Tutoriales falsos de robots de trading con IA estafan a 224 víctimas y las llevan a desplegar contratos maliciosos

El 14 de septiembre, la empresa de inteligencia blockchain TRM Labs publicó un informe que revela que tutoriales falsos de YouTube atrajeron a 224 víctimas para que desplegaran y financiaran contratos inteligentes maliciosos bajo la apariencia de crear bots de arbitraje de criptomonedas basados en IA, lo que resultó en el robo de 274,6 ETH. TRM identificó un total de 234 contratos desplegados por las víctimas, cuyos fondos acabaron fluyendo a seis direcciones de recolección controladas por los operadores. Los ETH robados tenían un valor aproximado de 517.000 dólares en el momento de la transferencia, con una pérdida media de 1 ETH por incidente. A diferencia de los ataques comunes de robo de carteras, esta estafa no implicaba enlaces de phishing, dominios falsificados ni solicitudes de autorización maliciosas. Las víctimas eligieron los tutoriales por sí mismas, copiaron el código, desplegaron los contratos y los financiaron desde sus propias carteras, con cada paso autorizado por las propias víctimas. Como resultado, las advertencias de seguridad de las carteras y las listas negras de phishing no pudieron activarse. TRM descubrió nueve tutoriales de YouTube casi idénticos disfrazados de diferentes creadores, que utilizaban anfitriones virtuales y locuciones generadas por IA, prometían crear bots de trading de criptomonedas totalmente automatizados con Claude y guiaban a las víctimas a un sitio web compilador controlado por los operadores, algunos de los cuales imitaban el entorno de desarrollo Remix de uso común. En una variante analizada por TRM, un script de backend descartaba el código fuente pegado por las víctimas y recuperaba otro contrato del servidor del operador, con el código limpio mostrado en pantalla que nunca llegaba a la cadena. El contrato sustituido aceptaba depósitos y transfería cualquier saldo superior a 0,05 ETH a los operadores cuando las víctimas pulsaban Start o Withdraw, sin que el contrato incluyera lógica de arbitraje ni funcionalidad de IA.