Workor arnaque : la fausse plateforme d’échange s’est volatilisée

Moins de deux semaines après la publication de notre enquête du 21 août 2026, workor.it.com ne répond plus à aucune requête : plus aucune adresse IP n’est publiée pour ce nom, et le site est totalement injoignable depuis le 1er septembre. Le nom de domaine reste pourtant enregistré chez Dynadot LLC jusqu’au 25 mars 2027, serveurs de noms Cloudflare toujours déclarés au registrar, comme si la coquille administrative survivait à l’extinction opérationnelle.

Dernière mise à jour : 03/09/2026

Moins de deux semaines après notre enquête, la fausse plateforme d’échange s’est tue

Notre enquête a été publiée le 21 août 2026. Le 1er septembre, la surveillance a détecté que workor.it.com ne répondait plus. La vérification effectuée ce 3 septembre confirme l’état : plus aucune adresse IP n’est publiée pour ce nom, le site est totalement injoignable, aucune page n’est servie. Les requêtes portant sur les enregistrements A, NS, MX et TXT restent sans réponse utile, seule la zone it.com répond en amont.

Ce calendrier mérite attention : le certificat SSL wildcard Let’s Encrypt émis le 20 juillet 2026 aurait dû rester valable jusqu’au 18 octobre 2026. La plateforme s’est éteinte avant même l’échéance de son propre certificat, sans attendre son renouvellement ni sa révocation. En prenant comme point de départ la création du domaine le 24 mars 2026 et comme point d’arrivée la détection d’extinction fin août/début septembre, la plateforme aura fonctionné environ cinq mois.

Le domaine reste enregistré chez Dynadot, mais plus rien n’est servi derrière

Le domaine workor.it.com est toujours enregistré chez Dynadot LLC, avec une date d’expiration fixée au 25 mars 2027 et le statut clientTransferProhibited actif. Le titulaire reste masqué derrière le service de confidentialité « Super Privacy Service LTD c/o Dynadot », adresse San Mateo, Californie. Les serveurs de noms lilith.ns.cloudflare.com et nick.ns.cloudflare.com sont encore déclarés chez le registrar.

Cependant, aucune zone ne répond plus : pas d’adresse IP associée, pas de page accessible, aucune messagerie (le domaine n’a d’ailleurs jamais disposé d’enregistrement MX depuis sa création). Le nom est conservé alors que rien n’est servi : une coquille DNS silencieuse qui pourrait techniquement être réactivée jusqu’à l’échéance de mars 2027, sans que rien n’indique à ce stade une telle intention. Les victimes qui tenteraient d’y accéder ne trouveront rien, mais le risque d’une remise en ligne ne peut être exclu tant que le nom reste entre les mains de son titulaire anonyme.

Créé le 24 mars 2026 chez Dynadot, derrière le bouclier Cloudflare

Les faits d’enregistrement documentés dans notre enquête d’août restent éclairants sur la construction du dispositif. Le domaine workor.it.com a été enregistré le 24 mars 2026 chez Dynadot LLC, un registrar américain dont les contrôles d’identité des titulaires sont limités. L’identité réelle de l’opérateur a été immédiatement dissimulée via le service de confidentialité de Dynadot. Trois minutes après la création du domaine, les serveurs de noms étaient déjà basculés vers Cloudflare, plaçant d’emblée l’infrastructure derrière un réseau de distribution qui masque les adresses IP d’origine. Le certificat SSL wildcard a été émis par Let’s Encrypt le 20 juillet 2026, soit environ quatre mois après le dépôt du nom. Aucun enregistrement MX n’a jamais existé : les opérateurs de la plateforme n’utilisaient pas d’adresse email rattachée au domaine.

Le paradoxe relevé dans notre enquête d’août persiste : la fiche ScamDoc disponible à l’adresse https://fr.scamdoc.com/view/2578726 attribue toujours à workor.it.com un score de confiance qualifié d’« excellent » et présente le nom comme « très âgé », alors que le registre confirme une création en mars 2026 seulement. Cet écart entre l’affichage d’un outil tiers et la réalité vérifiable du registrar illustre la limite de ces indicateurs pris isolément. Consultez la fiche WHOIS complète sur DomainTools pour vérifier les détails d’enregistrement du domaine.

