Case file folder with redacted documents and confidential investigation report.

CASE / AR / BUYTRX DRAINER EXPOSED

الكشف عن «[REDACTED] Drainer»: تشريح عملية احتيال

The Enablers Registry·Editorial mirror·/ar/buytrx-drainer-exposed

Public record copy. Brand names withheld, public accreditation numbers preserved. If the body below says “we”, that means the original publisher, not this mirror. TER only preserves, redacts, and re-contextualizes.

عملية تصيد احتيالي تحت مسمى «TRON USDT approval» · الكشف عن البنية الخلفية · أدلة على السلسلة · التمويل عبر إعلانات Google

9 دقائق للقراءة· تم التحديث مارس 2026· معلومات THE ENABLERS REGISTRY

نطاقات التصيد الاحتيالي

سجلات الضحايا التي تم الكشف عنها

مصادقة واجهة برمجة التطبيقات (API)

تكلفة الوصول إلى جميع البيانات

ما هو [REDACTED]؟

[REDACTED] هي عملية استنزاف أموال USDT تعتمد على شبكة TRON، وتتخفى في شكل خدمة تبادل عملات مشفرة شرعية. وتتميز المواقع بواجهات ذات مظهر احترافي، وتعد بتحويل USDT إلى TRX بأسعار مغرية. لكن عملية «التبادل» هذه لا تتم أبدًا.

بدلاً من ذلك، يُطلب من الضحية التوقيع على approve(MAX_UINT256) معاملة على العقد الذكي لـ USDT (TRC-20). هذا التوقيع الفردي يمنح عقد «drainer» التابع للمهاجم إذن غير محدود لتحويل رصيد الضحية بالكامل من USDT — الآن وإلى الأبد — إلى أن يتم إلغاء الموافقة يدويًّا.

بمجرد تأكيد الموافقة على السلسلة، يقوم المشغل بالاتصال بـ transferFrom() لسرقة المحفظة. لا ترى الضحية شيئًا. لا تبادل. لا TRX. مجرد رصيد فارغ.

توقيع واحد. وصول غير محدود. قدرة تصريف دائمة.

لا تؤدي عملية استدعاء الدالة approve() إلى تحويل الرموز الرقمية — بل تمنح الإذن فقط. أما السرقة الفعلية فتحدث بصمت عبر الدالة transferFrom() بعد ثوانٍ أو ساعات. ولا يربط معظم الضحايا أبدًا بين هاتين المعاملتين.

هذه العملية نشطة منذ ما لا يقل عن يوليو 2025، حيث تتنقل بين عشرات النطاقات كلما تم الإبلاغ عن النطاقات القديمة وإزالتها. وتتكيف البنية التحتية بسرعة تفوق قدرة معظم جهات التسجيل ومزودي خدمات الاستضافة على الاستجابة.

أكثر من 55 نطاقًا — عملية واحدة

كشفت تحقيقاتنا عن شبكة واسعة النطاق من نطاقات التصيد الاحتيالي، تقدم جميعها واجهات تداول «[REDACTED]» متطابقة أو شبه متطابقة. وتمتد هذه النطاقات لتشمل خدمات «IANA #1910 Workers» و«IANA #1910 Pages» وخوادم المنشأ المادية.

النطاقات النشطة حاليًا

المجال	النوع	الاستضافة
`[REDACTED]`	الابتدائي	IANA #1910
`[REDACTED]`	المرحلة الابتدائية + API	IANA #1910
`[REDACTED].mov`	نشط	IANA #1910
`[REDACTED].cx`	نشط	IANA #1910
`[REDACTED]`	نشط	IANA #1910
`[REDACTED].bet`	نشط	IANA #1910
`[REDACTED].store`	نشط	IANA #1910
`[REDACTED].click`	نشط	IANA #1910
`[REDACTED]`	نشط	IANA #1910
`[REDACTED]`	نشط	IANA #1910

IANA #1910 Workers و Pages

النطاق الفرعي	المنصة
`shrill-haze-5ff7.[REDACTED].workers.dev`	العمال
`[REDACTED]`	العمال
`[REDACTED].pages.dev`	الصفحات
`[REDACTED]`	الصفحات

خوادم Origin

عنوان IP	المزود	الغرض
`107.155.88.198`	HIVELOCITY (AS29802)	المصدر الأساسي
`46.21.151.194`	HVC-AS	الأصل الثانوي

إضافة إلى ذلك أكثر من 50 نطاقًا معاد تدويره تم تحديدها، ومن بينها:

[REDACTED].net [REDACTED].org [REDACTED].io [REDACTED].co [REDACTED].exchange [REDACTED].app [REDACTED].pro [REDACTED].cc [REDACTED].xyz [REDACTED].site [REDACTED].online [REDACTED].live [REDACTED].fun [REDACTED].top [REDACTED].vip [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] [REDACTED] وغيرها الكثير.

تم حذف واستبدال أكثر من 50 نطاقًا. تتكيف البنية التحتية بسرعة أكبر من سرعة استجابة معظم جهات التسجيل.

واجهات برمجة التطبيقات (API) التي لا تتطلب مصادقة — الخلفية مفتوحة على مصراعيها

تعمل عملية [REDACTED] على 6 نقاط نهاية لAPI Express.js التي تشترك في قاعدة بيانات واحدة. وتُستضاف واجهة برمجة التطبيقات (API) الرئيسية على [REDACTED]. كل نقطة نهاية على حدة تعرض بيانات الضحية كاملةً دون أي مصادقة.

