บทเรียนปลอมสอนสร้างบอทเทรด AI หลอกเหยื่อ 224 รายให้ติดตั้งสัญญาอันตราย

เมื่อวันที่ 14 กันยายน บริษัทข่าวกรองบล็อกเชน TRM Labs ได้เผยแพร่รายงานเปิดเผยว่า บทเรียนปลอมบน YouTube หลอกล่อเหยื่อ 224 รายให้ติดตั้งและเติมเงินให้สัญญาอัจฉริยะอันตราย ภายใต้ข้ออ้างในการสร้างบอทเก็งกำไรคริปโตที่ใช้ AI ส่งผลให้มี ETH ถูกขโมยไป 274.6 ETH TRM ระบุสัญญาทั้งหมด 234 ฉบับที่เหยื่อติดตั้ง โดยเงินทุนไหลไปยังที่อยู่รับเงิน 6 แห่งที่ผู้ดำเนินการควบคุมอยู่ ETH ที่ถูกขโมยมีมูลค่าประมาณ 517,000 ดอลลาร์ ณ เวลาที่โอน โดยค่ามัธยฐานของการสูญเสียอยู่ที่ 1 ETH ต่อเหตุการณ์ ต่างจากการโจมตีขโมยกระเป๋าเงินทั่วไป การหลอกลวงนี้ไม่มีลิงก์ฟิชชิง โดเมนปลอม หรือข้อความขออนุญาตอันตราย เหยื่อเลือกบทเรียนด้วยตนเอง คัดลอกโค้ด ติดตั้งสัญญา และเติมเงินจากกระเป๋าเงินของตนเอง โดยทุกขั้นตอนได้รับการอนุญาตจากเหยื่อเอง ด้วยเหตุนี้คำเตือนความปลอดภัยของกระเป๋าเงินและบัญชีดำฟิชชิงจึงไม่สามารถทำงานได้ TRM ค้นพบบทเรียน YouTube เก้าแห่งที่เกือบเหมือนกัน ซึ่งปลอมตัวเป็นครีเอเตอร์ต่างกัน ใช้พิธีกรเสมือนและเสียงบรรยายที่สร้างโดย AI โดยสัญญาว่าจะสร้างบอทเทรดคริปโตอัตโนมัติเต็มรูปแบบด้วย Claude และนำเหยื่อไปยังเว็บไซต์คอมไพเลอร์ที่ผู้ดำเนินการควบคุม ซึ่งบางแห่งเลียนแบบสภาพแวดล้อมการพัฒนา Remix ที่ใช้กันทั่วไป ในรูปแบบหนึ่งที่ TRM วิเคราะห์ สคริปต์แบ็กเอนด์จะทิ้งซอร์สโค้ดที่เหยื่อวางไว้ และดึงสัญญาอีกฉบับจากเซิร์ฟเวอร์ของผู้ดำเนินการ โดยโค้ดที่สะอาดซึ่งแสดงบนหน้าจอไม่เคยถูกบันทึกบนเชน สัญญาที่ถูกแทนที่นั้นรับเงินฝากและโอนยอดคงเหลือใด ๆ ที่เกิน 0.05 ETH ให้ผู้ดำเนินการเมื่อเหยื่อกด Start หรือ Withdraw โดยไม่มีตรรกะการเก็งกำไรหรือฟังก์ชัน AI ใด ๆ รวมอยู่ในสัญญา