DRAINER INFRASTRUCTUUR ONTBINDING

BUYTRX Ontmaskerd: 55 domeinen, Zero Auth API’s en een TRON‑goedkeuringsdrainer geanalyseerd

TRON USDT-goedkeuringsphishingoperatie · Blootgelegde backend · On-chain bewijs · Google Ads-financiering

9 min lezen· Bijgewerkt maart 2026· PhishDestroy Onderzoek

Illustratie bij het artikel: BUYTRX Ontmaskerd: 55 domeinen, Zero Auth API’s en een TRON‑goedkeuringsdrainer geanalyseerd

Luister naar dit artikel

0:00 / --:--

Download als PDF — Officieel Rapport

Op deze pagina

55+

Phishing-domeinen

Blootgestelde slachtofferrecords

API-authenticatie

Kosten voor toegang tot alle data

Wat is BUYTRX?

BUYTRX is een op TRON gebaseerde USDT‑goedkeurings‑draineroperatie die zich voordoet als een legitieme cryptocurrency‑swapservice. De sites tonen professioneel ogende interfaces die beloven USDT naar TRX te converteren tegen aantrekkelijke tarieven. Maar de “swap” vindt nooit plaats.

In plaats daarvan wordt het slachtoffer gevraagd om een approve(MAX_UINT256) transactie op het USDT (TRC‑20) smart contract. Deze enkele handtekening verleent het drainer‑contract van de aanvaller onbeperkte toestemming om het volledige USDT‑saldo van het slachtoffer over te dragen — nu en voor altijd — totdat de toestemming handmatig wordt ingetrokken.

Zodra de goedkeuring on-chain is bevestigd, roept de operator transferFrom() om de wallet te legen. Het slachtoffer ziet niets. Geen swap. Geen TRX. Alleen een leeg saldo.

Één handtekening. Onbeperkte toegang. Permanente afvoermogelijkheid.

De approve()-aanroep verplaatst geen tokens — hij verleent toestemming. De daadwerkelijke diefstal gebeurt stilletjes via transferFrom() seconden of uren later. De meeste slachtoffers leggen de twee transacties nooit aan elkaar.

De operatie is al sinds ten minste actief. juli 2025, terwijl er tientallen domeinen worden doorgeplozen zodra oude worden gerapporteerd en neergehaald. De infrastructuur past zich sneller aan dan de meeste registrars en hostingproviders kunnen reageren.

55+ domeinen — één operatie

Ons onderzoek heeft een uitgestrekt netwerk van phishingdomeinen aan het licht gebracht, die allemaal identieke of bijna identieke BUYTRX swap‑interfaces aanbieden. De domeinen omvatten Cloudflare Workers, Cloudflare Pages en bare‑metal origin‑servers.

Momenteel actieve domeinen

Domein	Type	Hosting
`trxev.com`	Primair	Cloudflare
`trxmo.com`	Primair + API	Cloudflare
`buytrx.mov`	Actief	Cloudflare
`buytrx.cx`	Actief	Cloudflare
`trxdc.org`	Actief	Cloudflare
`buytrx.bet`	Actief	Cloudflare
`buytrx.store`	Actief	Cloudflare
`buytrx.click`	Actief	Cloudflare
`trxfx.com`	Actief	Cloudflare
`trxsw.org`	Actief	Cloudflare

Cloudflare Workers & Pages

Subdomein	Platform
`shrill-haze-5ff7.buytrx.workers.dev`	Werknemers
`exchange.swap-trx.workers.dev`	Werknemers
`buytrx.pages.dev`	Pagina's
`swap-trx.pages.dev`	Pagina's

Origin-servers

IP‑adres	Leverancier	Doel
`107.155.88.198`	HIVELOCITY (AS29802)	Primaire oorsprong
`46.21.151.194`	HVC-AS	Secundaire oorsprong

Een extra 50+ gerecyclede domeinen werden geïdentificeerd, waaronder:

buytrx.net buytrx.org buytrx.io buytrx.co buytrx.exchange buytrx.app buytrx.pro buytrx.cc buytrx.xyz buytrx.site buytrx.online buytrx.live buytrx.fun buytrx.top buytrx.vip trxswap.org trxswap.net trxswap.io trxswap.com trxflip.com trxev.org trxmo.org trxnw.com trxfn.com trxwb.com swaptrx.org swaptrx.net swaptrx.io en nog veel meer.

50+ domeinen verbrand en vervangen. De infrastructuur past zich sneller aan dan de meeste registrars reageren.

Zero Auth API's — De backend staat wijd open

De BUYTRX‑operatie draait op 6 Express.js API‑eindpunten het delen van één enkele database. De primaire API wordt gehost op api.trxmo.com. Elke endpoint retourneert volledige slachtoffergegevens zonder enige authenticatie.

Niet‑geauthenticeerde eindpunten

Eindpunt	Retouren
`GET /api/records`	Alle slachtofferrecords
`GET /api/records/:id`	Individueel slachtofferdetail
`GET /api/stats`	Operationele statistieken
`POST /api/records`	Nieuw record aanmaken
`PUT /api/records/:id`	Record bijwerken
`DELETE /api/records/:id`	Maak slachtofferrecord aan

Niet‑geauthenticeerd Admin‑dashboard

Een adminpaneel is toegankelijk op /8fb198a6e9b7af32 — een "security by obscurity" hashpad met zero-authenticatie. Het biedt een realtime slachtofferfeed die toont:

Walletadressen van elk slachtoffer
Transactie‑ID's (goedkeuringshashes)
IP‑adressen van slachtoffers
Tijdstempels van elke interactie
Goedkeuringsbedragen (meestal MAX_UINT256)

NIET-GEAUTHENTICEERDE API-RESPONS — api.trxmo.com

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Aanvullende kwetsbaarheden ontdekt:

Zwakke rate limiting: 6 verzoeken per venster, triviaal te omzeilen met IP-rotatie
Express.js headerlek: X-Powered-By: Express onthult servertechnologie
Mogelijke opgeslagen XSS: Adminpaneel rendert niet-gesanitiseerde user-agent‑strings

De operators hebben een drainer gebouwd, maar vergaten hun eigen backend te beveiligen.

