTech. No se añadieron conexiones con Sutarevon ni con otros expedientes basadas solo en nombres o proveedores.

Evaluación y conclusión

La lectura conjunta de escala y código revela una arquitectura reutilizable: miles de entradas se asocian con una capa menor de destinos, las marcas y las plantillas cambian de relación y varios servicios permanecen estables en la muestra. La estructura permite sostener múltiples presentaciones sin que cada nombre visible requiera una implementación independiente.

Los archivos respaldan los conteos recalculados y las cuatro secuencias registradas, dentro de sus archivos de origen. La reutilización de la implementación es una conclusión respaldada por la muestra de código. La identidad, cantidad y organización de quienes la utilizan siguen sin determinarse.

Vaca Muerta muestra cómo un nombre reconocible puede integrarse en una oferta localizada para otro mercado. El alcance de esa observación es preciso: contenido alemán, euros y prefijo +49 en una captura histórica. No demuestra víctimas argentinas, alemanas ni una operación dirigida a América Latina.

El caso permite observar mecanismos asociados con la industrialización de la captación: separación de funciones, reutilización de componentes, adaptación de marca y medición de comportamiento. No se ha demostrado una comercialización del kit como SaaS ni una jerarquía criminal concreta. El resultado útil es una estructura técnica que puede investigarse y detectarse mediante relaciones, además de dominios individuales.

Recomendaciones para organizaciones

• Buscar en DNS, proxy y registros de navegación las entradas, destinos y hosts de medición del expediente. Una coincidencia histórica exige contexto: exposición, envío de formulario y compromiso de un equipo son situaciones diferentes.
• Correlacionar el recorrido completo. Conservar dirección de entrada, destino final, fecha, HTML y solicitudes; un bloqueo limitado a una marca puede perder continuidad cuando cambia su destino.
• Priorizar combinaciones de huellas: loader, configuración, endpoint de TALE y host PostHog. Los nombres de rutas y las bibliotecas genéricas no bastan por separado.
• Si hubo entrega de datos, revisar los contactos posteriores y posibles instrucciones de pago. Preservar mensajes y comprobantes antes de que desaparezcan.
• Para proveedores, tramitar denuncias con dominios, IP históricas, fechas y los cuatro registros de sesión. Evitar extender una clasificación a todo un ASN, una CDN o dominios legítimos por asociación.

Para usuarios finales

• Contrastar entidad y autorización de inversión en canales independientes antes de completar un formulario. Un nombre familiar o un SMS de verificación no acreditan legitimidad.
• Si ya se dejaron datos, conservar la página y los mensajes del supuesto gestor. Si hubo un pago, contactar cuanto antes al banco o medio de pago con sus comprobantes.

Método y fuentes del expediente

Se recalcularon los conjuntos desde corpus_a_scans.csv, conservado en el dossier original. Cada fila es un resultado público de URLScan seleccionado mediante una consulta por el host de la API de TALE. Que todas las filas estén relacionadas con ese host es parte del criterio de selección; no constituye una medición independiente de prevalencia.

Se revisaron 42 PNG, 42 HTML y 42 JSON emparejados, con observaciones del 7 de septiembre al 6 de octubre. La inspección de las cuatro cadenas se realizó sobre las respuestas de entrada, el frame, el iniciador de navegación y las solicitudes posteriores a TALE. Las imágenes y registros de una misma sesión son evidencia complementaria, no fuentes independientes.

Esta revisión usó material conservado. No se visitaron las páginas investigadas, no se ejecutaron sus scripts ni se enviaron formularios. La disponibilidad actual no fue comprobada. El análisis y la redacción se realizaron con asistencia de IA a partir de los archivos del investigador.

Registros primarios públicos

S1 Vaca Muerta Investment | 11 septiembre 2026

S2 KronexKraftTrade | 10 septiembre 2026

S3 ProfinaFundecor | 25 septiembre 2026

S4 Bitpie Wallet | 4 octubre 2026

S5 Iberdrola Trade | 5 octubre 2026

El archivo nueve_marcas.csv enlaza las nueve capturas de la plantilla 1741. relaciones_entrada_destino.csv conserva las 5.247 relaciones con sus scan_id. metricas_verificadas.json identifica el ZIP original y el SHA-256 del CSV utilizado. La tabla de relaciones permite reproducir las conexiones sin depender de una vista resumida.

Trazabilidad de los conteos

Los prefijos se obtuvieron del nombre real de cada destino y se contaron por separado registros, entradas únicas y destinos únicos. El conjunto contiene 618 dominios .sbs y un dominio .site. Las 5.247 relaciones distintas conservan sus observaciones de origen, de modo que cada conexión puede contrastarse con el archivo fuente. Las cuatro cadenas de OmegaTech añaden una comprobación detallada de navegación sin atribuir control al proveedor.

No se añadieron al conjunto de registros otras redes por compartir proveedor, prefijo o nombre de archivo. Las relaciones no acreditadas permanecen fuera del grafo de navegación. Esta separación conserva el valor del hallazgo y permite ampliarlo con nuevas pruebas sin mezclar expedientes.

Indicadores históricos y elementos de correlación

Estos indicadores corresponden al período observado. Revalidar su situación antes de aplicar bloqueos actuales. Los nombres se presentan desarmados y la confianza se refiere a su relación con este expediente, no a una atribución de propiedad.

Huella del archivo compartido

SHA-256 de loader.js en los 42 registros preservados:

0a59565c5d4f3234c826ec37adbb1af67f8581998bc4029c738a963e718d9048

Correlación de la plantilla de nueve marcas: landingId 1741; country de; campaignCode WnFHimVys-nV. Estos valores deben usarse junto con otras huellas, no como prueba aislada de actividad maliciosa.

Los 3.622 dominios y sus relaciones están disponibles en los anexos de datos. Las IP de borde de Cloudflare, las bibliotecas legítimas y las respuestas JSON genéricas de éxito no se proponen como indicadores individuales de bloqueo.

Las 42 muestras completas y sus configuraciones

Cada fila corresponde a un conjunto preservado de HTML, JSON y captura. Las fechas son observaciones históricas. Los hashes de las tres piezas se incluyen en el anexo de muestras.

Datos, fuentes y hashes

Los anexos conservan los dominios desactivados y los identificadores públicos de observación. Se excluyen cookies, encabezados de sesión, parámetros opacos de las URL y scripts ejecutables de las páginas investigadas.

• 5.291 registros con fecha y fuente pública
• 5.247 relaciones entre entrada y destino
• 3.622 dominios por función
• 42 muestras: configuración y SHA-256 de HTML, JSON y captura
• Nueve marcas con plantilla 1741 y país de
• Cronología de los ocho prefijos
• Recuento verificado

SHA-256 del CSV original: d63cd3292898707b5812e1d95fb5ba9ccd471497b7fea31dabdbc365765b5336. SHA-256 del paquete preservado utilizado: 79936790ec8b8b980795106419ca92ee4c0e35e679feefc45c53b344b5a43f64. Los CSV públicos derivados tienen hashes propios y no sustituyen al archivo original.