Sommaire
Le même montage que Workor, déjà documenté par BrokerDefense
Le document servi par la racine de k9c3y.fr est identique à l’octet près à celui qu’a servi workor.it.com : même empreinte de contrôle, aucune divergence. Ce n’est pas une ressemblance de conception, c’est une copie exacte. Les images de la barre d’onglets sont les mêmes fichiers, et les icônes de cryptomonnaies affichées dans l’application sont identiques. Le bureau d’enregistrement des deux noms est identique, Dynadot, tout comme la couche de diffusion, Cloudflare. Le mécanisme de tâches rémunérées et la loterie intégrée à l’application sont construits selon le même schéma.
Notre dossier consacré à Workor.it.com décrit une fausse plateforme d’échange de cryptomonnaies ouverte le 24 mars 2026 chez Dynadot, diffusée par Cloudflare, alimentée par des dépôts en USDT et organisée autour d’un système de tâches et d’une loterie. Ce site ne répond plus depuis le 1er septembre 2026, bien que son nom soit toujours enregistré. La comparaison technique montre que k9c3y.fr a été produit par la même main, avec les mêmes ressources et selon la même méthode.
Ce rapprochement n’est pas une inférence : il repose sur la correspondance octet par octet du document de racine et sur l’identité des fichiers d’images. Ces éléments rattachent k9c3y.fr à une machine déjà décrite sur ce site, et non à une initiative isolée. La plateforme n’est pas un cas singulier : elle fait partie d’un ensemble reproductible dont Workor constituait une instance antérieure.
Dernière mise à jour : 06/10/2026
Un nom déposé le 1er mars 2026 chez Dynadot, sous un service de confidentialité lituanien
Le dossier d’enregistrement de k9c3y.fr a été ouvert le 1er mars 2026. La dernière modification du dossier date du 6 mars 2026, et l’inscription en cours porte jusqu’au 1er mars 2027. Le statut du nom est « client transfer prohibited », ce qui signifie que tout transfert vers un autre bureau d’enregistrement est verrouillé pour la durée de l’inscription.
Le bureau d’enregistrement retenu est Dynadot Inc., société établie à San Mateo, en Californie, portant l’identifiant IANA 472. C’est le même prestataire que celui utilisé pour workor.it.com, ce qui constitue un élément supplémentaire de cohérence entre les deux montages.
Le titulaire déclaré, le contact administratif et le contact technique sont tous trois renseignés au nom de DEUP Service Inc., dont l’adresse indiquée est Palangos g. 4-327, Vilnius, Lituanie. Il s’agit d’un service de confidentialité : cette entité se substitue à l’identité réelle de l’exploitant dans tous les champs publics du dossier, rendant l’identification de la personne physique ou morale réellement responsable impossible par cette voie.
Consultez la fiche WHOIS complète sur DomainTools pour vérifier les détails d’enregistrement du domaine.
Cloudflare et un certificat renouvelé : une enveloppe entretenue
La résolution du nom et la diffusion du contenu passent par Cloudflare, qui expose deux adresses, 188.114.96.3 d’un côté et 188.114.97.3 de l’autre. Ce dispositif masque l’hébergement réel du service et constitue une couche d’opacité supplémentaire entre l’exploitant et toute tentative d’identification de l’infrastructure sous-jacente.
Le certificat de sécurité en vigueur lors de nos relevés du 6 octobre 2026 a été émis par Let’s Encrypt, autorité désignée par le sigle YE1. Il est valable du 27 août 2026 au 25 novembre 2026 et couvre à la fois le nom principal et tous ses sous-domaines, sous la forme d’un certificat générique « *.k9c3y.fr ». Ce certificat est un renouvellement : la version précédente, désignée par le sigle E8, couvrait la période du 3 mars 2026 au 1er juin 2026 avant d’arriver à son terme.
Le renouvellement du certificat est un signal technique précis : il indique que l’enveloppe est entretenue, que quelqu’un a pris soin de maintenir la couverture de sécurité du nom même après que les pages visibles ont cessé de répondre. Nos relevés recensent par ailleurs dix-neuf technologies réparties en dix familles sur ce nom, ce qui témoigne d’une infrastructure construite, et non d’un montage précaire.
Tâches, recharge et loterie : le mécanisme de collecte
L’application exposée par k9c3y.fr est organisée autour de trois dispositifs articulés. Le premier est un espace intitulé « Task Rules », proposant des tâches dont l’exécution est présentée comme rémunérée. Le deuxième est un système de recharge et de retrait, accessible depuis des écrans dédiés, qui suppose que l’utilisateur effectue des versements réels pour alimenter un solde affiché dans l’application. Le troisième est une loterie intégrée, dont la présence est attestée par les points d’entrée de programmation « getLotteryInfo » et « getLotteryCurrencyItem » que l’application expose.
Ce dispositif reproduit exactement la mécanique décrite pour Workor : des tâches pour retenir l’utilisateur, une recharge pour collecter des fonds, une loterie pour entretenir l’espérance d’un gain. La logique est de conduire la victime à déposer des fonds réels, en USDT ou dans une autre cryptomonnaie, sur la promesse de gains issus de l’accomplissement de missions ou d’un tirage.
Aucune mention légale n’accompagne ce dispositif. Il n’existe sur la vitrine aucune raison sociale, aucun numéro d’immatriculation, aucune adresse d’entreprise, aucun document réglementaire. L’utilisateur qui s’engage n’a donc aucun moyen de savoir à qui il remet ses fonds ni dans quel cadre juridique cette relation s’inscrit.
