BUYTRX Terbongkar: 55 Domain, Nol API Otorisasi, dan Analisis Mendalam atas Penipuan Penguras Izin TRON

Apa Itu BUYTRX?

BUYTRX adalah operasi penipuan penguras dana USDT berbasis TRON yang menyamar sebagai layanan pertukaran mata uang kripto yang sah. Situs-situs tersebut menampilkan antarmuka yang tampak profesional dan menjanjikan konversi USDT ke TRX dengan kurs yang menggiurkan. Namun, "pertukaran" tersebut tidak pernah terjadi.

Sebaliknya, korban diminta untuk menandatangani sebuah approve(MAX_UINT256) transaksi pada kontrak pintar USDT (TRC-20). Tanda tangan tunggal ini memberikan wewenang kepada kontrak drainer milik penyerang izin tanpa batas untuk mentransfer seluruh saldo USDT korban — mulai sekarang dan selamanya — hingga persetujuan tersebut dicabut secara manual.

Setelah persetujuan dikonfirmasi di dalam blockchain, operator memanggil transferFrom() untuk menguras dompet tersebut. Korban tidak melihat apa-apa. Tidak ada pertukaran. Tidak ada TRX. Hanya saldo yang kosong.

Operasi tersebut telah berjalan setidaknya sejak Juli 2025, berpindah-pindah di antara puluhan domain seiring domain-domain lama dilaporkan dan ditutup. Infrastruktur tersebut beradaptasi lebih cepat daripada kemampuan sebagian besar penyedia pendaftaran domain dan penyedia layanan hosting untuk merespons.

55+ Domain — Satu Proses

Penyelidikan kami mengungkap jaringan domain phishing yang sangat luas, yang semuanya menampilkan antarmuka swap BUYTRX yang identik atau hampir identik. Domain-domain tersebut tersebar di Cloudflare Workers, Cloudflare Pages, dan server asal bare-metal.

Domain yang Saat Ini Aktif

Cloudflare Workers & Pages

Server Asal

Selain itu, Lebih dari 50 domain daur ulang telah diidentifikasi, antara lain:

API Tanpa Otentikasi — Bagian Belakang yang Terbuka Lebar

Operasi BUYTRX berjalan di 6 Titik akhir API Express.js berbagi satu basis data. API utamanya dihosting di api.trxmo.com. Setiap titik akhir mengembalikan data lengkap korban tanpa otentikasi apa pun.

Titik Akhir yang Belum Terotentikasi

Dasbor Admin Tanpa Otentikasi

Panel admin dapat diakses di /8fb198a6e9b7af32 — jalur hash "keamanan melalui kerahasiaan" dengan tanpa otentikasi. Fitur ini menampilkan umpan informasi korban secara real-time yang mencakup:

• Alamat dompet setiap korban
• ID Transaksi (hash persetujuan)
• Alamat IP para korban
• Cap waktu setiap interaksi
• Jumlah persetujuan (biasanya MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Kerentanan tambahan yang ditemukan:

• Faktor pembatas yang lemah: 6 permintaan per jendela, dapat dengan mudah dilewati dengan rotasi IP
• Kebocoran header Express.js: X-Powered-By: Express mengungkap teknologi server
• Potensi XSS tersembunyi: Panel admin menampilkan string user-agent yang belum disterilkan

Bukti dalam Rantai Blok

Kontrak drainer tersebut telah diluncurkan di jaringan TRON dan telah secara aktif digunakan untuk memproses transaksi persetujuan dari para korban.

4 transaksi persetujuan on-chain yang telah dikonfirmasi telah dicocokkan dengan catatan korban dalam basis data yang bocor (catatan 1–10). Catatan 11–30 tampaknya merupakan data uji operator — dompet uji dengan jumlah kecil, pola waktu berurutan, dan rentang IP yang sama.

Integrasi WalletConnect

Situs-situs phishing tersebut menggunakan WalletConnect untuk memicu munculnya permintaan persetujuan penandatanganan di dompet seluler. Operasi ini menggunakan satu ID Proyek WalletConnect:

Menelusuri Jejak Uang — Google Ads & Atribusi

Mungkin temuan yang paling mengkhawatirkan: Operator BUYTRX membayar Google untuk mengiklankan drainer mereka.

Akun Google Ads melacak persetujuan dompet yang berhasil sebagai peristiwa konversi. Artinya, platform periklanan Google secara harfiah mengoptimalkan penayangan iklan untuk mencari lebih banyak korban bagi program penguras kripto — dan menerima bayaran atas layanan tersebut.

Dasbor admin sepenuhnya tersedia dalam Bahasa Mandarin Sederhana, dengan elemen antarmuka pengguna seperti 日間 / 夜間 (tombol pengalih mode siang/malam) dan komentar kode sumber dalam bahasa Mandarin. Nama pengguna Telegram @buytrx9 berfungsi sebagai saluran kontak utama bagi operator.

Rekomendasi Penghapusan

Operasi ini melibatkan sejumlah penyedia layanan. Diperlukan pelaporan yang terkoordinasi di seluruh aspek:

Bukti & Data Sumber

Periksa. Cabut. Laporkan.

Jika Anda pernah berinteraksi dengan domain BUYTRX mana pun, segera periksa izin token TRON Anda. Cabut semua izin yang mencurigakan dan laporkan domain-domain tersebut.