Разоблачение BUYTRX: 55 доменов, отсутствие авторизационных API и подробный анализ схемы похищения средств через TRON Approval Drainer

Что такое BUYTRX?

BUYTRX — это схема по хищению средств с помощью USDT на базе TRON, замаскированная под легальный сервис обмена криптовалют. Сайты этой схемы имеют профессионально оформленный интерфейс и обещают конвертировать USDT в TRX по привлекательным курсам. Однако «обмен» так и не происходит.

Вместо этого жертве предлагается подписать approve(MAX_UINT256) транзакция в смарт-контракте USDT (TRC-20). Эта единственная подпись предоставляет контракту злоумышленника, предназначенному для слива средств, неограниченное разрешение перечислять весь баланс жертвы в USDT — сейчас и навсегда — до тех пор, пока разрешение не будет отозвано вручную.

Как только одобрение подтверждается в цепочке блоков, оператор вызывает transferFrom() чтобы опустошить кошелек. Жертва ничего не замечает. Никакого обмена. Никаких TRX. Просто пустой баланс.

Операция ведётся, по крайней мере, с Июль 2025 года, переключаясь между десятками доменов по мере того, как старые домены попадают в черный список и удаляются. Эта инфраструктура адаптируется быстрее, чем успевают отреагировать большинство регистраторов и хостинг-провайдеров.

Более 55 доменов — одна операция

В ходе нашего расследования была выявлена обширная сеть фишинговых доменов, на всех которых размещены идентичные или практически идентичные интерфейсы обмена BUYTRX. Эти домены размещены на Cloudflare Workers, Cloudflare Pages и на отдельных физических серверах-источниках.

Активные в настоящее время домены

Cloudflare Workers и Pages

Серверы Origin

Еще один Более 50 доменов из вторичного рынка были выявлены, в том числе:

API без аутентификации — полностью открытый бэкенд

Операция BUYTRX выполняется на 6 конечных точек API Express.js использующие одну базу данных. Основной API размещен по адресу api.trxmo.com. Каждый конечный пункт возвращает полные данные о жертве без какой-либо аутентификации.

Неаутентифицированные конечные точки

Панель администратора без авторизации

Доступ к панели администратора можно получить по адресу /8fb198a6e9b7af32 — хеш-путь, основанный на принципе «безопасности за счёт скрытности», с аутентификация по нулю. На сайте в режиме реального времени публикуются данные о пострадавших, в том числе:

• Адреса кошельков каждой жертвы
• Идентификаторы транзакций (хэши подтверждений)
• IP-адреса пострадавших
• Временные метки каждого взаимодействия
• Суммы одобрения (как правило, MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Обнаружены дополнительные уязвимости:

• Слабое ограничение скорости: 6 запросов на одно окно, что легко обойти с помощью ротации IP-адресов
• Утечка заголовков в Express.js: X-Powered-By: Express раскрывает секреты серверных технологий
• Потенциальный XSS с сохранением данных: Административная панель выводит строки «user-agent» без предварительной очистки

Доказательства, содержащиеся в цепочке блоков

Контракты-дрейнеры развернуты в сети TRON и активно используются для обработки транзакций по утверждению от потерпевших.

4 подтверждённых транзакции с одобрением в цепочке блоков были сопоставлены с записями о жертвах в утечке базы данных (записи 1–10). Записи 11–30, по-видимому, являются тестовые данные оператора — тестовые кошельки с небольшими суммами, последовательными временными интервалами и одинаковыми диапазонами IP-адресов.

Интеграция с WalletConnect

Фишинговые сайты используют WalletConnect для вызова запроса на подтверждение подписи в мобильных кошельках. В ходе этой операции используется один Идентификатор проекта WalletConnect:

По следам денег — Google Ads и атрибуция

Пожалуй, самый тревожный вывод: Операторы BUYTRX платят Google за рекламу своего дрейнера.

В аккаунте Google Ads отслеживаются успешные утверждения кошельков в качестве событий конвертации. Это означает, что рекламная платформа Google буквально оптимизирует показ рекламы, чтобы найти больше жертв для программы, крадущей криптовалюту, — и при этом получает вознаграждение за эту услугу.

Панель администратора полностью выполнена на Упрощённый китайский, с такими элементами пользовательского интерфейса, как 日間 / 夜間 (переключение между дневным и ночным режимами) и комментарии в исходном коде на китайском языке. Ник в Telegram @buytrx9 является основным каналом связи с оператором.

Рекомендации по ликвидации

Эта операция затрагивает нескольких поставщиков услуг. Требуется скоординированная отчетность по всем направлениям:

Доказательства и исходные данные

Проверить. Отменить. Сообщить.

Если вы взаимодействовали с каким-либо доменом BUYTRX, немедленно проверьте свои разрешения на использование токенов TRON. Отмените все подозрительные разрешения и сообщите об этих доменах.