De faux tutoriels YouTube faisant la promotion de bots d'arbitrage crypto alimentés par l'IA ont piégé 224 victimes en les amenant à déployer des contrats intelligents malveillants qui ont volé 274,6 ETH d'une valeur d'environ 517 000 $.
Résumé
- Neuf vidéos YouTube similaires ont dirigé les utilisateurs vers des compilateurs contrôlés par les opérateurs de l'arnaque.
- Les victimes ont déployé 234 contrats et les ont financés via des transactions qu'elles ont elles-mêmes approuvées.
- Un backend malveillant a remplacé le code montré aux utilisateurs par des contrats conçus pour voler de l'ETH.
- Les fonds volés ont été transférés vers six adresses de collecte, la victime médiane perdant 1 ETH.
TRM Labs a déclaré dans un rapport du 14 septembre que l'opération déguisait des contrats Ethereum malveillants en outils de trading automatisés construits avec Claude d'Anthropic, permettant aux escrocs de voler des fonds sans recourir à des liens de phishing conventionnels ou à des approbations de portefeuille suspectes.
La société d'intelligence blockchain a tracé 234 contrats déployés par les victimes, bien que la campagne ait touché 224 personnes car certains participants ont créé plus d'un contrat. Les fonds prélevés via les contrats ont finalement atteint six adresses de collecte contrôlées par les opérateurs.
Sur la base de la valeur de l'ETH au moment des transferts, les 274,6 ETH volés valaient environ 517 000 $. TRM a calculé une perte médiane de 1 ETH par incident, montrant que le total ne dépendait pas d'une seule grande victime.
De faux tutoriels de bots de trading IA ont transformé les victimes en déployeurs de contrats
Plutôt que d'envoyer les utilisateurs vers une page qui demandait immédiatement l'accès à leurs portefeuilles, les opérateurs ont présenté le stratagème comme un processus éducatif. Les victimes ont trouvé les vidéos, suivi les instructions et ont elles-mêmes effectué chaque étape onchain.
TRM a identifié neuf tutoriels YouTube presque identiques présentés sous différentes identités de créateurs. Des hôtes virtuels et des voix off générés par IA donnaient aux vidéos l'apparence de guides indépendants, tandis que chaque tutoriel promettait d'aider les spectateurs à créer un bot d'arbitrage crypto entièrement automatisé utilisant Claude.
Pendant les vidéos, les utilisateurs étaient invités à copier du code et à ouvrir un site Web de compilateur sélectionné par le présentateur. Certains des sites Web copiaient le design de Remix, un environnement de développement basé sur navigateur couramment utilisé pour écrire et déployer des contrats intelligents Ethereum.
Les victimes connectaient ensuite leurs portefeuilles, compilaient ce qui semblait être un logiciel de trading et déployaient les contrats résultants. Parce que les utilisateurs initiaient et approuvaient chaque action, les transactions semblaient différentes des attaques dans lesquelles un site frauduleux demande une allocation directe de jetons ou une signature peu claire.
Le financement des contrats nouvellement déployés complétait le piège. Les utilisateurs croyaient fournir du capital que le bot utiliserait pour exploiter les différences de prix entre les plateformes de trading, mais TRM n'a trouvé aucun système d'arbitrage ni fonction IA dans la variante de contrat malveillant qu'il a examinée.
Les contrats malveillants drainaient les dépôts supérieurs à 0,05 ETH
Dans une version du stratagème, un script backend ignorait le code source que les victimes collaient dans le compilateur. Le site Web récupérait plutôt un contrat distinct depuis un serveur exploité par les escrocs et préparait le remplacement pour le déploiement.
En conséquence, le code propre affiché dans le navigateur n'a jamais été placé onchain. Les victimes voyaient un programme sur leurs écrans tandis que leurs portefeuilles en déployaient un autre, les empêchant de vérifier le vrai contrat par un simple contrôle visuel de la fenêtre du compilateur.
Le contrat de remplacement pouvait accepter des dépôts en ETH, correspondant au comportement attendu d'un bot de trading qui avait besoin de fonds pour fonctionner. Une fois son solde dépassé 0,05 ETH, cependant, le contrat était configuré pour transférer l'argent vers une adresse contrôlée par les opérateurs lorsque l'utilisateur sélectionnait la fonction Start ou Withdraw.
Les deux boutons servaient donc le même objectif malgré des libellés associés à des commandes normales de bot. Appuyer sur Start n'activait pas de stratégie de trading, tandis qu'appuyer sur Withdraw ne rendait pas les fonds déposés à l'utilisateur.
