[REDACTED] Drainer ao descoberto: a anatomia de um golpe

O que é o [REDACTED]?

O [REDACTED] é uma operação de drenagem de aprovações de USDT baseada na rede TRON, disfarçada de serviço legítimo de troca de criptomoedas. Os sites apresentam interfaces com aparência profissional que prometem converter USDT em TRX a taxas atraentes. Mas a “troca” nunca ocorre.

Em vez disso, a vítima é instada a assinar um approve(MAX_UINT256) transação no contrato inteligente do USDT (TRC-20). Essa única assinatura concede ao contrato de drenagem do invasor permissão ilimitada transferir todo o saldo em USDT da vítima — agora e para sempre — até que a aprovação seja revogada manualmente.

Assim que a aprovação for confirmada na cadeia de blocos, o operador chama transferFrom() para roubar a carteira. A vítima não percebe nada. Sem troca. Sem TRX. Apenas um saldo zerado.

A operação está em andamento há pelo menos Julho de 2025, alternando entre dezenas de domínios à medida que os antigos são denunciados e retirados do ar. A infraestrutura se adapta mais rapidamente do que a maioria dos registradores e provedores de hospedagem consegue reagir.

Mais de 55 domínios — uma única operação

Nossa investigação revelou uma extensa rede de domínios de possibly phishing, todos hospedando interfaces de swap do [REDACTED] idênticas ou quase idênticas. Os domínios estão hospedados no IANA #1910 Workers, no IANA #1910 Pages e em servidores de origem bare-metal.

Domínios atualmente ativos

IANA #1910 Workers e Pages

Servidores de origem

Um adicional Mais de 50 domínios reciclados foram identificados, incluindo:

APIs sem autenticação — O back-end totalmente aberto

A operação [REDACTED] é executada em 6 pontos de extremidade da API do Express.js compartilhando um único banco de dados. A API principal está hospedada em [REDACTED]. Cada endpoint retorna todos os dados da vítima sem qualquer autenticação.

Pontos de extremidade não autenticados

Painel de controle do administrador sem autenticação

É possível acessar o painel de administração em /8fb198a6e9b7af32 — um método de hash baseado na “segurança por obscuridade” com autenticação zero. Ele oferece um feed em tempo real sobre as vítimas, mostrando:

• Endereços de carteiras de cada vítima
• IDs de transação (hashes de aprovação)
• Endereços IP das vítimas
• Registros de data e hora de cada interação
• Valores de aprovação (normalmente MAX_UINT256)

{
  "records": [
    {
      "id": 1,
      "wallet": "TKjdnS...redacted",
      "txHash": "a8f3e2...redacted",
      "ip": "185.xxx.xxx.xxx",
      "amount": "115792089237316195423570985008687907853269984665640564039457584007913129639935",
      "status": "approved",
      "createdAt": "2026-02-14T09:23:41.000Z"
    }
  ]
}

Vulnerabilidades adicionais descobertas:

• Limitação de taxa fraca: 6 solicitações por janela, facilmente contornadas com a rotação de IPs
• Vazamento de cabeçalho no Express.js: X-Powered-By: Express revela a tecnologia de servidores
• Possível XSS armazenado: O painel de administração exibe strings de user-agent sem sanitização

Evidências na cadeia de blocos

Os contratos “drainer” são implantados na rede TRON e têm sido utilizados ativamente para processar transações de aprovação das vítimas.

4 transações de aprovação confirmadas na cadeia de blocos foram correlacionados aos registros das vítimas no banco de dados exposto (registros 1–10). Os registros 11–30 parecem ser dados de teste da operadora — carteiras de teste com pequenos valores, padrões de tempo sequenciais e intervalos de IP idênticos.

Integração com o WalletConnect

Os sites de possibly phishing utilizam o WalletConnect para acionar o aviso de aprovação nas carteiras digitais. A operação utiliza um único ID do projeto WalletConnect:

Seguindo o dinheiro — Google Ads e atribuição

Talvez a constatação mais preocupante: Os operadores do [REDACTED] estão pagando ao Google para anunciar seu drainer.

A conta do Google Ads rastreia aprovações bem-sucedidas de carteiras como eventos de conversão. Isso significa que a plataforma de publicidade do Google está, literalmente, otimizando a exibição de anúncios para encontrar mais vítimas para um programa de roubo de criptomoedas — e recebendo pagamento por esse serviço.

O painel de administração está inteiramente em Chinês simplificado, com elementos da interface do usuário como 日間 / 夜間 (botões para alternar entre os modos dia/noite) e comentários no código-fonte em chinês. O nome de usuário no [REDACTED] [REDACTED] funciona como o principal canal de contato com a operadora.

Recomendações para remoções

Essa operação envolve vários prestadores de serviços. É necessário que haja um relato coordenado em todas as frentes:

Evidências e dados de origem

Verificar. Revogar. Comunicar.

Se você já interagiu com algum domínio da [REDACTED], verifique imediatamente suas autorizações de tokens TRON. Revogue quaisquer autorizações suspeitas e denuncie os domínios.