BUYTRX ถูกเปิดเผย: 55 โดเมน, API ที่ไม่มีระบบยืนยันตัวตน และวิเคราะห์เจาะลึก TRON Approval Drainer

BUYTRX คืออะไร

BUYTRX คือปฏิบัติการขโมยการอนุมัติ USDT บนเครือข่าย TRON ซึ่งปลอมตัวเป็นบริการแลกเปลี่ยนสกุลเงินดิจิทัลที่ถูกต้องตามกฎหมาย เว็บไซต์เหล่านี้มีอินเทอร์เฟซที่ดูเป็นมืออาชีพและสัญญาว่าจะแปลง USDT เป็น TRX ในอัตราที่ดึงดูดใจ แต่การ “แลกเปลี่ยน” ดังกล่าวไม่เคยเกิดขึ้นจริง

ในทางตรงกันข้าม ผู้เสียหายจะถูกขอให้ลงนามใน approve(MAX_UINT256) ธุรกรรมบนสัญญาอัจฉริยะของ USDT (TRC-20) ลายเซ็นเพียงตัวเดียวนี้มอบสิทธิ์ให้สัญญาอัจฉริยะของโปรแกรมขโมยข้อมูล (drainer contract) ของผู้โจมตี สิทธิ์ไม่จำกัด เพื่อโอนยอดคงเหลือ USDT ทั้งหมดของเหยื่อ — ทั้งในปัจจุบันและตลอดไป — จนกว่าการอนุมัติจะถูกเพิกถอนด้วยตนเอง

เมื่อการอนุมัติได้รับการยืนยันบนเชนแล้ว ผู้ดำเนินการจะเรียก transferFrom() เพื่อกวาดเงินในกระเป๋า ผู้เสียหายไม่พบสิ่งผิดปกติ ไม่มีธุรกรรมแลกเปลี่ยน ไม่มี TRX มีเพียงยอดคงเหลือเป็นศูนย์

ปฏิบัติการดังกล่าวได้ดำเนินการอย่างต่อเนื่องตั้งแต่อย่างน้อย กรกฎาคม 2025หมุนเวียนผ่านโดเมนหลายสิบชื่อเมื่อโดเมนเดิมถูกรายงานและปิดใช้งาน โครงสร้างพื้นฐานปรับตัวได้เร็วกว่าผู้ให้บริการจดทะเบียนโดเมนและผู้ให้บริการโฮสติ้งส่วนใหญ่จะตอบสนองทัน

โดเมนมากกว่า 55 รายการ — ปฏิบัติการเดียว

การสืบสวนของเราได้เปิดเผยเครือข่ายโดเมนฟิชชิงที่กระจายตัวกว้างขวาง ซึ่งทั้งหมดให้บริการอินเทอร์เฟซสวอป BUYTRX ที่เหมือนกันหรือใกล้เคียงกันอย่างยิ่ง โดเมนเหล่านี้ครอบคลุมทั้ง Cloudflare Workers, Cloudflare Pages และเซิร์ฟเวอร์ต้นทางแบบ bare-metal

โดเมนที่ใช้งานอยู่ในปัจจุบัน

Cloudflare Workers และ Pages

เซิร์ฟเวอร์ต้นทาง

เพิ่มเติม โดเมนรีไซเคิลมากกว่า 50 รายการ ได้รับการระบุ ได้แก่

APIs แบบ Zero Auth — ระบบ Backend ที่เปิดโล่งโดยสิ้นเชิง

ปฏิบัติการ BUYTRX ดำเนินการบน 6 จุดปลายทาง API ของ Express.js ใช้ฐานข้อมูลร่วมกัน API หลักถูกโฮสต์อยู่ที่ api.trxmo.comทุกจุดปลายทาง (endpoint) จะส่งคืนข้อมูลของเหยื่ออย่างครบถ้วน โดยไม่ต้องมีการยืนยันตัวตน.

