Kit de Ferramentas Crypto Drainer: Por dentro dos revendedores do Angel Drainer que têm como alvo sua carteira

A cadeia de ataque em 9 etapas: do airdrop falso à carteira vazia

Todo drainer de criptomoedas segue uma sequência previsível. O que torna perigosas as operações do tipo “drainer como serviço” não é a inovação — é a escala. A mesma cadeia de ataque é replicada em dezenas de domínios, cada um deles uma nova armadilha para vítimas desavisadas. Aqui está a sequência exata extraída do código-fonte do TRXDrop, passo a passo.

Análise aprofundada do TRXDrop: código gerado por IA com mais de 30 instruções de depuração em produção

O TRXDrop é um revendedor do Angel Drainer que tem como alvo carteiras da TRON e da Solana. O que diferencia essa operação não é a sofisticação — é exatamente o contrário. O código-fonte revela sinais inconfundíveis de desenvolvimento assistido por IA: estrutura repetitiva, comentários prolixos e, o mais revelador, mais de 30 console.log instruções de depuração que permaneceram no código de produção.

Esses não são sinais de um desenvolvedor experiente. São sinais de alguém que pediu a um LLM para escrever um drainer e implantou o resultado sem revisão.

Chave de criptografia XOR

Todas as comunicações entre o front-end do drainer e o painel de back-end são criptografadas com uma chave XOR codificada de forma fixa: TRX_SECURE_2024_PANEL_KEY. O XOR com uma chave estática é trivialmente reversível — mais um indicador de desenvolvimento do tipo “copiar e colar”.

Uso indevido do WalletConnect

ID do projeto WalletConnect fbf5b42d9006502246e73447f5d50e33 está incorporado em todos os mais de 15 domínios. Uma única revogação desse ID de projeto desativaria simultaneamente a conectividade das carteiras em toda a rede TRXDrop.

50 tentativas de repetição forçadas

O ciclo de solicitação de assinatura tenta 50 vezes antes de permitir que a vítima saia. Essa tática de pressão psicológica está codificada de forma fixa, não sendo configurável pelos afiliados — trata-se de um recurso essencial do kit Angel Drainer.

30% de comissão da TRX

Cada roubo bem-sucedido gera uma comissão de 30 TRX para a carteira do operador. Pelas taxas atuais, isso equivale a aproximadamente US$ 7 a 8 por vítima — uma margem baixa, o que sugere que a operação depende mais do volume do que do valor.

Infraestrutura de domínios da TRXDrop (mais de 15 domínios)

NiceCrypto: A máquina de comissões de 80%

A NiceCrypto opera com base em uma proposta simples: oferecer aos afiliados a maior comissão do mercado de drainer, e eles trarão as vítimas. Com uma comissão de 80%, a NiceCrypto oferece a divisão de lucros mais generosa que já documentamos em qualquer operação do tipo “drainer-as-a-service”. O operador fica com apenas 20% — uma margem mínima que só funciona em grande escala.

A conta é simples. Se um afiliado esvaziar uma carteira contendo US$ 1.000 em tokens, ele fica com US$ 800. A NiceCrypto fica com US$ 200. Com mais de US$ 8.454 em pagamentos documentados a afiliados, a operação já processou, no mínimo, US$ 42.270 em fundos roubados — e esse valor representa apenas os pagamentos que podemos observar diretamente na blockchain.

717Team: Arquivado = Disruption Works

A 717Team é a prova de que essas operações podem ser interrompidas. Com 125 membros e 85 carteiras rastreadas, a 717Team era uma operação de “draining” de médio porte que operava mais de 12 domínios de phishing. O total confirmado de fundos desviados, de US$ 2.946,25, pode parecer modesto em comparação com operações maiores, mas o que realmente importa é o resultado: arquivado.

Em nosso sistema de rastreamento, “arquivado” significa que a operação foi interrompida a ponto de ser encerrada. Domínios foram retirados do ar. A infraestrutura foi destruída. O administrador foi identificado. A 717Team não encerrou suas atividades voluntariamente. Ela foi desativada por meio de denúncias coordenadas, remoções de domínios e compartilhamento de informações com parceiros de segurança de blockchain.

Anti-análise: presente, mas fácil de contornar

O TRXDrop utiliza duas técnicas anti-análise que são comuns no manual de táticas dos drainer. Ambas foram projetadas para dificultar uma análise superficial. Nenhuma delas representa um obstáculo significativo para um analista experiente.

Esse padrão é consistente em todo o ecossistema do “drainer-as-a-service”. Os desenvolvedores do kit (neste caso, a Angel Drainer) possuem capacidade técnica genuína. Os revendedores e afiliados que implantam esses kits, muitas vezes, não a possuem. A camada anti-análise não existe porque os operadores entendem de pesquisa em segurança — ela existe porque o kit é fornecido com essa camada ativada por padrão.

Evidências e Inteligência de Fontes

Todas as evidências mencionadas nesta investigação estão armazenadas no repositório PhishDestroy ScamIntelLogs. Cada operação possui seu próprio diretório, contendo arquivos de configuração, trechos de código-fonte, listas de domínios, endereços de carteiras e informações do Telegram.