TALE-VAULT: 3.622 domínios, 42 amostras e a arquitetura técnica de captação

Introdução

As ofertas de investimento podem mudar de marca sem mudar de tecnologia. Uma apresentação comercial diferente pode se apoiar nos mesmos modelos, formulários e serviços de rastreamento. Essa separação entre identidade visível e implementação permite reutilizar a infraestrutura e obriga a investigar o percurso completo, além do nome de cada página.

Vaca Muerta Investment oferece uma entrada reconhecível para leitores argentinos. A captura preservada em 11 de setembro de 2026 mostra uma página em alemão, uma promessa de ganhos superiores a €950 por dia com trading e um formulário com prefixo telefônico +49. O nome evoca a Argentina; o conteúdo registrado está configurado para a Alemanha. A página não comprova uma relação com um projeto energético.

Ao seguir essa pista identifiquei uma estrutura muito maior: 3.003 domínios registráveis de entrada associados a 619 domínios de destino em 5.291 registros públicos. A união de ambas as camadas reúne 3.622 domínios distintos. As 42 páginas preservadas permitem examinar em detalhe o código e o conteúdo de uma parte desse conjunto de registros.

A investigação conecta a escala do conjunto ao seu funcionamento: destinos que mudam, modelos que reaparecem sob outras marcas e serviços que medem o interesse do visitante. Quatro sessões permitem, além disso, demonstrar um percurso desde entradas hospedadas na OmegaTech até páginas que contatam o TALE. Este relatório reúne essas relações sob TALE-VAULT, nome de trabalho do conjunto técnico, sem atribuir-lhe uma identidade de ator.

Toque na imagem para ampliá-la

Toque na imagem para ampliá-la

Principais descobertas

• 3.622 domínios em duas camadas. O conjunto de registros contém 3.003 entradas e 619 destinos, sem coincidências entre ambos os conjuntos. Os 5.291 registros se reduzem a 5.247 pares distintos de entrada e destino: há reutilização e observações repetidas, não 5.291 plataformas independentes.
• A relação entre marca e destino muda. Um total de 1.711 entradas aparece com mais de um destino e 955 cruzam diferentes prefixos de nomes. Na amostra visual, uma mesma marca também muda de modelo e de narrativa.
• A implementação mantém componentes estáveis. Os 42 registros preservados compartilham o hash de loader.js; os 42 HTML incluem o mesmo campaignCode e host de analítica. A amostra reúne 26 identificadores de modelo e 15 países de configuração.
• A OmegaTech está conectada por quatro percursos concretos. A evidência preserva a resposta de cada entrada, o script que inicia a troca de página e uma solicitação posterior do destino ao serviço do TALE. A conexão corresponde à hospedagem das entradas.
• A captação está instrumentada. O código prepara formulários, verificação telefônica, continuação após o cadastro e um comportamento associado ao botão Voltar. O tráfego histórico confirma a medição de visitas; a entrega posterior de contatos e o circuito de pagamentos continuam sem ser reconstruídos.

Para quem isto pode ser útil

• Analistas de inteligência e fraude: relacionar marcas por seus artefatos e reconstruir mudanças de destino.
• SOC e equipes de resposta: investigar acessos históricos, distinguir visita de entrega de dados e priorizar sinais estáveis.
• Provedores de hospedagem, CDN e proteção de marca: receber denúncias com recursos, datas e percursos delimitados.
• Usuários finais: reconhecer que uma página profissional, uma marca familiar ou uma verificação por SMS não comprovam um investimento autorizado.

O que significa cada quantidade

A janela principal vai de 6 de setembro às 18:30:26 UTC a 6 de outubro às 17:16:28 UTC de 2026. As contagens descrevem esse arquivo selecionado, não o tamanho completo de uma operação nem uma quantidade de vítimas.

A rotação de destinos

A separação entre uma entrada comercial e seu destino é o primeiro traço estrutural do conjunto. Nomes diferentes desembocam em uma camada menor de domínios de publicação. Por sua vez, uma mesma entrada aparece associada a destinos diferentes ao longo das observações.

