Tutoriale false pe YouTube care promovează roboți de arbitraj crypto bazați pe inteligență artificială au păcălit 224 de victime să implementeze contracte inteligente malițioase care au furat 274,6 ETH în valoare de aproximativ 517.000 de dolari.
TRM Labs a declarat într-un raport din 14 septembrie că operațiunea a deghizat contracte Ethereum malițioase sub forma unor instrumente de tranzacționare automate construite cu Claude de la Anthropic, permițând escrocilor să fure fonduri fără a se baza pe linkuri de phishing convenționale sau pe aprobări suspecte ale portofelului.
Firma de inteligență blockchain a urmărit 234 de contracte implementate de victime, deși campania a afectat 224 de persoane, deoarece unii participanți au creat mai mult de un contract. Fondurile luate prin contracte au ajuns în cele din urmă la șase adrese de colectare controlate de operatori.
Pe baza valorii ETH la momentul transferurilor, cele 274,6 ETH furate valorau aproximativ 517.000 de dolari. TRM a calculat o pierdere mediană de 1 ETH per incident, arătând că totalul nu a depins de o singură victimă mare.
În loc să trimită utilizatorii către o pagină care solicita imediat acces la portofelele lor, operatorii au prezentat schema ca un proces educațional. Victimele au găsit videoclipurile, au urmat instrucțiunile și au parcurs fiecare pas onchain singure.
TRM a identificat nouă tutoriale YouTube aproape identice, prezentate sub identități diferite de creatori. Gazde virtuale generate de AI și voci în off au dat videoclipurilor aparența unor ghiduri independente, în timp ce fiecare tutorial promitea să-i ajute pe spectatori să creeze un robot de arbitraj crypto complet automatizat folosind Claude.
În timpul videoclipurilor, utilizatorilor li s-a spus să copieze codul și să deschidă un site web de compilator selectat de prezentator. Unele dintre site-uri au copiat designul Remix, un mediu de dezvoltare bazat pe browser, utilizat frecvent pentru scrierea și implementarea contractelor inteligente Ethereum.
Victimele și-au conectat apoi portofelele, au compilat ceea ce părea a fi un software de tranzacționare și au implementat contractele rezultate. Deoarece utilizatorii au inițiat și aprobat fiecare acțiune, tranzacțiile au arătat diferit față de atacurile în care un site fraudulos cere o alocație directă de token sau o semnătură neclară.
Finanțarea contractelor nou implementate a completat capcana. Utilizatorii credeau că furnizează capital pe care robotul îl va folosi pentru a exploata diferențele de preț între locurile de tranzacționare, dar TRM nu a găsit niciun sistem de arbitraj sau funcție AI în varianta de contract malițios pe care a examinat-o.
Într-o versiune a schemei, un script de backend a ignorat codul sursă pe care victimele l-au lipit în compilator. Site-ul web a recuperat în schimb un contract separat de pe un server operat de escroci și a pregătit înlocuitorul pentru implementare.
Drept urmare, codul curat afișat în browser nu a fost niciodată plasat onchain. Victimele au văzut un program pe ecranele lor în timp ce portofelele lor implementau altul, împiedicându-le să verifice contractul real printr-o simplă verificare vizuală a ferestrei compilatorului.
Contractul de înlocuire putea accepta depozite de ETH, corespunzând comportamentului așteptat al unui robot de tranzacționare care avea nevoie de fonduri pentru a opera. Odată ce soldul său depășea 0,05 ETH, contractul era însă setat să transfere banii către o adresă controlată de operatori atunci când utilizatorul selecta funcția Start sau Withdraw.
Ambele butoane serveau, prin urmare, același scop, în ciuda faptului că purtau etichete asociate cu controalele normale ale roboților. Apăsarea butonului Start nu activa o strategie de tranzacționare, în timp ce apăsarea butonului Withdraw nu returna fondurile depuse utilizatorului.
Niciun model AI nu a interacționat cu contractul implementat, conform constatărilor TRM. Brandingul Claude a făcut parte din prezentarea de vânzare, în timp ce codul onchain doar primea depozite și muta soldurile calificate către escroci.
