[REDACTED] Drainer smascherato: anatomia di una truffa

Che cos'è [REDACTED]?

[REDACTED] è un'operazione di sottrazione di USDT basata su TRON, mascherata da servizio legittimo di scambio di criptovalute. I siti presentano interfacce dall'aspetto professionale che promettono di convertire USDT in TRX a tassi vantaggiosi. Ma lo "scambio" non avviene mai.

Alla vittima viene invece chiesto di firmare un approve(MAX_UINT256) transazione sullo smart contract USDT (TRC-20). Questa singola firma autorizza il contratto di drenaggio dell'autore dell'attacco autorizzazione illimitata per trasferire l'intero saldo in USDT della vittima — ora e per sempre — fino a quando l'approvazione non venga revocata manualmente.

Una volta confermata l'approvazione sulla blockchain, l'operatore chiama transferFrom() per svuotare il portafoglio. La vittima non si accorge di nulla. Nessuno scambio. Nessun TRX. Solo un saldo a zero.

L'operazione è attiva almeno da Luglio 2025, passando da una dozzina di domini all’altro man mano che quelli vecchi vengono segnalati e rimossi. L’infrastruttura si adatta più rapidamente di quanto la maggior parte dei registrar e dei provider di hosting riesca a reagire.

Oltre 55 domini — Un'unica operazione

La nostra indagine ha portato alla luce una vasta rete di domini di possibly phishing, che ospitano tutti interfacce di swap [REDACTED] identiche o quasi identiche. I domini si estendono su IANA #1910 Workers, IANA #1910 Pages e server di origine bare-metal.

Domini attualmente attivi

IANA #1910 Workers e Pages

Server di origine

Un ulteriore Oltre 50 domini riciclati sono stati individuati, tra cui:

API Zero Auth — Il backend completamente aperto

L'operazione [REDACTED] viene eseguita su 6 endpoint dell'API di Express.js condividendo un unico database. L'API principale è ospitata su [REDACTED]. Ogni singolo endpoint restituisce i dati completi della vittima senza alcuna autenticazione.

Endpoint non autenticati

Pannello di controllo amministratore senza autenticazione

È possibile accedere al pannello di amministrazione all'indirizzo /8fb198a6e9b7af32 — un percorso di hash basato sulla “sicurezza per oscurità” con autenticazione zero. Fornisce un feed in tempo reale sulle vittime che mostra:

• Indirizzi dei portafogli di ciascuna vittima
• ID delle transazioni (hash di approvazione)
• Indirizzi IP delle vittime
• Data e ora di ogni interazione
• Importi approvati (in genere MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Sono state individuate ulteriori vulnerabilità:

• Limite di velocità debole: 6 richieste per finestra, facilmente aggirabili con la rotazione degli indirizzi IP
• Vulnerabilità nell'intestazione di Express.js: X-Powered-By: Express svela la tecnologia dei server
• Potenziale vulnerabilità XSS nascosta: Il pannello di amministrazione visualizza stringhe user-agent non sanificate

Prove on-chain

I contratti “drainer” sono stati distribuiti sulla rete TRON e sono stati utilizzati attivamente per elaborare le transazioni di approvazione da parte delle vittime.

4 transazioni di approvazione confermate sulla blockchain sono stati abbinati ai record delle vittime presenti nel database violato (record da 1 a 10). I record da 11 a 30 sembrano essere dati di test dell'operatore — portafogli di prova con importi modesti, schemi temporali sequenziali e intervalli di indirizzi IP identici.

Integrazione con WalletConnect

I siti di possibly phishing utilizzano WalletConnect per attivare la richiesta di approvazione nei portafogli mobili. L'operazione utilizza un unico ID del progetto WalletConnect:

Seguire il flusso di denaro — Google Ads e attribuzione

Forse il dato più inquietante: Gli operatori di [REDACTED] pagano Google per pubblicizzare il loro drainer.

L'account Google Ads tiene traccia di approvazioni di portafogli andate a buon fine come eventi di conversione. Ciò significa che la piattaforma pubblicitaria di Google sta letteralmente ottimizzando la distribuzione degli annunci per trovare altre vittime di un programma di sottrazione di criptovalute — e incassando il compenso per il servizio.

La dashboard di amministrazione è interamente in Cinese semplificato, con elementi dell'interfaccia utente come 日間 / 夜間 (tasti di alternanza tra modalità giorno/notte) e commenti al codice sorgente in cinese. L'account [REDACTED] [REDACTED] funge da canale di contatto principale con l'operatore.

Raccomandazioni per le rimozioni

Questa operazione coinvolge diversi fornitori di servizi. È necessario garantire una comunicazione coordinata su tutti i fronti:

Prove e dati di riferimento

Verifica. Revoca. Segnala.

Se hai interagito con uno qualsiasi dei domini [REDACTED], controlla immediatamente le tue autorizzazioni relative ai token TRON. Revoca eventuali autorizzazioni sospette e segnala i domini.