O conjunto de registros contém 1.711 entradas vinculadas a mais de um destino, aproximadamente 57 % das 3.003 entradas. Em 955 casos, os destinos pertencem a prefixos diferentes. Essas mudanças permitem acompanhar a continuidade de uma entrada mesmo que sua página final já não seja a mesma.

Os nomes seguem a sequência fisios → finme → finnio → fizzy → filzzy → finzzy → new → newwy. No arquivo, suas janelas aparecem sucessivamente. Isso documenta rotação de nomes de destino; não demonstra que cada prefixo seja uma versão do software, um cliente diferente ou uma ordem coordenada de migração.

Tampouco conhecemos a vida útil completa de cada domínio. Um destino observado durante minutos pode ter existido antes ou depois das capturas disponíveis. A cadência do arquivo não equivale à cadência real de toda a infraestrutura.

Milhares de URL não equivalem a milhares de designs

As 5.291 URL finais são distintas, mas incorporam parâmetros variáveis. A contagem de URL descreve percursos e observações, não demonstra 5.291 modelos diferentes. A amostra de 42 HTML contém 26 valores de landingId, enquanto um único modelo aparece em nove marcas. A escala deve ser comunicada preservando essas unidades.

Relações entre entradas e destinos

As tabelas e anexos reúnem a escala dos registros, a amostra de aplicação e as quatro cadeias da OmegaTech. Distinguem-se as associações entre entrada e destino, as navegações auditadas e as capacidades visíveis apenas no código.

Os anexos para download preservam os 3.622 domínios e as 5.247 relações distintas entre entrada e destino. Cada relação inclui os identificadores públicos que a sustentam. Essas arestas expressam a coincidência de entrada e destino final dentro do mesmo resultado: não atribuem um iniciador JavaScript a todos os registros nem controle comum sobre seus domínios.

O inventário e a tabela de relações para download permitem buscar entradas e destinos e consultar as observações que sustentam cada relação.

O percurso de captação

Etapa 1 Apresentar a oportunidade

O objetivo aparente é transformar atenção em disposição para se cadastrar. Vaca Muerta Investment combina um nome reconhecível com promessas de ganhos, avaliações, disponibilidade e um formulário. A apresentação busca transmitir familiaridade e urgência. A origem das visitas —anúncios, redes, e-mail ou mensagens— não foi estabelecida.

Etapa 2 Conduzir a uma página de destino

A entrada comercial e a página final se desacoplam. O conjunto de registros preserva sua associação e as quatro cadeias da OmegaTech permitem verificar a troca por meio de um script da própria entrada. Essa arquitetura pode manter o nome que o usuário vê enquanto substitui a página que desenvolve a captação.

Etapa 3 Adaptar a apresentação

Os HTML contêm configuração de marca, país, modelo e campanha. Uma mesma base pode exibir diferentes identidades comerciais e versões locais. Funciona como uma linha de produção de apresentações: reutilizam-se peças e mudam os elementos visíveis. A evidência não permite afirmar que o kit seja vendido como serviço.

Etapa 4 Preparar o contato e verificar o telefone

O código reúne nome, sobrenome, e-mail e telefone. Prevê solicitar e verificar um código telefônico e enviar o formulário a /send-v2. Essas funções poderiam validar que o contato é acessível e preparar sua continuidade. Não foram enviados formulários nem verificadas respostas de cadastro; a verificação não demonstra roubo de códigos bancários.

Etapa 5 Medir o interesse durante a visita

A medição funciona em paralelo à apresentação e ao cadastro. As solicitações arquivadas ao TALE incluem identificador de visita, tipo de página, tempo ativo e progresso de leitura. O código integra ainda o PostHog. Essa instrumentação permite associar comportamento a uma visita, como em um funil comercial.

Etapa 6 Preparar a continuação

O código aceita um endereço de continuação se o cadastro for bem-sucedido. As páginas lembram de atender a ligação de um suposto gestor; Bitpie Wallet apresenta um primeiro depósito como parte do início. Essas referências mostram o percurso proposto ao usuário. Não foram observadas ligações, entrega efetiva a um intermediário nem pagamentos realizados.