Metoda a redus, de asemenea, șansa ca protecțiile comune ale portofelelor să întrerupă procesul. Un portofel putea arăta cu precizie că proprietarul său implementa un contract, îi trimitea ETH și, ulterior, apela una dintre funcțiile sale, dar totuși îi lipsea contextul necesar pentru a determina că tutorialul și compilatorul au denaturat codul.
Campaniile tradiționale de phishing crypto depind adesea de domenii copiate, rezultate de căutare falsificate sau solicitări care cer permisiuni largi pentru token-uri. Listele negre și simulările de portofel pot identifica uneori o adresă malițioasă cunoscută, un domeniu înșelător sau o tranzacție care acordă unui atacator controlul asupra activelor existente.
Operațiunea cu roboți de tranzacționare AI a folosit o cale diferită, deoarece fiecare victimă a devenit implementatorul unui contract nou creat. O adresă nouă nu ar apărea neapărat pe o listă neagră existentă, iar proprietarul portofelului a autorizat implementarea și tranzacțiile de finanțare fără a preda o frază de recuperare (seed phrase).
În iulie, crypto.news a explicat cum „drainerii” (software-uri de drenaj) abuzează în mod obișnuit permisiunile legitime ale blockchain-ului. Astfel de instrumente conving adesea un utilizator să aprobe un contract malițios, care poate apoi transfera token-uri în timp ce blockchain-ul procesează acțiunea ca fiind autorizată.
Campania descrisă de TRM a mutat înșelăciunea cu un pas mai devreme, controlând procesul de generare și implementare a codului. În loc să ceară victimelor să aibă încredere într-un contract existent, tutorialele le-au convins că ele însele creau software-ul.
Un caz separat de phishing Hyperliquid din august a arătat cum publicitatea online poate direcționa, de asemenea, utilizatorii crypto către o infrastructură malițioasă. Un utilizator a pierdut aproximativ 550.000 USDC după ce un rezultat sponsorizat de Google a dus la un site web Hyperliquid fals, legat de firma de securitate Salus de ecosistemul de „drainer” Inferno.
Salus a declarat că infrastructura în acel incident a împărțit automat fondurile furate între adresele conectate la operațiune. Anchetatorii au legat grupuri conexe de pierderi de aproximativ 52,74 milioane de dolari, arătând cum serviciile de backend pot gestiona furtul, schimburile, consolidarea și împărțirea veniturilor, în timp ce operatori separați se concentrează pe atragerea victimelor.
Pentru utilizatorii din SUA, Centrul de Reclamații pentru Infracțiuni pe Internet al FBI acceptă rapoarte privind frauda cu criptomonede și alte infracțiuni cibernetice. Biroul spune că datele din reclamații pot ajuta investigatorii să identifice cazuri conexe, să urmărească metodele emergente și, în unele situații, să înghețe fondurile furate.
FBI a înregistrat pierderi raportate de 16,6 miliarde de dolari din infracțiuni pe internet în 2024, în creștere de la 12,5 miliarde de dolari în 2023, conform cifrelor publicate de centru. Agenția sfătuiește victimele să depună rapoarte chiar și atunci când nu sunt sigure dacă o reclamație se încadrează într-o anumită categorie de infracțiuni, deoarece sesizările pot fi împărtășite cu agențiile federale, de stat, locale sau internaționale de aplicare a legii.
Grupurile de securitate onchain și-au intensificat, de asemenea, atenția asupra atacurilor care utilizează acțiuni valide ale utilizatorilor pentru a executa furtul. În februarie, Fundația Ethereum a susținut un inginer al Alianței de Securitate însărcinat să urmărească și să perturbe „drainerii” de portofele care vizează utilizatorii Ethereum.
Alianța de Securitate a citat date care plasează pierderile legate de „draineri” la 84 de milioane de dolari în 2025, cel mai scăzut nivel înregistrat. Rețeaua sa de securitate include MetaMask, Phantom, WalletConnect și Backpack, care partajează informații despre amenințări concepute pentru a identifica campanii de phishing și alte infrastructuri malițioase.
ETH