Un faux tutoriel de robot de trading IA piège 224 victimes et leur fait déployer des contrats malveillants

Le 14 septembre, la société de renseignement blockchain TRM Labs a publié un rapport révélant que de faux tutoriels YouTube ont attiré 224 victimes pour qu'elles déploient et financent des contrats intelligents malveillants sous couvert de créer des robots d'arbitrage crypto basés sur l'IA, entraînant le vol de 274,6 ETH. TRM a identifié au total 234 contrats déployés par les victimes, les fonds aboutissant finalement à six adresses de collecte contrôlées par les opérateurs. Les ETH volés valaient environ 517 000 $ au moment du transfert, avec une perte médiane de 1 ETH par incident. Contrairement aux attaques courantes de vol de portefeuille, cette arnaque n'impliquait ni liens de phishing, ni domaines usurpés, ni invites d'autorisation malveillantes. Les victimes ont choisi elles-mêmes les tutoriels, copié le code, déployé les contrats et les ont financés depuis leurs propres portefeuilles, chaque étape étant autorisée par les victimes elles-mêmes. Par conséquent, les avertissements de sécurité des portefeuilles et les listes noires de phishing n'ont pas pu être déclenchés. TRM a découvert neuf tutoriels YouTube presque identiques déguisés en différents créateurs, utilisant des hôtes virtuels et des voix off générés par IA, promettant de créer des robots de trading crypto entièrement automatisés avec Claude, et guidant les victimes vers un site web de compilateur contrôlé par les opérateurs, dont certains imitaient l'environnement de développement Remix couramment utilisé. Dans une variante analysée par TRM, un script backend rejetait le code source collé par les victimes et récupérait un autre contrat depuis le serveur de l'opérateur, le code propre affiché à l'écran n'étant jamais mis sur la chaîne. Le contrat remplacé acceptait les dépôts et transférait tout solde supérieur à 0,05 ETH aux opérateurs lorsque les victimes appuyaient sur Start ou Withdraw, aucune logique d'arbitrage ni fonctionnalité d'IA n'étant incluse dans le contrat.