加密货币盗取工具包：揭秘那些将目标锁定在你钱包上的“Angel Drainer”转售者

9步攻击链：从虚假空投到钱包被清空

每一起加密货币盗币事件都遵循着可预测的流程。所谓“即服务式盗币”操作之所以危险，并非源于其创新性，而是源于其规模。同一条攻击链被复制到数十个域名上，每个域名都成了针对毫无防备的受害者的全新陷阱。以下是从 TRXDrop 源代码中提取的具体流程，按步骤逐一说明。

TRXDrop 深度解析：AI 生成的代码 生产环境中包含 30 多个调试语句

TRXDrop 是一个针对 TRON 和 Solana 钱包的“Angel Drainer”转售者。该操作的独特之处并不在于其复杂性——恰恰 相反。 源代码中显露出了 AI辅助开发的明显特征：结构重复、注释冗长， 而最能说明问题的是，超过30个 console.log 生产代码中残留的调试语句。

这些并非经验丰富的开发者的作为。这分明是某人让大型语言模型（LLM）生成了一段低效代码，然后未经审查就直接部署了该代码所留下的痕迹。

异或（XOR）加密密钥

drainer 前端与后端面板之间的所有通信均使用硬编码的 XOR 密钥进行加密： TRX_SECURE_2024_PANEL_KEY. 使用静态密钥的异或（XOR）运算显然是可以逆向的——这又是“复制粘贴式”开发的另一个迹象。

WalletConnect 滥用

WalletConnect 项目 ID fbf5b42d9006502246e73447f5d50e33 已嵌入所有15个以上的领域中。只要该项目ID被撤销一次，整个TRXDrop网络中的钱包连接将同时失效。

50 次强制重试

签名提示循环会重试50次，之后才会允许受害者退出。这种施加心理压力的手段是硬编码的，联盟成员无法进行配置——这是“Angel Drainer”工具包的一项核心功能。

30 TRX 佣金

每次成功的资金转移都会向运营者钱包支付30 TRX的手续费。按当前汇率计算，每名受害者约需支付7至8美元——如此低的利润率表明，该行动更依赖于交易量而非单笔交易金额。

TRXDrop 域名基础设施（15+ 个域名）

NiceCrypto：80%佣金赚钱机器

NiceCrypto 的运营基于一个简单的理念：向联盟成员提供“资金抽走服务”市场中最高的佣金，他们就会带来受害者。 NiceCrypto 提供的 80% 佣金比例，是我们迄今记录到的所有“排水即服务”（Drainer-as-a-Service）运营中最为慷慨的联盟分成比例。运营商仅保留 20%——这微薄的利润率只有在规模化运营时才可行。

这笔账很简单。如果一名联盟成员清空了一个内含1,000美元代币的钱包，他们就能拿到800美元。 NiceCrypto 收取 200 美元。根据记录在案的 8,454 美元以上的联盟佣金支付，该操作至少处理了 42,270 美元的被盗资金——而这一数字仅统计了我们能在链上直接观察到的支付。

717Team：存档 = 颠覆性创新

717Team 证明了此类活动是可以被制止的。该团队拥有 125 名成员和 85 个被追踪的钱包，是一个运营着 12 个以上钓鱼域名的中型“抽水”团伙。 经确认的洗钱总额为 2,946.25 美元，与规模更大的团伙相比看似微不足道，但真正的关键在于结果： 已归档.

在我们的追踪系统中，“已归档”意味着该行动已被彻底打断直至终止。域名已被关停，基础设施已被摧毁，管理员身份已曝光。717Team并非自愿关停，而是通过协调举报、域名关停以及与区块链安全合作伙伴的情报共享而被关停的。

反分析：虽存在但极易绕过

TRXDrop 部署了两种在“drainer”工具包中属于标准配置的反分析技术。这两种技术都旨在干扰日常检查，但对受过专业训练的分析师而言，均不构成实质性障碍。

这种模式在“排水器即服务”生态系统中普遍存在。套件开发者（本例中为 Angel Drainer）具备真正的技术能力，而部署这些套件的经销商和联盟合作伙伴往往并不具备。反分析层的存在并非因为运营者懂安全研究——而是因为该套件出厂时默认启用了该功能。

证据与情报来源

本次调查中提及的所有证据均保存在 PhishDestroy ScamIntelLogs 存储库中。每项行动都有一个独立的目录，其中包含配置文件、源代码片段、域名列表、钱包地址以及 Telegram 情报。