نقاط النهاية غير المصادق عليها

نقطة النهاية	المرتجعات
`GET /api/records`	جميع سجلات الضحايا
`GET /api/records/:id`	تفاصيل الضحية الفردية
`GET /api/stats`	إحصاءات العمليات
`POST /api/records`	إنشاء سجل جديد
`PUT /api/records/:id`	تحديث السجل
`DELETE /api/records/:id`	حذف السجل

لوحة تحكم المسؤول غير المصادق عليها

يمكن الوصول إلى لوحة الإدارة على الرابط التالي: /8fb198a6e9b7af32 — مسار تجزئة يعتمد على مبدأ «الأمان عن طريق الغموض» مع المصادقة الصفرية. ويوفر هذا النظام موجزًا في الوقت الفعلي عن الضحايا يعرض ما يلي:

عناوين محافظ كل ضحية
معرّفات المعاملات (تجزئات الموافقة)
عناوين IP للضحايا
الطوابع الزمنية لكل تفاعل
مبالغ الموافقة (عادةً ما تكون MAX_UINT256)

استجابة API غير مصدقة — [REDACTED]

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

تم اكتشاف ثغرات أمنية إضافية:

العامل المحدد الضعيف: 6 طلبات لكل نافذة، يمكن تجاوزها بسهولة باستخدام تدوير عناوين IP
تسرب رأس الصفحة في Express.js: X-Powered-By: Express تكشف عن تقنية الخوادم
ثغرة XSS مخزنة محتملة: تعرض لوحة الإدارة سلاسل «user-agent» غير معقمة

قام المشغلون بإنشاء نظام تصريف، لكنهم نسوا تأمين نظامهم الخلفي.

يمكن الحصول على عنوان محفظة كل ضحية، وعنوان IP الخاص به، وهاش المعاملة، ومبلغ الموافقة بمجرد إرسال طلب GET واحد غير مصدق. لا توجد مفاتيح API. لا توجد توكنات. لا يوجد أمان.

الأدلة الموجودة على السلسلة

يتم نشر عقود «الدرينر» على شبكة «ترون»، وقد استُخدمت بشكل نشط لمعالجة معاملات الموافقة المقدمة من الضحايا.

العقد	التسمية	تم نشرها	المعاملات
`TRnruCYe2k...UPJ8`	SwapTRX (حاليًا)	13 ديسمبر 2025	نشط
`TXwXfz8Bp9...uHnS`	العقد القديم	في وقت سابق	323 حالة مسجلة

4 معاملات موافقة مؤكدة على السلسلة تم مطابقتها مع سجلات الضحايا في قاعدة البيانات التي تم الكشف عنها (السجلات 1–10). ويبدو أن السجلات من 11 إلى 30 هي بيانات اختبار المشغل — اختبار المحافظ باستخدام مبالغ صغيرة، وأنماط توقيت متتالية، ونطاقات عناوين IP متطابقة.

تكامل WalletConnect

تستخدم مواقع التصيد الاحتيالي خدمة WalletConnect لإظهار نافذة طلب التوقيع للموافقة في المحافظ الرقمية على الهواتف المحمولة. وتستخدم هذه العملية معرّف مشروع WalletConnect:

31eee2e7b3ff1dc4ebdfa6f839467664

يجب الإبلاغ عن معرّف المشروع هذا إلى WalletConnect من أجل إدراجه فوراً في القائمة السوداء.

تتبع مسار الأموال — إعلانات Google ونظام إسناد الفضل

ولعل النتيجة الأكثر إثارة للقلق هي: يدفع مشغلو [REDACTED] أموالاً لشركة جوجل للإعلان عن برنامج الاستنزاف الخاص بهم.

المؤشر	القيمة
حساب Google Ads	`AW-17287232508`
تتبع التحويلات	يتتبع عمليات الموافقة الناجحة باعتبارها تحويلات
جهة الاتصال على [REDACTED]	`[REDACTED]` ("بايترون")
لغة لوحة الإدارة	الصينية المبسطة

تتبع حساب Google Ads عمليات الموافقة الناجحة على المحافظ كأحداث تحويل. وهذا يعني أن منصة الإعلانات التابعة لـ«جوجل» تعمل فعليًّا على تحسين عملية عرض الإعلانات بهدف العثور على المزيد من الضحايا لبرنامج استنزاف العملات المشفرة — وتقوم بتحصيل رسوم مقابل هذه الخدمة.

لوحة تحكم المسؤول مكتوبة بالكامل بلغة الصينية المبسطة، مع عناصر واجهة المستخدم مثل 日間 / 夜間 (أزرار التبديل بين الوضع النهاري والليلي) وتعليقات شفرة المصدر باللغة الصينية. اسم المستخدم على [REDACTED] [REDACTED] تُعدّ قناة الاتصال الرئيسية مع المشغل.

إنهم يديرون حملات إعلانية عبر Google Ads تتعقب عمليات سحب الأموال الناجحة من المحفظة باعتبارها أحداث تحويل.

تتلقى «جوجل» أموالاً مقابل تحسين عرض الإعلانات لصالح عملية تصيد احتيالي. والمعلنون لا يخفون أمرهم — فهم يدفعون مقابل الحصول على زيارات مستهدفة، ويقيسون «النجاح» بعدد المحافظ التي يتم استنزافها.

توصيات بشأن عمليات إزالة المحتوى

تتعلق هذه العملية بعدد من مقدمي الخدمات. ومن الضروري التنسيق في تقديم التقارير عبر جميع القنوات:

IANA #1910

الإبلاغ عن حالات إساءة استخدام العمال، وحالات إساءة استخدام الصفحات، وسجلات DNS لجميع النطاقات التي يزيد عددها عن 55 نطاقًا. تقرير جماعي عن حالات إساءة الاستخدام مع قائمة كاملة بالنطاقات.