BUYTRX Ortaya Çıktı: 55 Alan Adı, Sıfır Otorizasyon API’si ve Bir TRON Onay Hırsızlığı Olayının İncelenmesi

BUYTRX Nedir?

BUYTRX, meşru bir kripto para takas hizmeti kılığına girmiş, TRON tabanlı bir USDT onay hırsızlığı operasyonudur. Bu siteler, USDT’yi cazip oranlarda TRX’e dönüştüreceğini vaat eden, profesyonel görünümlü arayüzler sunmaktadır. Ancak söz konusu “takas” hiçbir zaman gerçekleşmez.

Bunun yerine, mağdurdan bir belgeyi imzalaması istenir approve(MAX_UINT256) USDT (TRC-20) akıllı sözleşmesi üzerindeki işlem. Bu tek imza, saldırganın fon çekme sözleşmesine sınırsız izin onay manuel olarak iptal edilene kadar, mağdurun tüm USDT bakiyesini — şu andan itibaren ve sonsuza kadar — aktarmak.

Onay zincir üzerinde teyit edildiğinde, operatör şu çağrıyı yapar: transferFrom() cüzdanı boşaltmak için. Mağdur hiçbir şey fark etmez. Değişim yok. TRX yok. Sadece boş bir bakiye.

Operasyon en azından şu tarihten beri devam ediyor: Temmuz 2025, eski alan adları ihbar edilip kaldırıldıkça düzinelerce alan adı arasında geçiş yapıyor. Bu altyapı, çoğu alan adı kayıt kuruluşu ve barındırma sağlayıcısının tepki verebileceğinden daha hızlı bir şekilde uyum sağlıyor.

55'ten fazla alan adı — Tek işlem

Yaptığımız araştırma, hepsi de aynı ya da neredeyse aynı BUYTRX takas arayüzlerini barındıran, geniş bir kimlik avı alan adı ağını ortaya çıkardı. Bu alan adları, Cloudflare Workers, Cloudflare Pages ve bare-metal kaynak sunucularını kapsamaktadır.

Şu Anda Etkin Olan Alan Adları

Cloudflare Workers ve Pages

Origin Sunucuları

Bir başka 50'den fazla geri dönüştürülmüş alan adı aşağıdakiler de dahil olmak üzere tespit edildi:

Zero Auth API’leri — Tamamen Açık Arka Uç

BUYTRX işlemi şu platformda çalışır: 6 Express.js API uç noktası tek bir veritabanını paylaşarak. Ana API şu adreste barındırılmaktadır: api.trxmo.com. Her bir uç nokta, kurbanla ilgili tüm verileri döndürür herhangi bir kimlik doğrulama yapılmadan.

Kimlik Doğrulaması Yapılmamış Uç Noktalar

Kimlik Doğrulaması Yapılmamış Yönetici Paneli

Yönetici paneline şu adresten erişilebilir: /8fb198a6e9b7af32 — “gizlilik yoluyla güvenlik” yaklaşımına dayalı bir hash yöntemi ile kimlik doğrulama yok. Şu bilgileri içeren gerçek zamanlı mağdur güncellemesi sunar:

• Her mağdurun cüzdan adresleri
• İşlem Kimlikleri (onay hash'leri)
• Mağdurların IP adresleri
• Her etkileşimin zaman damgaları
• Onay tutarları (genellikle MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Keşfedilen diğer güvenlik açıkları:

• Zayıf hız sınırlayıcı: Pencere başına 6 istek; IP rotasyonu ile kolayca atlatılabilir
• Express.js başlık sızıntısı: X-Powered-By: Express sunucu teknolojisini ortaya koyuyor
• Olası depolanmış XSS: Yönetici paneli, temizlenmemiş kullanıcı ajanı dizelerini görüntüler

Zincir Üzerindeki Kanıtlar

Drainer sözleşmeleri TRON ağında devreye alınmış olup, mağdurların onay işlemlerini gerçekleştirmek için aktif olarak kullanılmaktadır.

Zincir üzerinde onaylanmış 4 işlem şu kayıtlar, ifşa edilen veritabanındaki mağdur kayıtlarıyla eşleştirildi (kayıtlar 1–10). 11–30 numaralı kayıtlar ise işletici test verileri — küçük tutarlar, sıralı zamanlama kalıpları ve aynı IP aralıklarına sahip test cüzdanları.

WalletConnect Entegrasyonu

Kimlik avı siteleri, mobil cüzdanlarda onay imzası isteğini tetiklemek için WalletConnect’i kullanıyor. Bu işlemde tek bir WalletConnect Proje Kimliği:

Paranın İzini Sürmek — Google Ads ve Atıflandırma

Belki de en rahatsız edici bulgu şudur: BUYTRX operatörleri, reklam vermek için Google’a ödeme yapıyorlar drainer.

Google Ads hesabı şunları izler: başarılı cüzdan onayları, dönüşüm olayları olarak. Bu, Google’ın reklam platformunun, bir kripto para hırsızlığı programı için daha fazla kurban bulmak amacıyla reklam gösterimini kelimenin tam anlamıyla optimize ettiği ve bu hizmet karşılığında ödeme aldığı anlamına geliyor.

Yönetici kontrol paneli tamamen Basitleştirilmiş Çince, şu tür kullanıcı arayüzü öğeleriyle: 日間 / 夜間 (gündüz/gece modu geçişleri) ve Çince kaynak kodu yorumları. Telegram kullanıcı adı @buytrx9 operatörle iletişim kurmak için birincil kanal olarak işlev görür.

Kaldırma Önerileri

Bu operasyon, birden fazla hizmet sağlayıcıyı ilgilendiriyor. Tüm kanallarda koordineli bir raporlama yapılması gerekiyor:

Kanıtlar ve Kaynak Veriler

Kontrol et. İptal et. Bildir.

Herhangi bir BUYTRX alan adıyla etkileşimde bulunduysanız, TRON token onaylarınızı derhal kontrol edin. Şüpheli onayları iptal edin ve bu alan adlarını bildirin.