BUYTRXの全貌：55のドメイン、認証APIゼロ、そしてTRON承認機能を利用した資金流出事件を徹底分析

BUYTRXとは？

BUYTRXは、正当な仮想通貨スワップサービスを装った、TRONベースのUSDT資金流出詐欺です。このサイトは、プロ仕様のインターフェースを備え、魅力的なレートでUSDTをTRXに交換すると謳っています。しかし、実際には「スワップ」は一切行われません。

その代わりに、被害者には次のような書類に署名するよう求められ、 approve(MAX_UINT256) USDT（TRC-20）スマートコントラクト上のトランザクション。この単一の署名により、攻撃者のドレイナーコントラクトに 無制限の権限 承認が手動で取り消されるまで、被害者のUSDT残高のすべてを——現在および将来にわたって——送金する。

オンチェーンで承認が確認されると、オペレーターは transferFrom() ウォレットを空にするためだ。被害者は何も気づかない。交換もなければ、TRXもない。ただ残高がゼロになっているだけだ。

この作戦は、少なくとも 2025年7月、古いドメインが通報されて削除されるたびに、数十ものドメインを次々と切り替えていく。そのインフラは、ほとんどのレジストラやホスティングプロバイダーが対応できる速度よりも速く適応していく。

55以上のドメイン — 1回の操作で

調査の結果、フィッシングドメインからなる広範なネットワークが明らかになりました。これらのドメインはすべて、同一またはほぼ同一のBUYTRXスワップインターフェースを提供しています。これらのドメインは、Cloudflare Workers、Cloudflare Pages、およびベアメタルのオリジンサーバーにまたがっています。

現在有効なドメイン

Cloudflare Workers および Pages

オリジンサーバー

さらに 50件以上の再生ドメイン 以下が特定された。具体的には：

ゼロ認証API — バックエンドが丸見え

BUYTRX 操作は、 6. Express.js APIのエンドポイント 単一のデータベースを共有しています。主なAPIは、 api.trxmo.com. すべてのエンドポイントが被害者の完全なデータを返す 認証なし.

認証不要のエンドポイント

認証不要の管理ダッシュボード

管理パネルは以下のURLからアクセスできます。 /8fb198a6e9b7af32 — 「隠蔽によるセキュリティ」型のハッシュパスで、 認証なし. これには、以下の情報を表示するリアルタイムの被害者情報フィードが提供されています：

• すべての被害者のウォレットアドレス
• トランザクションID（承認ハッシュ）
• 被害者のIPアドレス
• すべてのやり取りのタイムスタンプ
• 承認額（通常は MAX_UINT256）

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

新たに発見された脆弱性：

• 弱い速度制限： 1つのウィンドウにつき6件のリクエスト。IPローテーションを使えば簡単に回避できる
• Express.js のヘッダー情報漏洩： X-Powered-By: Express サーバー技術を明らかにする
• 潜在的な保存型XSS： 管理パネルで、サニタイズされていないユーザーエージェント文字列が表示される

オンチェーンの証拠

これらのドレーナー契約はTRONネットワーク上に展開されており、被害者からの承認トランザクションを処理するために積極的に利用されてきた。

オンチェーンでの承認取引が4件確認されました は 流出したデータベース内の被害者記録と照合された（記録 1～10）。記録11～30は、どうやら 演算子のテストデータ — 少額の 残高、連続したタイミングパターン、および同一のIPアドレス範囲を持つテスト用ウォレット。

WalletConnectの連携

フィッシングサイトは、WalletConnect を利用して、モバイルウォレットに承認署名の プロンプトを表示させます。この操作では、単一の WalletConnect プロジェクト ID:

資金の流れを追う — Google Ads とアトリビューション

おそらく最も不穏な調査結果は次の通りである： BUYTRXの運営者は、Googleに広告費を支払って、自社の ドレイナーを宣伝している.

Google Ads アカウントでは、以下の項目を追跡します コンバージョンイベントとしてのウォレット承認の成功。つまり、Googleの広告プラットフォームは、文字通り、暗号資産を搾取するマルウェアの新たな被害者を見つけるために広告配信を最適化しており、そのサービスに対して報酬を受け取っているということだ。

管理ダッシュボードはすべて 簡体字中国語、次のようなUI要素を備えており、 日間 / 夜間 （昼/夜モードの切り替え）や、中国語で書かれたソースコードのコメント。Telegramのユーザー名 @buytrx9 主要な事業者との連絡窓口としての役割を果たしています。

テイクダウンの推奨事項

この運用には複数のサービスプロバイダーが関与しています。あらゆる側面にわたる連携のとれた報告が必要です：

証拠および出典データ

確認。取り消し。報告。

BUYTRXのドメインと何らかのやり取りをしたことがある場合は、直ちにTRONトークンの承認設定を確認してください。不審な承認があれば取り消し、そのドメインを報告してください。