Dépôts en USDT, tâches et loterie : le mécanisme qui a fait tomber les victimes

Le fonctionnement de workor.it.com reposait sur une séquence rodée. Après création d’un compte par adresse email, les utilisateurs étaient invités à déposer des USDT vers une adresse de portefeuille fournie par la plateforme. Les fonds envoyés ne transitaient par aucun système d’échange réel : la plateforme affichait des cours en continu sur plus de quatre-vingts paires de cryptomonnaies, mais ces données constituaient un décor. Les « tâches » de trading généraient des gains virtuels qui s’accumulaient dans l’espace client sans jamais pouvoir être convertis en fonds réels.

Le procédé rappelait celui de la fausse plateforme d’échange Bingx-exchange, documentée en juin 2026, qui utilisait une mécanique identique de simulation de gains pour retenir les dépôts. Le système de parrainage de workor.it.com ajoutait une couche supplémentaire : les utilisateurs recrutant d’autres membres obtenaient le statut d’« employé officiel », ce qui leur donnait accès à des « nœuds » de staking et à une loterie interne. Ce parcours en trois temps (dépôt, tâche, retrait bloqué) avait été décrit dans notre analyse du faux site de trading Vibary.top. Lorsqu’une demande de retrait était formulée, la plateforme opposait successivement des exigences de frais à régler, de vérification d’identité supplémentaire ou de seuil de dépôt minimum non atteint : autant de prétextes destinés à soutirer de nouveaux versements avant de faire disparaître l’ensemble.

Dans une vidéo consacrée aux recours des victimes, Maître Anne Bernard-Dussaulx, avocate au barreau de Paris, revient sur un jugement pour escroquerie obtenu devant le tribunal judiciaire du Mans : la condamnation d’une banque pour manquement à son devoir de vigilance y a permis l’indemnisation de victimes de faux investissements.

Après la fermeture de Workor : les démarches utiles

La fermeture de workor.it.com place les victimes dans une situation particulière. Les dépôts ont été effectués en USDT vers des adresses de portefeuilles fournies par la plateforme : ces adresses constituent des éléments de preuve essentiels, car elles permettent de tracer les flux sur la blockchain. Les victimes doivent conserver l’ensemble des captures d’écran de leur espace client (solde affiché, historique des tâches, messages du service client intégré), les relevés de transactions en USDT (dates, montants, adresses de destination) ainsi que tout échange avec le chat interne de la plateforme, seul canal de communication utilisé par les opérateurs, qui n’ont jamais proposé ni téléphone ni adresse email.

Les personnes qui ont transmis des pièces d’identité lors de la procédure de « vérification » doivent en prendre acte : ces documents sont désormais entre les mains d’opérateurs anonymes et pourraient être utilisés à d’autres fins. Un signalement auprès des autorités compétentes reste utile même après la disparition du site. Le dépôt de plainte permet d’alimenter les enquêtes judiciaires et d’établir un dossier en vue d’une éventuelle indemnisation. Notre page dédiée aux démarches pénales détaille les étapes à suivre et les éléments à réunir. Un accompagnement juridique spécialisé peut aider à évaluer les voies de recours disponibles, y compris celles qui concernent les établissements financiers ayant pu traiter les virements initiaux.

Vos questions après la disparition de workor.it.com

Workor.it.com est injoignable depuis le début septembre 2026 : les utilisateurs qui avaient déposé des USDT sur la plateforme ont vu leurs gains affichés rester virtuels, leurs demandes de retrait bloquées sous divers prétextes, puis la plateforme disparaître avant même l’échéance de son certificat SSL. Les fonds envoyés en cryptomonnaies vers les adresses fournies par les opérateurs ne leur ont pas été restitués. Avant tout engagement sur une plateforme d’investissement ou d’échange de cryptomonnaies, une vérification préalable par BrokerDefense permet d’identifier les indices techniques et réglementaires qui distinguent un opérateur légitime d’un dispositif frauduleux.

Article réécrit le 03/09/2026.