Розкриття BUYTRX: 55 доменів, відсутність API для авторизації та детальний аналіз схеми виведення коштів через TRON Approval Drainer

Що таке BUYTRX?

BUYTRX — це операція з виведення коштів під виглядом легального сервісу обміну криптовалют, що базується на мережі TRON і використовує USDT. Сайти мають професійно оформлений інтерфейс і обіцяють конвертувати USDT у TRX за привабливими курсами. Однак «обмін» так і не відбувається.

Натомість потерпілому пропонують підписати approve(MAX_UINT256) транзакція на смарт-контракті USDT (TRC-20). Цей єдиний підпис надає контракту зливу зловмисника необмежений дозвіл переказати весь баланс USDT жертви — відтепер і назавжди — доти, доки це схвалення не буде скасовано вручну.

Як тільки затвердження підтвердиться в ланцюжку блоків, оператор здійснює дзвінок transferFrom() щоб викрасти кошти з гаманця. Жертва нічого не помічає. Ніякого обміну. Ніякого TRX. Лише порожній баланс.

Операція триває щонайменше з Липень 2025 року, переходячи з одного домену на інший, оскільки старі домени виявляються та видаляються. Ця інфраструктура адаптується швидше, ніж встигають зреагувати більшість реєстраторів та хостинг-провайдерів.

Понад 55 доменів — одна операція

Наше розслідування виявило розгалужену мережу фішингових доменів, які всі обслуговують ідентичні або майже ідентичні інтерфейси обміну BUYTRX. Ці домени розміщені на Cloudflare Workers, Cloudflare Pages та на фізичних серверах-джерелах.

Домени, що наразі активні

Cloudflare Workers та Pages

Сервери Origin

Ще одне Понад 50 доменів із вторинного ринку були виявлені, зокрема:

API без авторизації — повністю відкритий бекенд

Операція BUYTRX виконується на 6 кінцевих точок API Express.js використовуючи єдину базу даних. Основний API розміщений за адресою api.trxmo.com. Кожен кінцевий пункт повертає повні дані про жертву без будь-якої аутентифікації.

Неавтентифіковані кінцеві точки

Панель адміністратора без авторизації

Доступ до панелі адміністратора можна отримати за адресою /8fb198a6e9b7af32 — шлях хешування за принципом «безпека через прихованість» із відсутність автентифікації. Він надає стрічку новин про потерпілих у режимі реального часу, де відображається:

• Адреси гаманців кожної жертви
• Ідентифікатори транзакцій (хеші підтвердження)
• IP-адреси жертв
• Часові мітки кожної взаємодії
• Суми затвердження (зазвичай MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Виявлено додаткові вразливості:

• Слабке обмеження швидкості: 6 запитів на одне вікно, що легко обходиться за допомогою ротації IP-адрес
• Витік даних із заголовка Express.js: X-Powered-By: Express розкриває технологію серверів
• Потенційний XSS, що зберігається: Адміністративна панель відображає неперевірені рядки «user-agent»

Докази з блокчейну

Контракти-драйнери розгорнуті в мережі TRON і активно використовуються для обробки транзакцій затвердження від жертв.

4 підтверджені транзакції з затвердженням у ланцюжку блоків були зіставлені із записами про жертв у базі даних, що потрапила у відкритий доступ (записи 1–10). Записи 11–30, судячи з усього, є тестові дані оператора — тестові гаманці з невеликими сумами, послідовними часовими інтервалами та однаковими діапазонами IP-адрес.

Інтеграція з WalletConnect

Фішингові сайти використовують WalletConnect для виведення запиту на підтвердження у мобільних гаманцях. Ця операція використовує єдиний Ідентифікатор проєкту WalletConnect:

Слідуючи за грошима — Google Ads та атрибуція

Мабуть, найтривожніший висновок: Оператори BUYTRX платять Google за рекламу свого драйнера.

Акаунт Google Ads відстежує успішні затвердження гаманців як події конвертації. Це означає, що рекламна платформа Google буквально оптимізує показ реклами, щоб знайти більше жертв для програми, що викачує криптовалюту, — і отримує плату за цю послугу.

Панель адміністратора повністю виконана на Спрощена китайська, з такими елементами інтерфейсу, як 日間 / 夜間 (перемикання між денним і нічним режимами) та коментарі до вихідного коду китайською мовою. Нік у Telegram @buytrx9 виступає основним каналом зв’язку з оператором.

Рекомендації щодо ліквідації контенту

Ця операція зачіпає інтереси багатьох постачальників послуг. Необхідна скоординована звітність за всіма напрямками:

Докази та вихідні дані

Перевірити. Скасувати. Повідомити.

Якщо ви взаємодіяли з будь-яким доменом BUYTRX, негайно перевірте свої дозволи на використання токенів TRON. Скасуйте всі підозрілі дозволи та повідомте про ці домени.