[REDACTED] Drainer al descubierto: la anatomía de una estafa

¿Qué es [REDACTED]?

[REDACTED] es una operación de drenaje de fondos de USDT basada en TRON que se hace pasar por un servicio legítimo de intercambio de criptomonedas. Las páginas web presentan interfaces de aspecto profesional que prometen convertir USDT a TRX a tipos de cambio atractivos. Pero el «intercambio» nunca se lleva a cabo.

En cambio, se le pide a la víctima que firme un approve(MAX_UINT256) transacción en el contrato inteligente de USDT (TRC-20). Esta única firma otorga al contrato de drenaje del atacante permisos ilimitados transferir la totalidad del saldo en USDT de la víctima —ahora y para siempre— hasta que se revoque manualmente la autorización.

Una vez que se confirma la aprobación en la cadena de bloques, el operador llama a transferFrom() para vaciar la cartera. La víctima no se da cuenta de nada. No hay intercambio. No hay TRX. Solo un saldo a cero.

La operación lleva en marcha al menos desde Julio de 2025, pasando por docenas de dominios a medida que los antiguos son denunciados y retirados. La infraestructura se adapta más rápido de lo que la mayoría de los registradores y proveedores de alojamiento pueden reaccionar.

Más de 55 dominios: una sola operación

Nuestra investigación ha sacado a la luz una extensa red de dominios de possibly phishing, todos ellos con interfaces de intercambio de [REDACTED] idénticas o casi idénticas. Los dominios abarcan IANA #1910 Workers, IANA #1910 Pages y servidores de origen «bare-metal».

Dominios actualmente activos

IANA #1910 Workers y Pages

Servidores de origen

Además, Más de 50 dominios reciclados se identificaron, entre ellas:

API sin autenticación: el backend a las puertas de cualquiera

La operación [REDACTED] se ejecuta en 6 puntos finales de la API de Express.js que comparten una única base de datos. La API principal está alojada en [REDACTED]. Cada uno de los puntos finales devuelve todos los datos de la víctima sin necesidad de autenticación.

Puntos finales sin autenticar

Panel de administración sin autenticación

Se puede acceder al panel de administración en /8fb198a6e9b7af32 — una ruta de hash basada en la «seguridad por oscuridad» con sin autenticación. Ofrece un resumen en tiempo real de las víctimas en el que se muestra:

• Direcciones de monedero de cada víctima
• Identificadores de transacción (hash de aprobación)
• Direcciones IP de las víctimas
• Marcas de tiempo de cada interacción
• Importes de autorización (normalmente MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Se han descubierto nuevas vulnerabilidades:

• Limitación de velocidad débil: 6 solicitudes por ventana, que se eluden fácilmente mediante la rotación de direcciones IP
• Fuga de encabezados en Express.js: X-Powered-By: Express desvela la tecnología de los servidores
• XSS potencial almacenado: El panel de administración muestra cadenas de «user-agent» sin depurar

Pruebas en la cadena de bloques

Los contratos «drainer» se han implementado en la red TRON y se han utilizado de forma activa para procesar las transacciones de autorización de las víctimas.

4 transacciones de aprobación confirmadas en la cadena se coincidían con los registros de las víctimas en la base de datos filtrada (registros 1-10). Los registros 11-30 parecen ser datos de prueba del operador — carteras de prueba con pequeñas cantidades, patrones temporales secuenciales y rangos de IP idénticos.

Integración con WalletConnect

Los sitios web de possibly phishing utilizan WalletConnect para activar la solicitud de firma de aprobación en las carteras móviles. La operación utiliza un único ID del proyecto WalletConnect:

Siguiendo el rastro del dinero: Google Ads y la atribución

Quizás el hallazgo más inquietante: Los operadores de [REDACTED] están pagando a Google para anunciar su «drainer».

La cuenta de Google Ads realiza un seguimiento de aprobaciones de monederos completadas con éxito como eventos de conversión. Esto significa que la plataforma publicitaria de Google está, literalmente, optimizando la publicación de anuncios para encontrar más víctimas de un programa de robo de criptomonedas — y cobrando por el servicio.

El panel de control de administración está íntegramente en Chino simplificado, con elementos de la interfaz de usuario como 日間 / 夜間 (botones para alternar entre el modo diurno y nocturno) y comentarios en el código fuente en chino. El nombre de usuario de [REDACTED] [REDACTED] sirve como principal canal de contacto con el operador.

Recomendaciones para la retirada

Esta operación afecta a varios proveedores de servicios. Es necesario que la comunicación sea coordinada en todos los ámbitos:

Datos probatorios y datos de origen

Comprobar. Revocar. Informar.

Si has interactuado con algún dominio de [REDACTED], comprueba inmediatamente tus autorizaciones de tokens TRON. Revoca cualquier autorización sospechosa y denuncia los dominios.