Toque na imagem para ampliá-la

A implementação por trás das páginas

Um mesmo modelo com nove identidades

Vaca Muerta Investment compartilha landingId 1741, country de e campaignCode WnFHimVys-nV com outras oito marcas. A coincidência de configuração acompanha a semelhança visual e permite relacionar suas apresentações com maior precisão que uma comparação de logotipos.

Os nomes são registrados como aparecem nas páginas. Sua presença não comprova autorização nem participação de empresas com denominações semelhantes. As datas são observações preservadas, não datas de criação ou substituição das marcas.

Uma mesma marca com várias apresentações

A relação também funciona no sentido inverso. DonTradeZip mantém landingId 2339, 1677 e 1502 em três registros de 28 de setembro e 2 e 3 de outubro. BAYKAR apresenta 1749, 2080 e 2690; Bright Stakeldom, 2080 e 1671. Portanto, o nome de entrada não identifica um modelo fixo.

Essas mudanças explicam por que uma captura isolada pode representar apenas uma versão da oferta. O arquivo não permite isolar a causa: atualização, distribuição de visitas, localização ou outra decisão. Não foi demonstrada uma técnica de cloaking.

Localização do conteúdo

Os 42 HTML contêm 15 países de configuração: Alemanha, Austrália, Canadá, Suíça, Áustria, Países Baixos, Israel, Japão, Reino Unido, Itália, Finlândia, Polônia, Espanha, França e Dinamarca. Nenhum corresponde à América Latina. São seleções da aplicação; não identificam o país de uma vítima nem a localização do operador.

Código compartilhado e rastreamento da visita

O loader como marca de continuidade

O mesmo SHA-256 de loader.js aparece nos 42 registros preservados. Os HTML incluem um campaignCode constante e o mesmo host PostHog. Em conjunto, essas coincidências sustentam continuidade de componentes dentro da amostra. Não permitem escolher entre um operador central, vários clientes de uma plataforma ou várias pessoas que reutilizam a mesma implementação.

Parâmetros que acompanham a entrada

As URL finais do conjunto de registros incorporam on e d. O primeiro transporta uma etiqueta relacionada ao nome apresentado; o segundo contém um valor opaco que muda a cada observação. Sua presença oferece material para reconstruir o percurso, mas não estabelecemos o que d representa nem demonstramos que seu conteúdo esteja cifrado.

Formulário e telemetria têm destinos funcionais diferentes

O HTML de Vaca Muerta prepara o envio do formulário a /send-v2 e contém funções em /verification/request e /verification/check. São rotas relativas à página. O serviço do TALE, por sua vez, recebe métricas de interação por meio de /engagement/ping. Esse endpoint de medição não deve ser descrito como receptor comprovado dos dados pessoais do formulário.

A configuração do PostHog aponta para um host específico e o código prevê gravação de sessões. Os registros preservam solicitações e respostas de recursos desse host; isso não comprova por si só eventos analíticos enviados nem gravações realizadas. Não foram recuperadas gravações nem um painel administrativo. PostHog e as bibliotecas de interface são ferramentas legítimas e seu uso não implica participação de seus provedores.

Um comportamento previsto para o botão Voltar

O código preservado inclui um manipulador popstate que constrói um endereço para qooqlle[.]com com parâmetros de idioma, marca e identificador de visita. É uma função prevista para agir quando o histórico do navegador muda. Não foi executada durante esta revisão nem foi observado o conteúdo do destino, por isso sua função final permanece pendente.

Onde termina o reconstruído

O código menciona eventos como lead_created, lead_sent e deposit. São etiquetas de rastreamento; não comprovam contatos entregues nem depósitos realizados. A evidência não inclui um CRM, a resposta a um cadastro concluído, uma central de atendimento nem receptores de fundos. A reconstrução chega até a captação preparada e a medição observada.

Nas 42 sessões preservadas não foram encontradas solicitações a /send-v2, /verification/request nem /verification/check. A presença dessas rotas no código comprova capacidade disponível, não um cadastro concluído.

