偽AI取引ロボットのチュートリアル、224人を欺き悪意あるコントラクトを配備させる

9月14日、ブロックチェーンインテリジェンス企業TRM Labsは報告書を公開し、偽のYouTubeチュートリアルがAIベースの暗号資産アービトラージボットの構築を装って224人の被害者を誘導し、悪意あるスマートコントラクトを配備・資金提供させ、274.6 ETHが盗まれたことを明らかにした。TRMは被害者によって配備された合計234件のコントラクトを特定し、資金は最終的に運営者が管理する6つの回収アドレスに流れた。盗まれたETHは送金時点で約51万7000ドル相当で、1件あたりの損失額の中央値は1 ETHだった。一般的なウォレット盗難攻撃とは異なり、この詐欺にはフィッシングリンク、偽装ドメイン、悪意ある承認プロンプトは含まれていなかった。被害者は自らチュートリアルを選び、コードをコピーし、コントラクトを配備し、自分のウォレットから資金を提供しており、各ステップは被害者自身が承認したものだった。その結果、ウォレットのセキュリティ警告やフィッシングブラックリストは作動しなかった。TRMは、異なる作成者を装ったほぼ同一のYouTubeチュートリアルを9件発見した。これらはAI生成のバーチャルホストとナレーションを使用し、Claudeを使った完全自動の暗号資産取引ボットの構築を約束し、被害者を運営者が管理するコンパイラサイトへ誘導していた。その一部は一般的に使用されるRemix開発環境を模倣していた。TRMが分析したある変種では、バックエンドスクリプトが被害者の貼り付けたソースコードを破棄し、運営者のサーバーから別のコントラクトを取得しており、画面に表示されたクリーンなコードがオンチェーンに載ることはなかった。置き換えられたコントラクトは入金を受け付け、被害者がStartまたはWithdrawを押すと0.05 ETHを超える残高を運営者に送金した。コントラクトにはアービトラージロジックやAI機能は含まれていなかった。