Aucun modèle d'IA n'interagissait avec le contrat déployé, selon les conclusions de TRM. L'image de marque Claude faisait partie de l'argumentaire de vente, tandis que le code onchain ne recevait que des dépôts et transférait les soldes éligibles aux escrocs.
La méthode réduisait également la probabilité que les protections courantes des portefeuilles interrompent le processus. Un portefeuille pouvait montrer avec précision que son propriétaire déployait un contrat, lui envoyait des ETH et appelait ensuite l'une de ses fonctions, tout en manquant du contexte nécessaire pour déterminer que le tutoriel et le compilateur avaient présenté le code de manière trompeuse.
Une arnaque de bot de trading IA contourne les défenses anti-hameçonnage courantes
Les campagnes d'hameçonnage crypto traditionnelles dépendent souvent de domaines copiés, de résultats de recherche empoisonnés ou d'invites demandant de larges autorisations de jetons. Les listes de blocage et les simulations de portefeuille peuvent parfois identifier une adresse malveillante connue, un domaine trompeur ou une transaction accordant à un attaquant le contrôle d'actifs existants.
L'opération de bot de trading IA utilisait un chemin différent car chaque victime devenait le déployeur d'un contrat nouvellement créé. Une adresse fraîche n'apparaîtrait pas nécessairement sur une liste noire existante, et le propriétaire du portefeuille autorisait les transactions de déploiement et de financement sans céder de phrase de récupération.
En juillet, crypto.news expliquait comment les drainers abusent couramment des autorisations légitimes de la blockchain. Ces outils convainquent souvent un utilisateur d'approuver un contrat malveillant, qui peut ensuite transférer des jetons tandis que la blockchain traite l'action comme autorisée.
La campagne décrite par TRM déplaçait la tromperie une étape plus tôt en contrôlant le processus de génération de code et de déploiement. Au lieu de demander aux victimes de faire confiance à un contrat existant, les tutoriels les convainquaient qu'elles créaient elles-mêmes le logiciel.
Un cas d'hameçonnage Hyperliquid distinct en août a montré comment la publicité en ligne peut également diriger les utilisateurs de crypto vers une infrastructure malveillante. Un utilisateur a perdu environ 550 000 USDC après qu'un résultat Google sponsorisé a conduit à un faux site Web Hyperliquid lié par la société de sécurité Salus à l'écosystème du drainer Inferno.
Salus a déclaré que l'infrastructure dans cet incident divisait automatiquement les fonds volés entre des adresses connectées à l'opération. Les enquêteurs ont lié des groupes apparentés à environ 52,74 millions de dollars de pertes, montrant comment les services backend peuvent gérer le vol, les échanges, la consolidation et le partage des revenus tandis que des opérateurs distincts se concentrent sur l'attraction des victimes.
Les utilisateurs américains peuvent signaler les pertes crypto via le FBI
Pour les utilisateurs américains, le Centre de plaintes pour crimes sur Internet du FBI accepte les signalements impliquant la fraude aux cryptomonnaies et d'autres crimes cybernétiques. Le bureau indique que les données de plainte peuvent aider les enquêteurs à identifier des affaires liées, à suivre les méthodes émergentes et, dans certaines situations, à geler les fonds volés.
Le FBI a enregistré 16,6 milliards de dollars de pertes signalées pour des crimes sur Internet en 2024, contre 12,5 milliards de dollars en 2023, selon les chiffres publiés par le centre. L'agence conseille aux victimes de déposer des rapports même lorsqu'elles ne sont pas sûres qu'une plainte relève d'une catégorie de crime spécifique, car les soumissions peuvent être partagées avec des agences d'application de la loi fédérales, étatiques, locales ou internationales.
Les groupes de sécurité onchain ont également accru leur attention sur les attaques qui utilisent des actions valides de l'utilisateur pour exécuter un vol. En février, la Fondation Ethereum a soutenu un ingénieur de la Security Alliance chargé de suivre et de perturber les drainers de portefeuilles ciblant les utilisateurs d'Ethereum.
La Security Alliance a cité des données plaçant les pertes liées aux drainers à 84 millions de dollars en 2025, le niveau le plus bas jamais enregistré. Son réseau de sécurité comprend MetaMask, Phantom, WalletConnect et Backpack, qui partagent des renseignements sur les menaces conçus pour identifier les campagnes d'hameçonnage et autres infrastructures malveillantes.