Provedores e infraestrutura verificados

A revisão distingue dois provedores com funções verificadas neste dossiê. A Cloudflare aparece na borda dos destinos e dos serviços revisados. A OmegaTech aparece como hospedagem de quatro entradas. São funções diferentes dentro do percurso e não uma atribuição do controle das ofertas.

Nos quatro casos, o navegador terminou em uma página diferente e registrou POST HTTP 200 para api.tale-tro-ve-vault[.]com/engagement/ping. O IP de entrada, o ASN e o iniciador da troca estão preservados dentro de cada sessão. É uma evidência mais específica que uma coincidência de hospedagem.

Não foi identificada a origem dos 619 destinos por trás da borda da Cloudflare. Os 503 IP não equivalem a 503 servidores dedicados ou VPS. Vaca Muerta se relaciona com o conjunto por seu modelo e componentes; sua própria captura não comprova uma entrada a partir da OmegaTech. Não foram acrescentadas conexões com Sutarevon nem com outros dossiês baseadas apenas em nomes ou provedores.

Avaliação e conclusão

A leitura conjunta de escala e código revela uma arquitetura reutilizável: milhares de entradas se associam a uma camada menor de destinos, as marcas e os modelos mudam de relação e vários serviços permanecem estáveis na amostra. A estrutura permite sustentar múltiplas apresentações sem que cada nome visível exija uma implementação independente.

Os arquivos sustentam as contagens recalculadas e as quatro sequências registradas, dentro de seus arquivos de origem. A reutilização da implementação é uma conclusão sustentada pela amostra de código. A identidade, a quantidade e a organização de quem a utiliza continuam indeterminadas.

Vaca Muerta mostra como um nome reconhecível pode ser integrado a uma oferta localizada para outro mercado. O alcance dessa observação é preciso: conteúdo em alemão, euros e prefixo +49 em uma captura histórica. Não demonstra vítimas argentinas, alemãs nem uma operação dirigida à América Latina.

O caso permite observar mecanismos associados à industrialização da captação: separação de funções, reutilização de componentes, adaptação de marca e medição de comportamento. Não foi demonstrada uma comercialização do kit como SaaS nem uma hierarquia criminosa concreta. O resultado útil é uma estrutura técnica que pode ser investigada e detectada por meio de relações, além de domínios individuais.

Recomendações para organizações

• Buscar em DNS, proxy e registros de navegação as entradas, destinos e hosts de medição do dossiê. Uma coincidência histórica exige contexto: exposição, envio de formulário e comprometimento de um equipamento são situações diferentes.
• Correlacionar o percurso completo. Preservar endereço de entrada, destino final, data, HTML e solicitações; um bloqueio limitado a uma marca pode perder continuidade quando seu destino muda.
• Priorizar combinações de marcas técnicas: loader, configuração, endpoint do TALE e host PostHog. Os nomes de rotas e as bibliotecas genéricas não bastam separadamente.
• Se houve entrega de dados, revisar os contatos posteriores e possíveis instruções de pagamento. Preservar mensagens e comprovantes antes que desapareçam.
• Para provedores, tramitar denúncias com domínios, IP históricos, datas e os quatro registros de sessão. Evitar estender uma classificação a todo um ASN, uma CDN ou domínios legítimos por associação.

Para usuários finais

• Verificar a entidade e a autorização de investimento em canais independentes antes de preencher um formulário. Um nome familiar ou um SMS de verificação não comprovam legitimidade.
• Se já foram deixados dados, preservar a página e as mensagens do suposto gestor. Se houve um pagamento, contatar o quanto antes o banco ou meio de pagamento com os comprovantes.

Método e fontes do dossiê

Os conjuntos foram recalculados a partir de corpus_a_scans.csv, preservado no dossiê original. Cada linha é um resultado público do URLScan selecionado por meio de uma consulta pelo host da API do TALE. Que todas as linhas estejam relacionadas a esse host faz parte do critério de seleção; não constitui uma medição independente de prevalência.

