BUYTRX expus: 55 de domenii, API-uri fără autentificare și un drenaj de aprobare TRON analizat

Ce este BUYTRX?

BUYTRX este o operațiune de tip drainer de aprobare USDT bazată pe TRON, mascată ca un serviciu legitim de swap de criptomonede. Site‑urile prezintă interfețe cu aspect profesional care promit conversia USDT în TRX la rate atractive. Însă „swap‑ul” nu are loc.

În schimb, victima este solicitată să semneze un approve(MAX_UINT256) tranzacție pe contractul inteligent USDT (TRC‑20). Această singură semnătură acordă contractului de drenare al atacatorului permisiune nelimitată pentru a transfera întregul sold USDT al victimei — acum și pentru totdeauna — până când aprobarea este revocată manual.

Odată ce aprobarea este confirmată pe lanț, operatorul apelează. transferFrom() pentru a goli portofelul. Victima nu vede nimic. Fără swap. Fără TRX. Doar un sold gol.

Operațiunea a fost activă din cel puțin iulie 2025, trecând prin zeci de domenii pe măsură ce cele vechi sunt raportate și eliminate. Infrastructura se adaptează mai rapid decât pot reacționa majoritatea registrarilor și furnizorilor de găzduire.

55+ de domenii — O operațiune

Investigația noastră a descoperit o rețea extinsă de domenii de phishing, toate furnizând interfețe de swap BUYTRX identice sau aproape identice. Domeniile se găsesc pe Cloudflare Workers, Cloudflare Pages și pe servere de origine bare-metal.

Domenii active în prezent

Cloudflare Workers și Pages

Servere de origine

Un suplimentar 50+ domenii reciclate au fost identificate, inclusiv:

API-uri Zero Auth — Backend-ul complet deschis

Operațiunea BUYTRX rulează pe 6 endpointuri API Express.js partajarea unei singure baze de date. API-ul principal este găzduit la api.trxmo.com. Fiecare endpoint returnează toate datele victimei fără nicio autentificare.

Endpoint-uri neautentificate

Panou de administrare neautentificat

Un panou de administrare este accesibil la /8fb198a6e9b7af32 — o cale de hash „security by obscurity” cu autentificare zero. Furnizează un flux în timp real al victimelor care afișează:

• Adresele portofelelor fiecărei victime
• ID-uri de tranzacție (hash-uri de aprobare)
• Adrese IP ale victimelor
• Marcaje de timp ale fiecărei interacțiuni
• Sume de aprobare (de obicei MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Vulnerabilități suplimentare descoperite:

• Limitare slabă a ratei: 6 solicitări pe fereastră, ocolite cu ușurință prin rotație de IP
• Scurgere de antet în Express.js X-Powered-By: Express dezvăluie tehnologia serverului
• Posibil XSS stocat: Panoul de administrare afișează șiruri user-agent nesanitize

Dovezi On-Chain

Contractele drainer sunt implementate pe rețeaua TRON și au fost utilizate activ pentru a procesa tranzacții de aprobare de la victime.

4 tranzacții de aprobare on-chain confirmate au fost asociate cu înregistrările victimelor în baza de date expusă (înregistrările 1–10). Înregistrările 11–30 par a fi date de test ale operatorului — portofele de test cu sume mici, modele secvențiale de timp și intervale IP identice.

Integrare WalletConnect

Site-urile de phishing folosesc WalletConnect pentru a declanșa solicitarea de aprobare a semnăturii în portofelele mobile. Operațiunea folosește un singur ID-ul proiectului WalletConnect:

Urmărind banii — Google Ads și atribuirea

Poate cea mai neliniștitoare constatare: Operatorii BUYTRX plătesc Google pentru a-și promova drainerul.

Contul Google Ads monitorizează Aprobări de portofel reușite ca evenimente de conversieAcest lucru înseamnă că platforma de publicitate a Google optimizează literalmente livrarea anunțurilor pentru a găsi mai multe victime pentru un drenor de criptomonede — și colectează plata pentru serviciu.

Panoul de administrare este complet în Chineză simplificată, cu elemente UI precum 日間 / 夜間 (comutatoare mod zi/noapte) și comentarii în codul sursă în chineză. Numele de utilizator Telegram @buytrx9 servește ca principalul canal de contact al operatorului.

Recomandări de eliminare

Această operațiune implică mai mulţi furnizori de servicii. Este necesară raportarea coordonată pe toate vectorii:

Dovezi & Date sursă

Verifică. Revocă. Raportează.

Dacă ați interacționat cu vreun domeniu BUYTRX, verificați imediat aprobările tokenurilor TRON. Revocați orice aprobare suspectă și raportați domeniile.