Crypto Drainer Toolkit : dans les coulisses des revendeurs d'Angel Drainer qui ciblent votre portefeuille

La chaîne d'attaque en 9 étapes : du faux airdrop au portefeuille vide

Chaque attaque de type « crypto drainer » suit une séquence prévisible. Ce qui rend dangereuses les opérations de type « drainer-as-a-service », ce n’est pas l’innovation, mais leur ampleur. La même chaîne d’attaque est reproduite sur des dizaines de domaines, chacun constituant un nouveau piège pour des victimes qui ne se doutent de rien. Voici, étape par étape, la séquence exacte extraite du code source de TRXDrop.

Analyse approfondie de TRXDrop : du code généré par l'IA contenant plus de 30 instructions de débogage en production

TRXDrop est un revendeur d’Angel Drainer qui cible les portefeuilles TRON et Solana. Ce qui distingue cette opération, ce n’est pas son niveau de sophistication — c’est tout le contraire. Le code source révèle des indices indéniables d’un développement assisté par l’IA : structure répétitive, commentaires prolixes, et surtout, plus de 30 console.log les instructions de débogage laissées dans le code de production.

Ce ne sont pas là les signes d'un développeur expérimenté. Ce sont les signes de quelqu'un qui a demandé à un modèle de langage de grande envergure (LLM) de créer un programme inefficace et qui a déployé le résultat sans le vérifier.

Clé de chiffrement XOR

Toutes les communications entre l'interface utilisateur de Drainer et le panneau d'administration sont chiffrées à l'aide d'une clé XOR codée en dur : TRX_SECURE_2024_PANEL_KEY. Une opération XOR avec une clé statique est facilement réversible — ce qui constitue un autre signe de développement par « copier-coller ».

Abus de WalletConnect

Identifiant du projet WalletConnect fbf5b42d9006502246e73447f5d50e33 est intégré dans l'ensemble des 15 domaines et plus. Une seule révocation de cet identifiant de projet entraînerait la désactivation simultanée de la connectivité des portefeuilles sur l'ensemble du réseau TRXDrop.

50 tentatives de reconnexion forcées

La boucle de demande de signature effectue 50 tentatives avant de permettre à la victime de quitter l'application. Cette tactique de pression psychologique est intégrée au code et ne peut pas être configurée par les affiliés : il s'agit d'une fonctionnalité essentielle du kit Angel Drainer.

30 % de commission TRX

Chaque détournement réussi génère une commission de 30 TRX versée sur le portefeuille de l'opérateur. Aux taux actuels, cela représente environ 7 à 8 dollars américains par victime — une faible marge qui suggère que l'opération repose davantage sur le volume que sur la valeur.

Infrastructure de noms de domaine TRXDrop (plus de 15 noms de domaine)

NiceCrypto : la machine à commissions à 80 %

NiceCrypto repose sur un principe simple : offrir aux affiliés la rémunération la plus élevée du marché des « drainers », et ceux-ci apporteront les victimes. Avec une commission de 80 %, NiceCrypto propose la répartition la plus généreuse que nous ayons jamais observée parmi les opérations de « drainer-as-a-service ». L'opérateur ne conserve que 20 %, une marge infime qui ne fonctionne qu'à grande échelle.

Le calcul est simple. Si un affilié vide un portefeuille contenant 1 000 $ en jetons, il empoche 800 $. NiceCrypto prélève 200 $. Avec plus de 8 454 $ de paiements aux affiliés documentés, l’opération a traité au moins 42 270 $ de fonds volés — et ce chiffre ne prend en compte que les paiements que nous pouvons observer directement sur la blockchain.

717Team : Archivé = Disruption Works

717Team est la preuve que ces opérations peuvent être démantelées. Avec 125 membres et 85 portefeuilles identifiés, 717Team était un réseau de « draineurs » de taille moyenne exploitant plus de 12 domaines de hameçonnage. Le montant total confirmé des fonds détournés, soit 2 946,25 $, peut sembler modeste par rapport à des opérations de plus grande envergure, mais ce qui importe vraiment, c'est le résultat : archivé.

Dans notre système de suivi, le terme « archivé » signifie que l'opération a été perturbée au point d'être interrompue. Les domaines ont été retirés. L'infrastructure a été détruite. L'administrateur a été démasqué. 717Team n'a pas cessé ses activités de son plein gré. Elle a été mise hors service grâce à des signalements coordonnés, à des retraits de domaines et au partage de renseignements avec des partenaires spécialisés dans la sécurité des blockchains.

Anti-analyse : présente, mais facile à contourner

TRXDrop utilise deux techniques anti-analyse qui font partie des méthodes classiques de la boîte à outils des « drainers ». Toutes deux sont conçues pour déjouer une inspection superficielle. Aucune ne constitue toutefois un obstacle significatif pour un analyste expérimenté.

Cette tendance se retrouve dans l'ensemble de l'écosystème des « drainers as a service ». Les développeurs de ces kits (en l'occurrence, Angel Drainer) possèdent de réelles compétences techniques. Ce n'est souvent pas le cas des revendeurs et des affiliés qui déploient ces kits. La couche anti-analyse n'existe pas parce que les opérateurs maîtrisent la recherche en sécurité, mais parce que le kit est livré avec cette fonctionnalité activée par défaut.

Données factuelles et renseignement sur les sources

Toutes les preuves mentionnées dans cette enquête sont conservées dans le référentiel PhishDestroy ScamIntelLogs. Chaque opération dispose de son propre répertoire contenant des fichiers de configuration, des extraits de code source, des listes de domaines, des adresses de portefeuilles et des renseignements issus de Telegram.