Foram revisados 42 PNG, 42 HTML e 42 JSON emparelhados, com observações de 7 de setembro a 6 de outubro. A inspeção das quatro cadeias foi realizada sobre as respostas de entrada, o frame, o iniciador da navegação e as solicitações posteriores ao TALE. As imagens e registros de uma mesma sessão são evidências complementares, não fontes independentes.

Esta revisão usou material preservado. As páginas investigadas não foram visitadas, seus scripts não foram executados nem foram enviados formulários. A disponibilidade atual não foi verificada. A análise e a redação foram realizadas com assistência de IA a partir dos arquivos do pesquisador.

Registros primários públicos

S1 Vaca Muerta Investment | 11 de setembro de 2026

S2 KronexKraftTrade | 10 de setembro de 2026

S3 ProfinaFundecor | 25 de setembro de 2026

S4 Bitpie Wallet | 4 de outubro de 2026

S5 Iberdrola Trade | 5 de outubro de 2026

O arquivo nueve_marcas.csv vincula as nove capturas do modelo 1741. relaciones_entrada_destino.csv preserva as 5.247 relações com seus scan_id. metricas_verificadas.json identifica o ZIP original e o SHA-256 do CSV utilizado. A tabela de relações permite reproduzir as conexões sem depender de uma visão resumida.

Rastreabilidade das contagens

Os prefixos foram obtidos do nome real de cada destino e foram contados separadamente registros, entradas únicas e destinos únicos. O conjunto contém 618 domínios .sbs e um domínio .site. As 5.247 relações distintas preservam suas observações de origem, de modo que cada conexão pode ser confrontada com o arquivo fonte. As quatro cadeias da OmegaTech acrescentam uma verificação detalhada de navegação sem atribuir controle ao provedor.

Não foram acrescentadas ao conjunto de registros outras redes por compartilharem provedor, prefixo ou nome de arquivo. As relações não comprovadas permanecem fora do grafo de navegação. Essa separação preserva o valor da descoberta e permite ampliá-la com novas provas sem misturar dossiês.

Indicadores históricos e elementos de correlação

Estes indicadores correspondem ao período observado. Revalidar sua situação antes de aplicar bloqueios atuais. Os nomes são apresentados desativados e a confiança se refere à sua relação com este dossiê, não a uma atribuição de propriedade.

Marca do arquivo compartilhado

SHA-256 de loader.js nos 42 registros preservados:

0a59565c5d4f3234c826ec37adbb1af67f8581998bc4029c738a963e718d9048

Correlação do modelo de nove marcas: landingId 1741; country de; campaignCode WnFHimVys-nV. Esses valores devem ser usados junto com outras marcas técnicas, não como prova isolada de atividade maliciosa.

Os 3.622 domínios e suas relações estão disponíveis nos anexos de dados. Os IP de borda da Cloudflare, as bibliotecas legítimas e as respostas JSON genéricas de sucesso não são propostos como indicadores individuais de bloqueio.

As 42 amostras completas e suas configurações

Cada linha corresponde a um conjunto preservado de HTML, JSON e captura. As datas são observações históricas. Os hashes das três peças estão incluídos no anexo de amostras.

Dados, fontes e hashes

Os anexos preservam os domínios desativados e os identificadores públicos de observação. Excluem-se cookies, cabeçalhos de sessão, parâmetros opacos das URL e scripts executáveis das páginas investigadas.

• 5.291 registros com data e fonte pública
• 5.247 relações entre entrada e destino
• 3.622 domínios por função
• 42 amostras: configuração e SHA-256 de HTML, JSON e captura
• Nove marcas com modelo 1741 e país de
• Cronologia dos oito prefixos
• Contagem verificada

SHA-256 do CSV original: d63cd3292898707b5812e1d95fb5ba9ccd471497b7fea31dabdbc365765b5336. SHA-256 do pacote preservado utilizado: 79936790ec8b8b980795106419ca92ee4c0e35e679feefc45c53b344b5a43f64. Os CSV públicos derivados têm hashes próprios e não substituem o arquivo original.