Фейкові підручники на YouTube, які рекламували криптоарбітражних ботів на базі ШІ, обманули 224 жертви, змусивши їх розгорнути шкідливі смарт-контракти, які викрали 274,6 ETH вартістю близько 517 000 доларів.
Резюме
- Дев'ять схожих відео на YouTube направляли користувачів до компіляторів, контрольованих шахраями.
- Жертви розгорнули 234 контракти та поповнили їх через транзакції, які вони самі схвалили.
- Шкідливий бекенд замінив код, показаний користувачам, на контракти, призначені для викрадення ETH.
- Викрадені кошти переміщено на шість адрес збору, при цьому медіанна втрата на жертву становила 1 ETH.
TRM Labs у звіті від 14 вересня повідомила, що операція маскувала шкідливі контракти Ethereum під автоматизовані торгові інструменти, створені за допомогою Claude від Anthropic, що дозволило шахраям викрадати кошти, не покладаючись на звичайні фішингові посилання чи підозрілі схвалення гаманців.
Фірма з блокчейн-аналітики відстежила 234 контракти, розгорнуті жертвами, хоча кампанія торкнулася 224 осіб, оскільки деякі учасники створили більше одного контракту. Кошти, отримані через контракти, зрештою надійшли на шість адрес збору, контрольованих операторами.
Виходячи з вартості ETH на момент переказів, викрадені 274,6 ETH коштували приблизно 517 000 доларів. TRM розрахувала медіанну втрату в 1 ETH на інцидент, що показує, що загальна сума не залежала від однієї великої жертви.
Фейкові підручники з торгових ботів на базі ШІ перетворили жертв на розгортачів контрактів
Замість того, щоб направляти користувачів на сторінку, яка негайно запитувала доступ до їхніх гаманців, оператори представили схему як освітній процес. Жертви знаходили відео, дотримувалися інструкцій і самостійно виконували кожен крок у блокчейні.
TRM виявила дев'ять майже ідентичних підручників на YouTube, представлених під різними ідентичностями творців. Віртуальні ведучі та озвучення, згенеровані ШІ, надавали відео вигляду незалежних посібників, тоді як кожен підручник обіцяв допомогти глядачам створити повністю автоматизованого криптоарбітражного бота за допомогою Claude.
Під час відео користувачам казали скопіювати код і відкрити веб-сайт компілятора, обраний ведучим. Деякі з веб-сайтів копіювали дизайн Remix, широко використовуваного браузерного середовища розробки для написання та розгортання смарт-контрактів Ethereum.
Потім жертви підключали свої гаманці, компілювали те, що виглядало як торгове програмне забезпечення, і розгортали отримані контракти. Оскільки користувачі ініціювали та схвалювали кожну дію, транзакції виглядали інакше, ніж атаки, в яких шахрайський сайт запитує пряме дозвіл на токени або незрозумілий підпис.
Поповнення новостворених контрактів завершило пастку. Користувачі вважали, що надають капітал, який бот використає для використання різниці цін між торговими майданчиками, але TRM не виявила жодної арбітражної системи чи функції ШІ у дослідженому варіанті шкідливого контракту.
Шкідливі контракти викрадали депозити понад 0,05 ETH
В одній версії схеми бекенд-скрипт ігнорував вихідний код, який жертви вставляли в компілятор. Замість цього веб-сайт отримував окремий контракт із сервера, керованого шахраями, і готував заміну для розгортання.
Як результат, чистий код, відображений у браузері, ніколи не потрапляв у блокчейн. Жертви бачили одну програму на своїх екранах, тоді як їхні гаманці розгортали іншу, що заважало їм перевірити справжній контракт лише за допомогою візуальної перевірки вікна компілятора.
Контракт-заміна міг приймати депозити ETH, відповідаючи очікуваній поведінці торгового бота, який потребував коштів для роботи. Однак, коли його баланс перевищував 0,05 ETH, контракт було налаштовано переказувати гроші на адресу, контрольовану операторами, коли користувач вибирав функцію Start або Withdraw.
Таким чином, обидві кнопки слугували одній меті, незважаючи на те, що мали позначки, пов'язані зі звичайними елементами керування бота. Натискання Start не активувало торгову стратегію, а натискання Withdraw не повертало депоновані кошти користувачеві.
