BUYTRX bị phanh phui: 55 tên miền, không có API xác thực nào và phân tích chi tiết vụ đánh cắp thông tin phê duyệt trên TRON

BUYTRX là gì?

BUYTRX là một hoạt động lừa đảo nhằm chiếm đoạt USDT dựa trên nền tảng TRON, được ngụy trang dưới hình thức một dịch vụ trao đổi tiền điện tử hợp pháp. Các trang web này có giao diện trông chuyên nghiệp và hứa hẹn sẽ chuyển đổi USDT sang TRX với tỷ giá hấp dẫn. Tuy nhiên, việc “trao đổi” này thực tế không bao giờ diễn ra.

Thay vào đó, nạn nhân được yêu cầu ký vào một approve(MAX_UINT256) giao dịch trên hợp đồng thông minh USDT (TRC-20). Chữ ký duy nhất này cấp quyền cho hợp đồng rút tiền của kẻ tấn công quyền truy cập không giới hạn để chuyển toàn bộ số dư USDT của nạn nhân — ngay lập tức và vĩnh viễn — cho đến khi sự chấp thuận này bị thu hồi theo cách thủ công.

Ngay sau khi việc phê duyệt được xác nhận trên chuỗi khối, nhà điều hành sẽ gọi transferFrom() để đánh cắp tiền trong ví. Nạn nhân không hề hay biết. Không có giao dịch hoán đổi nào. Không có TRX nào. Chỉ còn lại số dư trống rỗng.

Hoạt động này đã diễn ra từ ít nhất là Tháng 7 năm 2025, liên tục chuyển sang hàng chục tên miền khác khi các tên miền cũ bị báo cáo và gỡ bỏ. Hệ thống này thích ứng nhanh hơn so với khả năng phản ứng của hầu hết các nhà đăng ký tên miền và nhà cung cấp dịch vụ lưu trữ.

Hơn 55 tên miền — Chỉ cần một thao tác

Cuộc điều tra của chúng tôi đã phát hiện ra một mạng lưới rộng lớn các tên miền lừa đảo, tất cả đều cung cấp các giao diện giao dịch BUYTRX giống hệt hoặc gần như giống hệt nhau. Các tên miền này được triển khai trên Cloudflare Workers, Cloudflare Pages và các máy chủ gốc bare-metal.

Các tên miền hiện đang hoạt động

Cloudflare Workers & Pages

Máy chủ gốc

Một điều nữa Hơn 50 tên miền tái sử dụng đã được xác định, bao gồm:

API không yêu cầu xác thực — Hệ thống backend hoàn toàn mở

Hoạt động BUYTRX được thực hiện trên 6 điểm cuối API của Express.js chia sẻ một cơ sở dữ liệu duy nhất. API chính được lưu trữ tại api.trxmo.com. Mỗi điểm cuối đều trả về toàn bộ dữ liệu của nạn nhân không cần xác thực.

Các điểm cuối chưa được xác thực

Bảng điều khiển quản trị không cần xác thực

Bạn có thể truy cập bảng điều khiển quản trị tại /8fb198a6e9b7af32 — một phương pháp băm theo nguyên tắc “bảo mật nhờ sự khó hiểu” với không cần xác thực. Nền tảng này cung cấp nguồn tin thời gian thực về các nạn nhân, trong đó hiển thị:

• Địa chỉ ví của từng nạn nhân
• Mã giao dịch (băm phê duyệt)
• Địa chỉ IP của các nạn nhân
• Dấu thời gian của mỗi lần tương tác
• Số tiền được phê duyệt (thường là MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Các lỗ hổng bảo mật khác đã được phát hiện:

• Yếu tố giới hạn tốc độ yếu: 6 yêu cầu mỗi cửa sổ, có thể dễ dàng vượt qua bằng cách xoay vòng địa chỉ IP
• Lỗi rò rỉ tiêu đề trong Express.js: X-Powered-By: Express giới thiệu công nghệ máy chủ
• Lỗ hổng XSS tiềm ẩn: Bảng điều khiển quản trị hiển thị các chuỗi user-agent chưa được làm sạch

Bằng chứng trên chuỗi

Các hợp đồng drainer được triển khai trên mạng TRON và đã được sử dụng tích cực để xử lý các giao dịch phê duyệt từ các nạn nhân.

4 giao dịch phê duyệt trên chuỗi đã được xác nhận đã được đối chiếu với các bản ghi về nạn nhân trong cơ sở dữ liệu bị rò rỉ (các bản ghi từ 1 đến 10). Các bản ghi từ 11 đến 30 dường như là dữ liệu thử nghiệm toán tử — các ví thử nghiệm có số tiền nhỏ, các mẫu thời gian tuần tự và các dải địa chỉ IP giống hệt nhau.

Tích hợp WalletConnect

Các trang web lừa đảo sử dụng WalletConnect để kích hoạt thông báo yêu cầu ký xác nhận trong các ví di động. Quy trình này sử dụng một Mã dự án WalletConnect:

Theo dõi dòng tiền — Google Ads và phân bổ hiệu quả

Có lẽ phát hiện đáng lo ngại nhất là: Các nhà điều hành BUYTRX đang trả tiền cho Google để quảng cáo công cụ rút tiền của họ.

Tài khoản Google Ads theo dõi các lần phê duyệt ví thành công được coi là các sự kiện chuyển đổi. Điều này có nghĩa là nền tảng quảng cáo của Google đang thực sự tối ưu hóa việc phân phối quảng cáo để tìm thêm nạn nhân cho một chương trình đánh cắp tiền điện tử — đồng thời thu phí cho dịch vụ này.

Bảng điều khiển quản trị hoàn toàn được hiển thị bằng Tiếng Trung giản thể, với các thành phần giao diện người dùng như 日間 / 夜間 (nút chuyển đổi chế độ ngày/đêm) và các chú thích mã nguồn bằng tiếng Trung. Tên người dùng trên Telegram @buytrx9 đóng vai trò là kênh liên lạc chính với nhà khai thác.

Các khuyến nghị về việc gỡ bỏ

Hoạt động này liên quan đến nhiều nhà cung cấp dịch vụ. Cần phải có sự phối hợp trong việc báo cáo trên tất cả các phương diện:

Bằng chứng và dữ liệu nguồn

Kiểm tra. Thu hồi. Báo cáo.

Nếu bạn đã từng tương tác với bất kỳ tên miền nào của BUYTRX, hãy kiểm tra ngay các quyền phê duyệt token TRON của mình. Hủy bỏ mọi quyền phê duyệt đáng ngờ và báo cáo các tên miền đó.