Het wallet‑adres, IP, transactie‑hash en goedkeuringsbedrag van elk slachtoffer is één ongeauthenticeerd GET‑verzoek verwijderd. Geen API‑sleutels. Geen tokens. Geen beveiliging.

On-Chain Bewijs

De drainer‑contracten zijn ingezet op het TRON‑netwerk en worden actief gebruikt om goedkeuringstransacties van slachtoffers te verwerken.

Contract	Label	Uitgerold	Transacties
`TRnruCYe2k...UPJ8`	SwapTRX (Huidig)	13 dec 2025	Actief
`TXwXfz8Bp9...uHnS`	Legacy-contract	Eerder	323 opgenomen

4 bevestigde on-chain goedkeuringstransacties werden gekoppeld aan slachtofferrecords in de gelekte database (records 1–10). Records 11–30 lijken te zijn operator testgegevens — test wallets met kleine bedragen, opeenvolgende timingpatronen en identieke IP‑bereiken

WalletConnect‑integratie

De phishing‑sites gebruiken WalletConnect om de goedkeuringsondertekeningsprompt in mobiele wallets te activeren. De operatie gebruikt een enkele WalletConnect-project-ID:

31eee2e7b3ff1dc4ebdfa6f839467664

Deze Project-ID moet aan WalletConnect worden gerapporteerd voor onmiddellijke blacklisting.

Het geld volgen — Google Ads & Attributie

Wellicht de meest verontrustende bevinding: BUYTRX operators betalen Google om hun drainer te adverteren.

Indicator	Waarde
Google Ads-account	`AW-17287232508`
Conversietracering	Houdt succesvolle goedkeuringen bij als conversies
Telegram‑contact	`@buytrx9` ("Buytron")
Adminpaneel Taal	Vereenvoudigd Chinees

Het Google Ads‑account houdt bij succesvolle walletgoedkeuringen als conversie‑eventsDit betekent dat het advertentieplatform van Google letterlijk de advertentieverdeling optimaliseert om meer slachtoffers te vinden voor een crypto‑drainer — en betaling voor de dienst verzamelt.

Het admin-dashboard is volledig in Vereenvoudigd Chinees, met UI‑elementen zoals 日間 / 夜間 (dag-/nachtmodus schakelaars) en broncodecommentaren in het Chinees. De Telegram‑handle @buytrx9 Fungeert als het primaire operatorcontactkanaal.

Ze voeren Google Ads-campagnes uit die succesvolle wallet‑leegingen als conversie‑events bijhouden.

Google wordt betaald om de advertentielevering te optimaliseren voor een phishingoperatie. De adverteerders verbergen zich niet — ze betalen voor gerichte traffic en meten “succes” aan de hand van hoeveel portemonnees geleegd worden.

Aanbevelingen voor takedown

Deze operatie raakt meerdere serviceproviders. Gecoördineerde rapportage over alle vectoren is vereist:

Cloudflare

Meld misbruik van Workers, misbruik van Pages en DNS-records voor alle 55+ domeinen. Bulkmisbruikrapport met volledige domeinlijst.

Domeinregistrars

55+ domeinen bij verschillende registrars. Elk vereist een individueel misbruikrapport waarin phishing en financiële fraude worden vermeld.

HIVELOCITY

Origin-server op 107.155.88.198 die de backend-API hostt. Rapport voor het hosten van phishinginfrastructuur.

WalletConnect

Blacklist project-ID 31eee2e7b3ff1dc4ebdfa6f839467664 om te voorkomen dat phishing‑sites wallet‑ondertekeningsprompten activeren.

Tronscan

Flag‑drainercontracten TRnruCYe2k3kSMYCGwM51rzDD591w7UPJ8 en TXwXfz8Bp9AoCX79wcHiyB5vWSCtbNuHnS.

Google Ads

Account melden AW-17287232508 voor advertentie‑phishing en financiële fraude. Conversietracering aantoont kwaadaardige intentie.

Bewijs & Brongegevens

Volledige infrastructuurafbraak

Volledige technische analyse: domeinen, API's, contracten en attributie.

Domeinlijst & Details

55+ domeinen met hostingdetails, registratiegegevens en huidige status.

Ruwe API Slachtoffergegevens Dump

Niet-geredigeerde API-responses van de niet-geauthenticeerde backend. 30 records.

Tronscan: SwapTRX-contract

Actief drainercontract op TRON. Bekijk transacties en goedkeuringen on-chain.

Controleren. Intrekken. Rapporteren.

A forensic lens revealing connections within a phishing domain cluster

Shared infrastructure linking coordinated phishing domains

A traced money route passing through obscured intermediaries

Als u met een BUYTRX‑domein hebt gecommuniceerd, controleer dan onmiddellijk uw TRON‑tokenmachtigingen. Trek alle verdachte machtigingen in en meld de domeinen.

Tokenmachtigingen intrekken Meld een domein DestroyList Tools

#CryptoDrainer#KoopTRX#OSINT#Phishinginfrastructuur#TronScam