Згідно з висновками TRM, жодна модель ШІ не взаємодіяла з розгорнутим контрактом. Брендування Claude було частиною рекламної презентації, тоді як код у блокчейні лише приймав депозити та переказував відповідні баланси шахраям.
Цей метод також зменшував імовірність того, що звичайні засоби захисту гаманця перервуть процес. Гаманець міг точно показати, що його власник розгортає контракт, надсилає до нього ETH і згодом викликає одну з його функцій, але все одно не мав контексту, потрібного для визначення того, що посібник і компілятор викривили код.
Шахрайство з торгівельним ботом на базі ШІ обійшло звичайні засоби захисту від фішингу
Традиційні кампанії криптофішингу часто покладаються на скопійовані домени, отруєні результати пошуку або запити, що вимагають широких дозволів на токени. Чорні списки та симуляції гаманців іноді можуть виявити відому шкідливу адресу, оманливий домен або транзакцію, яка надає зловмиснику контроль над наявними активами.
Операція з торгівельним ботом на базі ШІ використовувала інший шлях, оскільки кожна жертва ставала розгортачем щойно створеного контракту. Свіжа адреса не обов’язково з’являлася в наявному чорному списку, і власник гаманця авторизував транзакції розгортання та фінансування, не віддаючи сід-фразу.
У липні crypto.news пояснив, як дренажні програми зазвичай зловживають законними дозволами блокчейну. Такі інструменти часто переконують користувача схвалити шкідливий контракт, який потім може переказувати токени, тоді як блокчейн обробляє дію як авторизовану.
Кампанія, описана TRM, перемістила обман на один крок раніше, контролюючи процес генерації коду та розгортання. Замість того щоб просити жертв довіряти наявному контракту, посібники переконували їх, що вони самі створюють програмне забезпечення.
Окремий випадок фішингу Hyperliquid у серпні показав, як онлайн-реклама також може спрямовувати криптокористувачів до шкідливої інфраструктури. Один користувач втратив близько 550 000 USDC після того, як спонсорований результат Google привів до фальшивого вебсайту Hyperliquid, який фірма з безпеки Salus пов’язала з екосистемою дренажної програми Inferno.
Salus заявила, що інфраструктура в тому інциденті автоматично розподіляла викрадені кошти між адресами, пов’язаними з операцією. Слідчі пов’язали відповідні групи з приблизно 52,74 мільйона доларів збитків, показуючи, як бекенд-сервіси можуть обробляти крадіжку, обмін, консолідацію та розподіл доходу, тоді як окремі оператори зосереджуються на залученні жертв.
Користувачі зі США можуть повідомляти про криптовтрати через ФБР
Для користувачів зі США Центр скарг на інтернет-злочини ФБР приймає повідомлення, що стосуються шахрайства з криптовалютою та інших кіберзлочинів. Бюро заявляє, що дані скарг можуть допомогти слідчим виявити пов’язані справи, відстежити нові методи та, у деяких ситуаціях, заморозити викрадені кошти.
ФБР зафіксувало 16,6 мільярда доларів заявлених збитків від інтернет-злочинів протягом 2024 року, порівняно з 12,5 мільярда доларів у 2023 році, згідно з даними, опублікованими центром. Агентство радить жертвам подавати повідомлення навіть тоді, коли вони не впевнені, чи скарга належить до конкретної категорії злочинів, оскільки подані матеріали можуть бути передані федеральним, штатним, місцевим або міжнародним правоохоронним органам.
Групи ончейн-безпеки також посилили увагу до атак, які використовують легітимні дії користувачів для здійснення крадіжки. У лютому Ethereum Foundation підтримала інженера Security Alliance, призначеного відстежувати та перешкоджати дренажним програмам гаманців, націленим на користувачів Ethereum.
Security Alliance навела дані, які оцінюють збитки, пов’язані з дренажними програмами, у 84 мільйони доларів у 2025 році — найнижчий рівень за всю історію. Її мережа безпеки включає MetaMask, Phantom, WalletConnect і Backpack, які обмінюються розвідданими про загрози, призначеними для виявлення фішингових кампаній та іншої шкідливої інфраструктури.
