BUYTRX Ontmaskerd: 55 domeinen, Zero Auth API’s en een TRON‑goedkeuringsdrainer geanalyseerd

Wat is BUYTRX?

BUYTRX is een op TRON gebaseerde USDT‑goedkeurings‑draineroperatie die zich voordoet als een legitieme cryptocurrency‑swapservice. De sites tonen professioneel ogende interfaces die beloven USDT naar TRX te converteren tegen aantrekkelijke tarieven. Maar de “swap” vindt nooit plaats.

In plaats daarvan wordt het slachtoffer gevraagd om een approve(MAX_UINT256) transactie op het USDT (TRC‑20) smart contract. Deze enkele handtekening verleent het drainer‑contract van de aanvaller onbeperkte toestemming om het volledige USDT‑saldo van het slachtoffer over te dragen — nu en voor altijd — totdat de toestemming handmatig wordt ingetrokken.

Zodra de goedkeuring on-chain is bevestigd, roept de operator transferFrom() om de wallet te legen. Het slachtoffer ziet niets. Geen swap. Geen TRX. Alleen een leeg saldo.

De operatie is al sinds ten minste actief. juli 2025, terwijl er tientallen domeinen worden doorgeplozen zodra oude worden gerapporteerd en neergehaald. De infrastructuur past zich sneller aan dan de meeste registrars en hostingproviders kunnen reageren.

55+ domeinen — één operatie

Ons onderzoek heeft een uitgestrekt netwerk van phishingdomeinen aan het licht gebracht, die allemaal identieke of bijna identieke BUYTRX swap‑interfaces aanbieden. De domeinen omvatten Cloudflare Workers, Cloudflare Pages en bare‑metal origin‑servers.

Momenteel actieve domeinen

Cloudflare Workers & Pages

Origin-servers

Een extra 50+ gerecyclede domeinen werden geïdentificeerd, waaronder:

Zero Auth API's — De backend staat wijd open

De BUYTRX‑operatie draait op 6 Express.js API‑eindpunten het delen van één enkele database. De primaire API wordt gehost op api.trxmo.com. Elke endpoint retourneert volledige slachtoffergegevens zonder enige authenticatie.

Niet‑geauthenticeerde eindpunten

Niet‑geauthenticeerd Admin‑dashboard

Een adminpaneel is toegankelijk op /8fb198a6e9b7af32 — een "security by obscurity" hashpad met zero-authenticatie. Het biedt een realtime slachtofferfeed die toont:

• Walletadressen van elk slachtoffer
• Transactie‑ID's (goedkeuringshashes)
• IP‑adressen van slachtoffers
• Tijdstempels van elke interactie
• Goedkeuringsbedragen (meestal MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Aanvullende kwetsbaarheden ontdekt:

• Zwakke rate limiting: 6 verzoeken per venster, triviaal te omzeilen met IP-rotatie
• Express.js headerlek: X-Powered-By: Express onthult servertechnologie
• Mogelijke opgeslagen XSS: Adminpaneel rendert niet-gesanitiseerde user-agent‑strings

On-Chain Bewijs

De drainer‑contracten zijn ingezet op het TRON‑netwerk en worden actief gebruikt om goedkeuringstransacties van slachtoffers te verwerken.

4 bevestigde on-chain goedkeuringstransacties werden gekoppeld aan slachtofferrecords in de gelekte database (records 1–10). Records 11–30 lijken te zijn operator testgegevens — test wallets met kleine bedragen, opeenvolgende timingpatronen en identieke IP‑bereiken

WalletConnect‑integratie

De phishing‑sites gebruiken WalletConnect om de goedkeuringsondertekeningsprompt in mobiele wallets te activeren. De operatie gebruikt een enkele WalletConnect-project-ID:

Het geld volgen — Google Ads & Attributie

Wellicht de meest verontrustende bevinding: BUYTRX operators betalen Google om hun drainer te adverteren.

Het Google Ads‑account houdt bij succesvolle walletgoedkeuringen als conversie‑eventsDit betekent dat het advertentieplatform van Google letterlijk de advertentieverdeling optimaliseert om meer slachtoffers te vinden voor een crypto‑drainer — en betaling voor de dienst verzamelt.

Het admin-dashboard is volledig in Vereenvoudigd Chinees, met UI‑elementen zoals 日間 / 夜間 (dag-/nachtmodus schakelaars) en broncodecommentaren in het Chinees. De Telegram‑handle @buytrx9 Fungeert als het primaire operatorcontactkanaal.

Aanbevelingen voor takedown

Deze operatie raakt meerdere serviceproviders. Gecoördineerde rapportage over alle vectoren is vereist:

Bewijs & Brongegevens

Controleren. Intrekken. Rapporteren.

Als u met een BUYTRX‑domein hebt gecommuniceerd, controleer dan onmiddellijk uw TRON‑tokenmachtigingen. Trek alle verdachte machtigingen in en meld de domeinen.