BUYTRX entlarvt: 55 Domains, keine Auth-APIs und ein TRON-Approval-Drainer unter der Lupe

Was ist BUYTRX?

BUYTRX ist ein auf TRON basierender Betrug, bei dem USDT-Guthaben abgezogen werden, der sich als seriöser Kryptowährungs-Swap-Dienst tarnt. Die Websites verfügen über professionell gestaltete Benutzeroberflächen, die versprechen, USDT zu attraktiven Kursen in TRX umzuwandeln. Doch der „Swap“ findet niemals statt.

Stattdessen wird das Opfer aufgefordert, eine approve(MAX_UINT256) Transaktion über den USDT (TRC-20)-Smart-Contract. Diese einzelne Signatur gewährt dem Drainer-Contract des Angreifers uneingeschränkte Berechtigung das gesamte USDT-Guthaben des Opfers zu übertragen – jetzt und für immer –, bis die Genehmigung manuell widerrufen wird.

Sobald die Genehmigung in der Blockchain bestätigt ist, ruft der Betreiber transferFrom() um das Wallet zu leeren. Das Opfer bemerkt nichts. Kein Austausch. Kein TRX. Nur ein leerer Kontostand.

Die Operation ist seit mindestens Juli 2025, wobei Dutzende von Domains durchlaufen werden, sobald alte Domains gemeldet und gesperrt werden. Die Infrastruktur passt sich schneller an, als die meisten Registrare und Hosting-Anbieter reagieren können.

Über 55 Domains – alles aus einer Hand

Unsere Untersuchung deckte ein weitverzweigtes Netzwerk von Phishing-Domains auf, die alle identische oder nahezu identische BUYTRX-Swap-Oberflächen bereitstellen. Die Domains erstrecken sich über Cloudflare Workers, Cloudflare Pages und Bare-Metal-Origin-Server.

Derzeit aktive Domains

Cloudflare Workers & Pages

Origin-Server

Ein weiterer Über 50 wiederverwertete Domains wurden ermittelt, darunter:

Zero-Auth-APIs – Das Backend steht weit offen

Die Operation „BUYTRX“ läuft auf 6 Express.js-API-Endpunkte die eine gemeinsame Datenbank nutzen. Die primäre API wird gehostet unter api.trxmo.com. Jeder einzelne Endpunkt liefert die vollständigen Opferdaten zurück ohne jegliche Authentifizierung.

Nicht authentifizierte Endpunkte

Admin-Dashboard ohne Authentifizierung

Ein Admin-Bereich ist unter folgender Adresse erreichbar: /8fb198a6e9b7af32 — ein Hash-Pfad nach dem Prinzip „Sicherheit durch Verschleierung“ mit keine Authentifizierung. Es bietet einen Echtzeit-Feed zu den Opfern, der Folgendes anzeigt:

• Wallet-Adressen aller Opfer
• Transaktions-IDs (Genehmigungs-Hashes)
• IP-Adressen der Opfer
• Zeitstempel jeder Interaktion
• Genehmigungsbeträge (in der Regel MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Weitere entdeckte Sicherheitslücken:

• Schwache Geschwindigkeitsbegrenzung: 6 Anfragen pro Fenster, die sich durch IP-Rotation mühelos umgehen lassen
• Header-Leck bei Express.js: X-Powered-By: Express gibt Einblicke in die Servertechnologie
• Potentielles gespeichertes XSS: Das Admin-Panel gibt nicht bereinigte User-Agent-Strings aus

On-Chain-Beweise

Die „Drainer“-Verträge werden im TRON-Netzwerk eingesetzt und wurden aktiv zur Verarbeitung von Genehmigungstransaktionen der Opfer genutzt.

4 bestätigte On-Chain-Genehmigungstransaktionen wurden mit den Opferdatensätzen in der offengelegten Datenbank abgeglichen (Datensätze 1–10). Die Datensätze 11–30 scheinen Testdaten des Betreibers — Test-Wallets mit kleinen Beträgen, aufeinanderfolgenden Zeitmustern und identischen IP-Bereichen.

WalletConnect-Integration

Die Phishing-Seiten nutzen WalletConnect, um die Aufforderung zur Bestätigungsunterschrift in mobilen Wallets auszulösen. Dabei wird ein einziges WalletConnect-Projekt-ID:

Dem Geld auf der Spur – Google Ads und Attribution

Die vielleicht beunruhigendste Erkenntnis: Die Betreiber von BUYTRX bezahlen Google dafür, für ihren Drainer zu werben.

Das Google Ads-Konto erfasst Erfolgreiche Wallet-Genehmigungen als Konversionsereignisse. Das bedeutet, dass Googles Werbeplattform die Anzeigenauslieferung buchstäblich so optimiert, dass mehr Opfer für einen Krypto-Drainer gefunden werden – und dafür auch noch eine Vergütung erhält.

Das Admin-Dashboard ist vollständig in Vereinfachtes Chinesisch, mit UI-Elementen wie 日間 / 夜間 (Umschaltung zwischen Tag- und Nachtmodus) und Kommentare im Quellcode auf Chinesisch. Der Telegram-Nutzername @buytrx9 dient als primeller Kontaktkanal für den Betreiber.

Empfehlungen zur Abschaltung

Diese Maßnahme betrifft mehrere Dienstleister. Eine koordinierte Berichterstattung über alle Kanäle hinweg ist erforderlich:

Nachweise und Quelldaten

Überprüfen. Widerrufen. Melden.

Falls Sie mit einer der BUYTRX-Domains in Kontakt gekommen sind, überprüfen Sie bitte umgehend Ihre TRON-Token-Berechtigungen. Widerrufen Sie alle verdächtigen Berechtigungen und melden Sie die Domains.