خدعت دروس يوتيوب وهمية تروّج لروبوتات تحكيم العملات المشفرة المدعومة بالذكاء الاصطناعي 224 ضحية لنشر عقود ذكية خبيثة سرقت 274.6 إيثريوم بقيمة حوالي 517,000 دولار.
قالت شركة TRM Labs في تقرير بتاريخ 14 سبتمبر إن العملية أخفت عقود إيثريوم خبيثة كأدوات تداول آلية مبنية باستخدام نموذج كلود من أنثروبيك، مما سمح للمحتالين بسرقة الأموال دون الاعتماد على روابط التصيد الاحتيالي التقليدية أو الموافقات المشبوهة للمحفظة.
تتبعت شركة استخبارات البلوكشين 234 عقدًا تم نشرها من قبل الضحايا، على الرغم من أن الحملة أثرت على 224 شخصًا لأن بعض المشاركين أنشأوا أكثر من عقد واحد. وصلت الأموال المأخوذة عبر العقود في النهاية إلى ستة عناوين تجميع يسيطر عليها المشغلون.
بناءً على قيمة الإيثريوم وقت حدوث التحويلات، بلغت قيمة 274.6 إيثريوم المسروقة حوالي 517,000 دولار. قدرت TRM متوسط الخسارة بـ 1 إيثريوم لكل حادثة، مما يدل على أن الإجمالي لم يعتمد على ضحية كبيرة واحدة.
بدلاً من إرسال المستخدمين إلى صفحة تطلب الوصول الفوري إلى محافظهم، قدم المشغلون المخطط كعملية تعليمية. عثر الضحايا على مقاطع الفيديو، اتبعوا التعليمات، واتخذوا كل خطوة على السلسلة بأنفسهم.
حددت TRM تسعة دروس يوتيوب شبه متطابقة قدمت تحت هويات منشئي محتوى مختلفة. أعطت المضيفون الافتراضيون والتعليقات الصوتية المولدة بالذكاء الاصطناعي مقاطع الفيديو مظهر أدلة مستقلة، بينما وعد كل درس بمساعدة المشاهدين على إنشاء روبوت تحكيم عملات مشفرة مؤتمت بالكامل باستخدام كلود.
خلال مقاطع الفيديو، طُلب من المستخدمين نسخ الكود وفتح موقع ويب لمترجم (compiler) اختاره المقدم. قلّدت بعض المواقع تصميم Remix، وهي بيئة تطوير قائمة على المتصفح تُستخدم عادةً لكتابة ونشر عقود إيثريوم الذكية.
ثم قام الضحايا بربط محافظهم، وقاموا بتجميع ما بدا أنه برنامج تداول، ونشروا العقود الناتجة. ولأن المستخدمين بدأوا كل إجراء ووافقوا عليه، بدت المعاملات مختلفة عن الهجمات التي يطلب فيها موقع احتيالي سماحًا مباشرًا بالرمز المميز أو توقيعًا غير واضح.
تمويل العقود المنشورة حديثًا أكمل الفخ. اعتقد المستخدمون أنهم كانوا يزودون الروبوت برأس مال لاستغلال فروق الأسعار بين أماكن التداول، لكن TRM لم تجد أي نظام تحكيم أو وظيفة ذكاء اصطناعي في نسخة العقد الخبيثة التي فحصتها.
في إحدى نسخ المخطط، تجاهل نص برمجي خلفي الكود المصدري الذي لصقه الضحايا في المترجم. استرجع الموقع بدلاً من ذلك عقدًا منفصلاً من خادم يديره المحتالون وأعد البديل للنشر.
ونتيجة لذلك، لم يتم وضع الكود النظيف المعروض في المتصفح على السلسلة أبدًا. رأى الضحايا برنامجًا واحدًا على شاشاتهم بينما قامت محافظهم بنشر برنامج آخر، مما منعهم من التحقق من العقد الحقيقي من خلال فحص بصري لنافذة المترجم وحدها.
يمكن للعقد البديل قبول ودائع الإيثريوم، مما يطابق السلوك المتوقع لروبوت تداول يحتاج إلى أموال للعمل. بمجرد أن يتجاوز رصيده 0.05 إيثريوم، تم تعيين العقد لتحويل الأموال إلى عنوان يسيطر عليه المشغلون عندما يختار المستخدم إما وظيفة "بدء" أو "سحب".
وبالتالي، خدم الزران الغرض نفسه على الرغم من حمل تسميات مرتبطة بضوابط الروبوت العادية. لم يؤد الضغط على "بدء" إلى تنشيط استراتيجية تداول، بينما لم يؤد الضغط على "سحب" إلى إعادة الأموال المودعة إلى المستخدم.
لم يتفاعل أي نموذج ذكاء اصطناعي مع العقد المنشور، وفقًا لنتائج TRM. شكلت علامة "كلود" التجارية جزءًا من العرض الترويجي، بينما تلقى الكود الموجود على السلسلة الودائع فقط وحرك الأرصدة المؤهلة إلى المحتالين.