จุดปลายทางที่ไม่มีการยืนยันตัวตน

แดชบอร์ดผู้ดูแลระบบที่ไม่มีการยืนยันตัวตน

แผงผู้ดูแลระบบสามารถเข้าถึงได้ที่ /8fb198a6e9b7af32 — เส้นทางแฮชแบบ "ความปลอดภัยจากความลับ" (security by obscurity) การยืนยันตัวตนแบบศูนย์. ให้ข้อมูลแบบเรียลไทม์เกี่ยวกับเหยื่อ ซึ่งแสดงรายละเอียดดังนี้:

• ที่อยู่กระเป๋าเงินของเหยื่อทุกคน
• รหัสธุรกรรม (แฮชการอนุมัติ)
• ที่อยู่ IP ของเหยื่อ
• ข้อมูลเวลาของทุกการมีปฏิสัมพันธ์
• จำนวนเงินที่ได้รับอนุมัติ (โดยทั่วไปคือ MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

ช่องโหว่เพิ่มเติมที่ค้นพบ:

• การจำกัดอัตรา (Rate Limiting) ที่อ่อนแอ: 6 คำขอต่อช่วงหน้าต่าง ซึ่งสามารถหลบเลี่ยงได้ง่ายด้วยการหมุนเวียนที่อยู่ IP
• การรั่วไหลของส่วนหัว (Header) ใน Express.js: X-Powered-By: Express เปิดเผยเทคโนโลยีเซิร์ฟเวอร์
• XSS แบบเก็บถาวรที่เป็นไปได้: แผงผู้ดูแลระบบแสดงสตริง user-agent ที่ไม่ผ่านการทำความสะอาด

หลักฐานบนเชน

สัญญา Drainer ถูกติดตั้งบนเครือข่าย TRON และถูกใช้งานอย่างแข็งขันในการประมวลผลธุรกรรมอนุมัติจากเหยื่อ

ยืนยันธุรกรรมอนุมัติบนเชนแล้ว 4 รายการ ตรงกับบันทึกของผู้เสียหายในฐานข้อมูลที่รั่วไหล (บันทึกที่ 1–10) บันทึกที่ 11–30 ดูเหมือนจะเป็น ข้อมูลทดสอบของผู้ดำเนินการ — กระเป๋าเงินทดสอบที่มีจำนวนเงินเล็กน้อย รูปแบบเวลาแบบเรียงลำดับ และช่วง IP ที่เหมือนกัน

การบูรณาการ WalletConnect

เว็บไซต์ฟิชชิ่งใช้ WalletConnect เพื่อกระตุ้นให้แสดงหน้าต่างคำขอการลงนามอนุมัติในกระเป๋าเงินบนมือถือ การดำเนินการนี้ใช้ WalletConnect Project ID:

การติดตามเส้นทางการเงิน — Google Ads และระบบการ атрибуชัน

ข้อค้นพบที่น่าตกใจที่สุด: ผู้ปฏิบัติการของ BUYTRX กำลังจ่ายเงินให้ Google เพื่อโฆษณาเครื่องมือดูดข้อมูล (drainer) ของพวกเขา.

บัญชี Google Ads ติดตาม การอนุมัติกระเป๋าเงินที่สำเร็จในฐานะเหตุการณ์การแปลงสิ่งนี้หมายความว่าแพลตฟอร์มโฆษณาของ Google กำลังปรับแต่งการส่งโฆษณาเพื่อค้นหาเหยื่อของมัลแวร์ขโมยคริปโตเคอร์เรนซี (crypto drainer) ให้มากขึ้น — และเรียกเก็บค่าบริการดังกล่าว

แดชบอร์ดสำหรับผู้ดูแลระบบทั้งหมดอยู่ใน ภาษาจีนแบบย่อ, พร้อมองค์ประกอบของอินเทอร์เฟซผู้ใช้ เช่น 日間 / 夜間 (สวิตช์โหมดกลางวัน/กลางคืน) และคอมเมนต์ในซอร์สโค้ดเป็นภาษาจีน ชื่อผู้ใช้ใน Telegram @buytrx9 ทำหน้าที่เป็นช่องทางติดต่อผู้ดำเนินการหลัก

ข้อเสนอแนะสำหรับการระงับ

ปฏิบัติการนี้เกี่ยวข้องกับผู้ให้บริการหลายราย จึงจำเป็นต้องมีการรายงานที่ประสานงานกันในทุกช่องทาง

หลักฐานและข้อมูลแหล่งที่มา

ตรวจสอบ ถอนสิทธิ์ รายงาน

หากคุณเคยมีปฏิสัมพันธ์กับโดเมนของ BUYTRX ให้ตรวจสอบการอนุมัติโทเคน TRON ของคุณทันที ยกเลิกการอนุมัติที่น่าสงสัยและรายงานโดเมนดังกล่าว