[REDACTED] Drainer Exposed: एक घोटाले की संरचना

[REDACTED] क्या है?

[REDACTED] एक TRON-आधारित USDT अप्रूवल ड्रेनर ऑपरेशन है, जो एक वैध क्रिप्टोकरेंसी स्वैप सेवा के रूप में छिपा हुआ है। ये साइटें पेशेवर दिखने वाले इंटरफेस पेश करती हैं जो आकर्षक दरों पर USDT को TRX में बदलने का वादा करती हैं। लेकिन "स्वैप" कभी नहीं होता।

इसके बजाय, पीड़ित को एक पर हस्ताक्षर करने के लिए कहा जाता है। approve(MAX_UINT256) USDT (TRC-20) स्मार्ट कॉन्ट्रैक्ट पर लेनदेन। यह एकल हस्ताक्षर हमलावर के ड्रेनर कॉन्ट्रैक्ट को अनुमति देता है। असीमित अनुमति पीड़ित की संपूर्ण USDT शेष राशि को स्थानांतरित करना — अब और हमेशा — जब तक कि अनुमोदन को मैन्युअल रूप से रद्द नहीं किया जाता।

एक बार ऑन-चेन पर अनुमोदन की पुष्टि हो जाने के बाद, ऑपरेटर कॉल करता है। transferFrom() वॉलेट को साफ कर देना। पीड़ित को कुछ भी नहीं दिखता। कोई स्वैप नहीं। कोई TRX नहीं। सिर्फ एक खाली बैलेंस।

यह ऑपरेशन कम से कम से सक्रिय है। जुलाई २०२५पुराने डोमेन रिपोर्ट किए जाने और हटाए जाने पर दर्जनों नए डोमेन में साइकल करते हुए। यह बुनियादी ढांचा अधिकांश रजिस्ट्रारों और होस्टिंग प्रदाताओं की प्रतिक्रिया देने की गति से भी तेज़ी से अनुकूलित होता है।

55+ डोमेन — एक संचालन

हमारी जांच में फिशिंग डोमेनों का एक विशाल नेटवर्क उजागर हुआ, जो सभी समान या लगभग समान [REDACTED] स्वैप इंटरफेस प्रदान कर रहे थे। ये डोमेन IANA #1910 Workers, IANA #1910 Pages और बेयर-मेटल ओरिजिन सर्वरों पर फैले हुए हैं।

वर्तमान में सक्रिय डोमेन

क्लाउडफ्लेयर वर्कर्स और पेजेस

मूल सर्वर

एक अतिरिक्त 50+ पुनर्नवीनीकृत डोमेन की पहचान की गई, जिनमें शामिल हैं:

ज़ीरो ऑथ एपीआई — बैकएंड वाइड ओपन

[REDACTED] ऑपरेशन पर चलता है 6 Express.js एपीआई एंडपॉइंट्स एक ही डेटाबेस साझा करना। प्राथमिक एपीआई यहाँ होस्ट की गई है [REDACTED]प्रत्येक एंडपॉइंट पूर्ण पीड़ित डेटा लौटाता है। बिना किसी प्रमाणीकरण के.

अप्रमाणित एंडपॉइंट्स

अप्रमाणित एडमिन डैशबोर्ड

एक एडमिन पैनल पर सुलभ है /8fb198a6e9b7af32 — एक "अस्पष्टता द्वारा सुरक्षा" हैश पथ के साथ शून्य प्रमाणीकरणयह एक रीयल-टाइम पीड़ित फ़ीड प्रदान करता है जो दिखाता है:

• प्रत्येक पीड़ित का वॉलेट पता
• लेनदेन आईडी (अनुमोदन हैश)
• पीड़ितों के आईपी पते
• हर बातचीत की टाइमस्टैम्प
• अनुमोदन राशि (आमतौर पर MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

अतिरिक्त कमजोरियाँ पाई गईं:

• कमजोर दर सीमांकन: प्रति विंडो 6 अनुरोध, आईपी रोटेशन से आसानी से बाईपास हो जाते हैं
• Express.js हेडर लीक: X-Powered-By: Express सर्वर तकनीक का खुलासा करता है
• संभावित संग्रहीत XSS: एडमिन पैनल असंसाधित यूज़र-एजेंट स्ट्रिंग्स प्रदर्शित करता है।

ऑन-चेन साक्ष्य

ड्रेनर कॉन्ट्रैक्ट्स को TRON नेटवर्क पर तैनात किया गया है और इन्हें पीड़ितों से अनुमोदन लेनदेन संसाधित करने के लिए सक्रिय रूप से उपयोग किया गया है।

4 पुष्ट ऑन-चेन अनुमोदन लेनदेन प्रकट किए गए डेटाबेस (रिकॉर्ड 1–10) में पीड़ित रिकॉर्डों से मेल खाए थे। रिकॉर्ड 11–30 प्रतीत होते हैं ऑपरेटर परीक्षण डेटा — छोटी मात्राओं, क्रमिक समय पैटर्न, और समान आईपी रेंज के साथ परीक्षण वॉलेट।

WalletConnect एकीकरण

फ़िशिंग साइटें मोबाइल वॉलेट में अनुमोदन हस्ताक्षर प्रॉम्प्ट ट्रिगर करने के लिए वॉलेटकनेक्ट का उपयोग करती हैं। ऑपरेशन एक एकल का उपयोग करता है WalletConnect प्रोजेक्ट आईडी:

पैसा का पीछा — गूगल विज्ञापन और एट्रिब्यूशन

शायद सबसे परेशान करने वाला निष्कर्ष: [REDACTED] ऑपरेटर अपने ड्रेनर का विज्ञापन करने के लिए गूगल को भुगतान कर रहे हैं।.

गूगल विज्ञापन खाता ट्रैक करता है सफल वॉलेट अनुमोदन रूपांतरण घटनाओं के रूप में. इसका मतलब है कि गूगल का विज्ञापन प्लेटफ़ॉर्म सचमुच विज्ञापन वितरण को अनुकूलित कर रहा है ताकि क्रिप्टो ड्रेनर के लिए और अधिक शिकार ढूंढे जा सकें — और इस सेवा के लिए भुगतान भी वसूल रहा है।

प्रशासक डैशबोर्ड पूरी तरह से सरलीकृत चीनी, यूआई तत्वों जैसे 日間 / 夜間 (दिन/रात मोड स्विच) और स्रोत कोड में चीनी में टिप्पणियाँ। टेलीग्राम हैंडल [REDACTED] मुख्य ऑपरेटर संपर्क चैनल के रूप में कार्य करता है।

हटाने की सिफारिशें

यह ऑपरेशन कई सेवा प्रदाताओं को प्रभावित करता है। सभी वेक्टर्स में समन्वित रिपोर्टिंग आवश्यक है:

साक्ष्य और स्रोत डेटा

जाँचें। रद्द करें। रिपोर्ट करें।

यदि आपने किसी भी [REDACTED] डोमेन के साथ इंटरैक्शन किया है, तो तुरंत अपनी TRON टोकन अनुमोदनों की जाँच करें। किसी भी संदिग्ध अनुमोदन को रद्द करें और उन डोमेनों की रिपोर्ट करें।