Des ressources visuelles empruntées à une place d’échange établie
Les icônes de cryptomonnaies affichées dans l’application ne sont pas stockées sur le domaine k9c3y.fr. Elles sont chargées depuis un espace de stockage distant dont l’adresse est huobicfg.s3.amazonaws.com, un nom qui renvoie à une grande place d’échange internationale. Ces fichiers sont donc servis depuis une infrastructure tierce, sans rapport avec l’exploitant de la plateforme.
Ce procédé remplit deux fonctions. D’une part, il permet à l’application de présenter une iconographie familière et crédible sans avoir à produire ses propres ressources graphiques. D’autre part, il allège la construction du domaine lui-même, qui se réduit à une coquille de chargement ne contenant que le strict minimum pour appeler les ressources extérieures.
La racine de k9c3y.fr ne contient en effet qu’un document de 870 octets, sans titre, dont l’unique fonction est d’appeler le fichier de style et le programme principal. Le recours à des ressources visuelles empruntées à un opérateur reconnu participe à construire une apparence de sérieux que rien dans la plateforme elle-même ne justifie.
Ce qui reste servi : une coquille et des adresses internes muettes
Au 6 octobre 2026, la racine de k9c3y.fr sert un document de 870 octets : une page sans titre, dont le seul contenu est l’appel à deux fichiers, le feuille de style « uni.792512ef.css » et le programme « index.8a988945.js », ce dernier pesant environ 1,7 mégaoctets. Nos relevés techniques y détectent les bibliothèques Vue et React, ce qui confirme qu’une application complète a été construite et compilée.
Les adresses internes de la plateforme ne répondent plus. Les chemins /login, /register, /dashboard, /pages/asset/recharge et /pages/asset/withdraw renvoient tous une page d’erreur 404 signée par le serveur web nginx. Un utilisateur qui tenterait d’accéder à l’un de ces écrans se heurterait à une absence de réponse, sans explication.
Les points d’entrée de programmation, en revanche, répondent encore. Ils exigent une authentification : l’un retourne un code 400, l’autre un code 401. La mécanique de collecte est donc toujours branchée, alors même que les pages qui permettraient d’interagir avec elle ne s’affichent plus. Ce contraste entre une façade figée et un moteur actif est le trait technique le plus préoccupant de l’état actuel du service.
Notre dossier sur Goldtradingweb3.com a été publié le même jour que notre premier article sur k9c3y.fr et partage la même convention de fichiers d’application, ce qui inscrit les deux noms dans la même série. Si vous avez effectué des dépôts sur l’une ou l’autre de ces plateformes, notre page consacrée aux démarches pénales pour les victimes d’escroqueries financières détaille les recours disponibles et la manière de les engager.
Reconstruire ce qui s’est passé avec une plateforme comme k9c3y.fr exige de comprendre les mécanismes juridiques qui s’appliquent aux victimes d’un faux investissement. Maître Michel Orsini, dont le barreau est parisien, expose dans l’entretien ci-dessous les recours ouverts face à ce type d’escroquerie financière, de la qualification des faits jusqu’aux voies d’action concrètes pour tenter de récupérer des fonds versés.
Après un versement, les démarches utiles
Quiconque a effectué des dépôts vers k9c3y.fr à la suite d’un démarchage doit agir sans délai. Le premier réflexe est de saisir l’établissement bancaire ou le prestataire de paiement qui a exécuté les virements, afin d’en demander l’opposition ou le rappel dans les délais que cet établissement autorise. Conserver les échanges avec les interlocuteurs qui ont démarché, les messages reçus par tout canal, ainsi que les captures des écrans de recharge et de retrait tels qu’ils apparaissaient dans l’application : ces éléments constituent la base matérielle d’un dépôt de plainte et ne doivent pas être supprimés.
Le dépôt de plainte auprès du tribunal compétent doit intervenir le plus tôt possible, en annexant l’ensemble des pièces réunies. L’Autorité des marchés financiers publie des listes de mises en garde consultables sur sa page dédiée à la protection de l’épargne : k9c3y.fr n’y figure pas au 6 octobre 2026, mais cette absence ne vaut en aucun cas reconnaissance d’un statut autorisé.
Les victimes ayant déposé de l’argent sur k9c3y.fr après avoir été approchées par un interlocuteur leur présentant les écrans de recharge et de retrait comme ceux d’un service légitime se trouvent dans une situation qui appelle une réaction coordonnée : opposition des virements, conservation des preuves et engagement d’une procédure. La plateforme n’offre aucune transparence sur son exploitant réel, ce qui rend d’autant plus précieux chaque document conservé par la victime elle-même.
Lorsque les pages de retrait d’une plateforme cessent de répondre, la voie principale reste de contacter l’établissement qui a exécuté le virement initial pour en demander le rappel, dans les délais qu’il autorise. En parallèle, un dépôt de plainte documenté par les captures des écrans de recharge, les échanges avec les démarcheurs et les relevés de transactions est indispensable pour que les autorités puissent agir.
L’inscription à un tel recueil tenu par l’Autorité des marchés financiers suppose un signalement puis une instruction, ce qui prend du temps. L’absence d’une plateforme sur ces listes à une date donnée ne signifie pas qu’elle est autorisée : k9c3y.fr ne présente aucune raison sociale, aucun numéro d’immatriculation et aucune adresse d’entreprise, ce qui suffit à établir qu’elle n’opère dans aucun cadre réglementaire reconnu.
La présence de points d’entrée de programmation actifs, exigeant une authentification, indique que le moteur de l’application n’a pas été démantelé. Le certificat de sécurité a par ailleurs été renouvelé en août 2026. Ces éléments montrent que l’infrastructure est entretenue, ce qui ne peut pas être exclu. Il est donc important de ne pas attendre pour rassembler les preuves et engager les démarches utiles.
Contactez notre service d’aide aux victimes
Article réécrit le 06/10/2026
