BUYTRX smascherato: 55 domini, zero API di autenticazione e un attacco di drenaggio delle autorizzazioni su TRON analizzato nei dettagli

Che cos'è BUYTRX?

BUYTRX è un'operazione di sottrazione di USDT basata su TRON, mascherata da servizio legittimo di scambio di criptovalute. I siti presentano interfacce dall'aspetto professionale che promettono di convertire USDT in TRX a tassi vantaggiosi. Ma lo "scambio" non avviene mai.

Alla vittima viene invece chiesto di firmare un approve(MAX_UINT256) transazione sullo smart contract USDT (TRC-20). Questa singola firma autorizza il contratto di drenaggio dell'autore dell'attacco autorizzazione illimitata per trasferire l'intero saldo in USDT della vittima — ora e per sempre — fino a quando l'approvazione non venga revocata manualmente.

Una volta confermata l'approvazione sulla blockchain, l'operatore chiama transferFrom() per svuotare il portafoglio. La vittima non si accorge di nulla. Nessuno scambio. Nessun TRX. Solo un saldo a zero.

L'operazione è attiva almeno da Luglio 2025, passando da una dozzina di domini all’altro man mano che quelli vecchi vengono segnalati e rimossi. L’infrastruttura si adatta più rapidamente di quanto la maggior parte dei registrar e dei provider di hosting riesca a reagire.

Oltre 55 domini — Un'unica operazione

La nostra indagine ha portato alla luce una vasta rete di domini di phishing, che ospitano tutti interfacce di swap BUYTRX identiche o quasi identiche. I domini si estendono su Cloudflare Workers, Cloudflare Pages e server di origine bare-metal.

Domini attualmente attivi

Cloudflare Workers e Pages

Server di origine

Un ulteriore Oltre 50 domini riciclati sono stati individuati, tra cui:

API Zero Auth — Il backend completamente aperto

L'operazione BUYTRX viene eseguita su 6 endpoint dell'API di Express.js condividendo un unico database. L'API principale è ospitata su api.trxmo.com. Ogni singolo endpoint restituisce i dati completi della vittima senza alcuna autenticazione.

Endpoint non autenticati

Pannello di controllo amministratore senza autenticazione

È possibile accedere al pannello di amministrazione all'indirizzo /8fb198a6e9b7af32 — un percorso di hash basato sulla “sicurezza per oscurità” con autenticazione zero. Fornisce un feed in tempo reale sulle vittime che mostra:

• Indirizzi dei portafogli di ciascuna vittima
• ID delle transazioni (hash di approvazione)
• Indirizzi IP delle vittime
• Data e ora di ogni interazione
• Importi approvati (in genere MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Sono state individuate ulteriori vulnerabilità:

• Limite di velocità debole: 6 richieste per finestra, facilmente aggirabili con la rotazione degli indirizzi IP
• Vulnerabilità nell'intestazione di Express.js: X-Powered-By: Express svela la tecnologia dei server
• Potenziale vulnerabilità XSS nascosta: Il pannello di amministrazione visualizza stringhe user-agent non sanificate

Prove on-chain

I contratti “drainer” sono stati distribuiti sulla rete TRON e sono stati utilizzati attivamente per elaborare le transazioni di approvazione da parte delle vittime.

4 transazioni di approvazione confermate sulla blockchain sono stati abbinati ai record delle vittime presenti nel database violato (record da 1 a 10). I record da 11 a 30 sembrano essere dati di test dell'operatore — portafogli di prova con importi modesti, schemi temporali sequenziali e intervalli di indirizzi IP identici.

Integrazione con WalletConnect

I siti di phishing utilizzano WalletConnect per attivare la richiesta di approvazione nei portafogli mobili. L'operazione utilizza un unico ID del progetto WalletConnect:

Seguire il flusso di denaro — Google Ads e attribuzione

Forse il dato più inquietante: Gli operatori di BUYTRX pagano Google per pubblicizzare il loro drainer.

L'account Google Ads tiene traccia di approvazioni di portafogli andate a buon fine come eventi di conversione. Ciò significa che la piattaforma pubblicitaria di Google sta letteralmente ottimizzando la distribuzione degli annunci per trovare altre vittime di un programma di sottrazione di criptovalute — e incassando il compenso per il servizio.

La dashboard di amministrazione è interamente in Cinese semplificato, con elementi dell'interfaccia utente come 日間 / 夜間 (tasti di alternanza tra modalità giorno/notte) e commenti al codice sorgente in cinese. L'account Telegram @buytrx9 funge da canale di contatto principale con l'operatore.

Raccomandazioni per le rimozioni

Questa operazione coinvolge diversi fornitori di servizi. È necessario garantire una comunicazione coordinata su tutti i fronti:

Prove e dati di riferimento

Verifica. Revoca. Segnala.

Se hai interagito con uno qualsiasi dei domini BUYTRX, controlla immediatamente le tue autorizzazioni relative ai token TRON. Revoca eventuali autorizzazioni sospette e segnala i domini.