BUYTRX odsłonięte: 55 domen, API bez uwierzytelniania i drainer zatwierdzeń TRON rozebrane

Czym jest BUYTRX?

BUYTRX to operacja wyłudzająca zatwierdzenia USDT oparta na TRON, podszywająca się pod legalną usługę wymiany kryptowalut. Strony prezentują profesjonalnie wyglądające interfejsy, które obiecują konwersję USDT na TRX po atrakcyjnych kursach. Jednak „swap” nigdy się nie odbywa.

Zamiast tego ofiara jest proszona o podpisanie. approve(MAX_UINT256) transakcja na inteligentnym kontrakcie USDT (TRC‑20). Ten pojedynczy podpis upoważnia kontrakt drainera atakującego. nieograniczone uprawnienie aby przelać całe saldo USDT ofiary — teraz i na zawsze — aż do ręcznego odwołania zgody.

Gdy zatwierdzenie zostanie potwierdzone on-chain, operator wywołuje transferFrom() aby opróżnić portfel. Ofiara nic nie widzi. Brak wymiany. Brak TRX. Tylko pusty stan konta.

Operacja jest aktywna od co najmniej. lipiec 2025, przechodząc przez dziesiątki domen, gdy starsze są zgłaszane i wyłączane. Infrastruktura dostosowuje się szybciej niż większość rejestratorów i dostawców hostingu jest w stanie zareagować.

55+ domen — jedna operacja

Nasze dochodzenie ujawniło rozległą sieć domen phishingowych, wszystkie udostępniające identyczne lub prawie identyczne interfejsy wymiany BUYTRX. Domeny obejmują Cloudflare Workers, Cloudflare Pages oraz serwery bare‑metal jako źródła.

Obecnie aktywne domeny

Cloudflare Workers i Pages

Serwery źródłowe

Dodatkowy 50+ odzyskanych domen zostały zidentyfikowane, w tym:

Zero Auth API — Backend całkowicie otwarty

Operacja BUYTRX działa na 6 endpointów API Express.js udostępnianie jednej bazy danych. Główny interfejs API jest hostowany pod adresem api.trxmo.com. Każdy pojedynczy punkt końcowy zwraca pełne dane ofiary bez uwierzytelniania.

Punkty końcowe bez uwierzytelniania

Panel administracyjny bez uwierzytelnienia

Panel administracyjny jest dostępny pod adresem. /8fb198a6e9b7af32 — ścieżka hash „security by obscurity” brak uwierzytelniania. Zapewnia w czasie rzeczywistym kanał z danymi ofiar, wyświetlający:

• Adresy portfeli każdej ofiary
• Identyfikatory transakcji (hashe zatwierdzeń)
• Adresy IP ofiar
• Znaczniki czasowe każdej interakcji
• Kwoty zatwierdzenia (zwykle MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Wykryto dodatkowe luki:

• Słabe ograniczanie liczby żądań: 6 żądań na okno, łatwo obejść przy użyciu rotacji adresów IP
• Wyciek nagłówka w Express.js: X-Powered-By: Express ujawnia technologię serwera
• Potencjalny XSS typu stored: Panel administracyjny renderuje nieoczyszczone ciągi user‑agent

Dowody on‑chain

Kontrakty drainer są wdrożone w sieci TRON i były aktywnie wykorzystywane do przetwarzania transakcji zatwierdzających od ofiar.

4 potwierdzone transakcje zatwierdzenia on‑chain zostały dopasowane do rekordów ofiar w ujawnionej bazie danych (rekordy 1–10). Rekordy 11–30 wydają się być dane testowe operatora — testowe portfele z małymi kwotami, sekwencyjnymi wzorcami czasowymi i identycznymi zakresami IP.

Integracja WalletConnect

Strony phishingowe używają WalletConnect do wywołania monitu zatwierdzania podpisu w mobilnych portfelach. Operacja wykorzystuje pojedynczy ID projektu WalletConnect:

Śledzenie pieniędzy — Google Ads i atrybucja

Być może najbardziej niepokojące odkrycie: Operatorzy BUYTRX płacą Google za reklamowanie swojego drenera.

Konto Google Ads śledzi udane zatwierdzenia portfela jako zdarzenia konwersji. Oznacza to, że platforma reklamowa Google dosłownie optymalizuje dostarczanie reklam, aby znaleźć więcej ofiar dla drenera kryptowalut — i pobiera opłatę za tę usługę.

Panel administracyjny jest całkowicie w chiński uproszczony, z elementami UI takimi jak 日間 / 夜間 (przełączniki trybu dzień/noc) oraz komentarze w kodzie źródłowym po chińsku. Nazwa użytkownika w Telegramie @buytrx9 stanowi podstawowy kanał kontaktowy operatora.

Zalecenia dotyczące usunięcia

Ta operacja dotyczy wielu dostawców usług. Wymagane jest skoordynowane raportowanie we wszystkich wektorach:

Dowody i dane źródłowe

Sprawdź. Odwołaj. Zgłoś.

Jeśli miałeś jakikolwiek kontakt z domeną BUYTRX, natychmiast sprawdź zatwierdzenia tokenów TRON. Odwołaj wszelkie podejrzane zatwierdzenia i zgłoś domeny.