قللت هذه الطريقة أيضًا من فرصة أن تعترض حماية المحفظة الشائعة العملية. يمكن للمحفظة أن تُظهر بدقة أن مالكها يقوم بنشر عقد، وإرسال الإيثريوم إليه، ثم استدعاء إحدى وظائفه، ومع ذلك، لا تزال تفتقر إلى السياق اللازم لتحديد أن الدرس والمترجم قد حرفا الكود.
تعتمد حملات التصيد الاحتيالي التقليدية للعملات المشفرة غالبًا على النطاقات المنسوخة، أو نتائج البحث المسمومة، أو المطالبات التي تطلب أذونات رمزية واسعة. يمكن أن تحدد القوائم السوداء ومحاكاة المحافظ أحيانًا عنوانًا خبيثًا معروفًا، أو نطاقًا مخادعًا، أو معاملة تمنح المهاجم التحكم في الأصول الموجودة.
استخدمت عملية روبوت التداول بالذكاء الاصطناعي مسارًا مختلفًا لأن كل ضحية أصبح ناشرًا لعقد تم إنشاؤه حديثًا. لن يظهر عنوان جديد بالضرورة في قائمة سوداء موجودة، وأذن مالك المحفظة بمعاملات النشر والتمويل دون تسليم عبارة الاسترداد.
في يوليو، أوضح موقع crypto.news كيف يسيء "الساحبون" استخدام أذونات البلوكشين المشروعة. غالبًا ما تقنع هذه الأدوات المستخدم بالموافقة على عقد خبيث، والذي يمكنه بعد ذلك تحويل الرموز المميزة بينما تعالج البلوكشين الإجراء على أنه مصرح به.
الحملة التي وصفتها TRM نقلت الخداع خطوة سابقة عن طريق التحكم في عملية توليد الكود ونشره. بدلاً من مطالبة الضحايا بالوثوق بعقد موجود، أقنعتهم الدروس بأنهم كانوا ينشئون البرنامج بأنفسهم.
أظهرت حالة تصيد احتيالي منفصلة لـ Hyperliquid في أغسطس كيف يمكن للإعلانات عبر الإنترنت أيضًا توجيه مستخدمي العملات المشفرة نحو بنية تحتية خبيثة. خسر أحد المستخدمين حوالي 550,000 دولار أمريكي من عملة USDC بعد أن أدت نتيجة بحث مدفوعة من جوجل إلى موقع Hyperliquid وهمي ربطته شركة الأمن Salus بنظام Inferno drainer.
قالت Salus إن البنية التحتية في تلك الحادثة قسمت الأموال المسروقة تلقائيًا بين العناوين المرتبطة بالعملية. ربط المحققون مجموعات ذات صلة بحوالي 52.74 مليون دولار من الخسائر، مما يوضح كيف يمكن للخدمات الخلفية التعامل مع السرقة، والمقايضات، والدمج، وتقاسم الإيرادات بينما يركز المشغلون المنفصلون على جذب الضحايا.
بالنسبة للمستخدمين في الولايات المتحدة، يقبل مركز شكاوى الجرائم عبر الإنترنت التابع لمكتب التحقيقات الفيدرالي (FBI) البلاغات المتعلقة باحتيال العملات المشفرة والجرائم الأخرى التي تعتمد على الإنترنت. يقول المكتب إن بيانات الشكاوى يمكن أن تساعد المحققين في تحديد الحالات المتصلة، وتتبع الأساليب الناشئة، وفي بعض الحالات، تجميد الأموال المسروقة.
سجل مكتب التحقيقات الفيدرالي 16.6 مليار دولار من الخسائر المبلغ عنها في جرائم الإنترنت خلال عام 2024، ارتفاعًا من 12.5 مليار دولار في عام 2023، وفقًا للأرقام التي نشرها المركز. تنصح الوكالة الضحايا بتقديم البلاغات حتى عندما يكونون غير متأكدين مما إذا كانت الشكوى تفي بفئة جريمة معينة لأن الإبلاغات قد يتم مشاركتها مع وكالات إنفاذ القانون الفيدرالية، والولائية، والمحلية، أو الدولية.
كما زادت مجموعات الأمن على السلسلة من تركيزها على الهجمات التي تستخدم إجراءات مستخدم صالحة لتنفيذ السرقة. في فبراير، دعمت مؤسسة الإيثريوم مهندسًا من تحالف الأمن مكلفًا بتتبع وتعطيل "ساحبي المحافظ" الذين يستهدفون مستخدمي الإيثريوم.
استشهد تحالف الأمن ببيانات تضع الخسائر المتعلقة بالساحبين عند 84 مليون دولار في عام 2025، وهو أدنى مستوى مسجل. تتضمن شبكته الأمنية MetaMask، Phantom، WalletConnect، و Backpack، التي تشارك معلومات التهديد المصممة لتحديد حملات التصيد الاحتيالي والبنى التحتية الخبيثة الأخرى.
ETH
