BUYTRX na Nakalantad: 55 na Domains, Walang Auth na APIs, at Ang TRON Approval Drainer na Sinuri

Ano ang BUYTRX?

Ang BUYTRX ay isang operasyon ng USDT approval drainer na nakabatay sa TRON, na nakabalot bilang isang legit na serbisyo ng cryptocurrency swap. Ang mga website ay nagpapakita ng mga propesyonal na mukha na nangangako ng pag-convert ng USDT patungo sa TRX sa mga makakaakit na rate. Ngunit ang "swap" ay hindi kailanman nangyayari.

Sa halip, hinihikayat ang biktima na lumagda sa isang approve(MAX_UINT256) transaksyon sa smart contract ng USDT (TRC-20). Ang isang piraso ng signature na ito ang nagbibigay ng awtorisasyon sa drainer contract ng attacker walang hangganang pahintulot upang ilipat ang buong balanse ng USDT ng biktima — ngayon at magpakailanman — hangga't hindi manwal na naiaalis ang pahintulot.

Kapag kinumpirma ang pahintulot sa-chain, tinatawag ng operator transferFrom() upang linukso ang wallet. Walang nakikita biktima. Walang swap. Walang TRX. Pabigat na balanse lamang.

Aktibo ang operasyon mula pa noong hindi bababa sa Hulyo 2025, na pumapalit nang mabilis sa ilang daan ng mga domain habang ang lumang mga ito ay inuulit na ulat at pinapara. Mas mabilis umangkop ang imprastraktura kaysa sa karamihan ng mga registrar at hosting provider na makakapagbigay ng tugon.

55+ na Domain — Isang Operasyon

Nakita ng aming imbestigasyon ang isang malawak na network ng mga phishing domain, lahat ay naglilingkod ng magkakapareho o halos magkakaparehong BUYTRX swap interfaces. Ang mga domain ay sumasaklaw sa Cloudflare Workers, Cloudflare Pages, at mga bare-metal origin servers.

Mga Kasalukuyang Aktibong Domain

Cloudflare Workers at Pages

Mga Serber ng Pinagmulan

Isang karagdagang 50+ na muling ginamit na mga domain na nakilala, kabilang na:

Mga Zero Auth API — Bukas ang Backend

Ang operasyon na BUYTRX ay gumaganap sa 6 na Express.js API endpoints nagbabahagi ng iisang database. Ang pangunahing API ay nakahost sa api.trxmo.comBawat endpoint ay nagbabalik ng buong datos ng biktima. walang anumang pagpapatunay.

Mga Endpoint na Walang Pagpapatunay

Dashboard ng Admin na Walang Pagpapatunay

Ang admin panel ay accessible sa /8fb198a6e9b7af32 — isang "security by obscurity" na hash path na may walang pagpapatunayIto ay nagbibigay ng real-time na feed ng mga biktima na nagpapakita ng:

• Mga wallet address ng biktima
• Mga ID ng Transaksyon (hash ng pag-apat)
• Mga IP address ng mga biktima
• Mga timestamp ng bawat interaksyon
• Mga halaga ng pahintulot (karaniwang MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Mga karagdagang kahinaan na natuklasan:

• Mahinang paghihigpit sa bilis ng pag-atake (rate limiting): 6 na kahilingan bawat window, madaling i-bypass gamit ang IP rotation
• Express.js header leak: X-Powered-By: Express nagpapakita ng teknolohiya ng server
• Posibleng stored XSS: Ipinapakita ng admin panel ang mga hindi nasanitis na user-agent string

Ebidensya sa On-Chain

Ang mga drainer contract ay inilapat sa TRON network at aktibong ginagamit upang maproseso ang mga approval transaction mula sa mga biktima.

4 na kumpirmadong on-chain na transaksyon ng pahintulot ang mga naka-match sa mga talaan ng biktima sa exposed na database (mga talaan 1–10). Ang mga talaan 11–30 ay tila data ng pagsusulit ng operator — subukan ang mga wallet na may maliit na halaga, mga pattern ng pagkakasunod-sunod na oras, at magkakaparehong saklaw ng IP.

Integrasyon ng WalletConnect

Gumagamit ang mga phishing site ng WalletConnect upang i-trigger ang prompt para sa pag-apruba ng pag-sign sa mga mobile wallet. Gumagamit ang operasyon ng isang WalletConnect Project ID:

Pagsubaybay ng Pondo — Google Ads at Attribution

Maaaring ang pinakamapanganib na natuklasan: Binabayaran ng mga operator ng BUYTRX ang Google upang ipa-advertise ang kanilang drainer..

Sinusubaybayan ng Google Ads account ang ang matagumpay na pag-apruba ng wallet bilang mga conversion eventIbig sabihin nito na ang advertising platform ng Google ay literal na nag-o-optimize ng pag-deliver ng mga ad upang hanapin ang higit pang mga biktima ng isang crypto drainer — at nagkokolekta ng bayad para sa serbisyo.

Ang admin dashboard ay buong-buo sa Simplified Chinese, na may mga UI element tulad ng 日間 / 夜間 (mga toggle para sa day/night mode) at mga komento sa source code sa wikang Tsino. Ang handle sa Telegram @buytrx9 nagsilbi bilang pangunahing kanal ng komunikasyon para sa operator.

Mga Rekomendasyon para sa Takedown

Ang operasyong ito ay nakakaapekto sa maraming service provider. Kinakailangan ang koordinadong pag-uulat sa lahat ng vector:

Ebidensya at Pinagmulang Datos

Suriin. Iwasan. Iulat.

Kung nakikipag-ugnayan ka sa anumang BUYTRX domain, suriin agad ang mga TRON token approvals mo. I-revoke ang mga suspicious na approvals at i-report ang mga domain.