Разоблачение BUYTRX: 55 доменов, отсутствие аутентификации API и анализ схемы похищения средств через TRON Approval

Что такое BUYTRX?

BUYTRX — это схема по сбору средств под видом легального сервиса обмена криптовалют, работающая на базе сети TRON и использующая USDT. Сайты этой схемы имеют профессионально оформленный интерфейс и обещают конвертировать USDT в TRX по привлекательным курсам. Однако «обмен» так и не происходит.

Вместо этого жертве предлагается подписать approve(MAX_UINT256) транзакция в смарт-контракте USDT (TRC-20). Эта единственная подпись предоставляет контракту злоумышленника, предназначенному для слива средств, неограниченный доступ перечислять весь баланс жертвы в USDT — с настоящего момента и впредь — до тех пор, пока разрешение не будет отозвано вручную.

Как только подтверждение одобрения фиксируется в цепочке блоков, оператор вызывает transferFrom() чтобы опустошить кошелек. Жертва ничего не замечает. Никакого обмена. Никаких TRX. Просто пустой баланс.

Эта операция ведется уже как минимум с Июль 2025 года, переключаясь между десятками доменов по мере того, как старые домены попадают в черные списки и удаляются. Инфраструктура адаптируется быстрее, чем успевают отреагировать большинство регистраторов и хостинг-провайдеров.

Более 55 доменов — одна операция

В ходе нашего расследования была выявлена обширная сеть фишинговых доменов, на всех которых размещены идентичные или практически идентичные интерфейсы обменника BUYTRX. Эти домены размещены на платформах Cloudflare Workers, Cloudflare Pages, а также на физических серверах.

Активные домены

Cloudflare Workers и Pages

Серверы Origin

Еще один Более 50 доменов из вторичного рынка были выявлены, в том числе:

API без аутентификации — полностью открытый бэкенд

Операция BUYTRX выполняется на 6 конечных точек API Express.js используют одну базу данных. Основной API размещен по адресу api.trxmo.com. Каждый конечный пункт возвращает полные данные о жертве без какой-либо аутентификации.

Неаутентифицированные конечные точки

Панель администратора без авторизации

Доступ к панели администратора можно получить по адресу /8fb198a6e9b7af32 — хеш-путь, основанный на принципе «безопасности за счет скрытности», с без аутентификации. Он предоставляет ленту новостей о жертвах в режиме реального времени, в которой отображаются:

• Адреса кошельков всех пострадавших
• Идентификаторы транзакций (хэши подтверждений)
• IP-адреса пострадавших
• Временные метки каждого взаимодействия
• Размер разрешенных сумм (обычно MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Обнаружены дополнительные уязвимости:

• Слабое ограничение скорости: 6 запросов на одно окно, что легко обойти с помощью ротации IP-адресов
• Утечка заголовков в Express.js: X-Powered-By: Express раскрывает секреты серверных технологий
• Возможный XSS с отложенным выполнением: Административная панель отображает строки user-agent без предварительной очистки

Доказательства, содержащиеся в цепочке блоков

Контракты-дрейнеры развернуты в сети TRON и активно используются для обработки транзакций по утверждению от имени потерпевших.

4 подтвержденных транзакции с одобрением в цепочке были сопоставлены с записями о жертвах в утечке базы данных (записи 1–10). Записи 11–30, по-видимому, являются тестовые данные оператора — тестовые кошельки с небольшими суммами, последовательными временными интервалами и одинаковыми диапазонами IP-адресов.

Интеграция с WalletConnect

Фишинговые сайты используют WalletConnect для вызова запроса на подтверждение в мобильных кошельках. В этой схеме используется один Идентификатор проекта WalletConnect:

По следам денег — Google Ads и атрибуция

Пожалуй, самый тревожный вывод: Операторы BUYTRX платят Google за рекламу своего сервиса по сбору средств.

В аккаунте Google Ads отслеживаются успешные подтверждения кошельков в качестве событий конверсии. Это означает, что рекламная платформа Google буквально оптимизирует показ рекламы, чтобы найти больше жертв для программы, крадущей криптовалюту, — и при этом получает вознаграждение за эту услугу.

Панель администратора полностью выполнена на Упрощённый китайский, с такими элементами интерфейса, как 日間 / 夜間 (переключение между дневным и ночным режимами) и комментарии в исходном коде на китайском языке. Ник в Telegram @buytrx9 является основным каналом связи с оператором.

Рекомендации по удалению

Эта операция затрагивает интересы нескольких поставщиков услуг. Требуется скоординированная отчетность по всем направлениям:

Доказательства и исходные данные

Проверить. Отменить. Сообщить.

Если вы взаимодействовали с каким-либо доменом BUYTRX, немедленно проверьте свои разрешения на использование токенов TRON. Отмените все подозрительные разрешения и сообщите об этих доменах.