آموزش‌های جعلی یوتیوب که ربات‌های آربیتراژ ارز دیجیتال مبتنی بر هوش مصنوعی را تبلیغ می‌کردند، ۲۲۴ قربانی را فریب داده‌اند تا قراردادهای هوشمند مخربی را مستقر کنند که ۲۷۴.۶ اتریوم به ارزش تقریبی ۵۱۷,۰۰۰ دلار را سرقت کردند.

آزمایشگاه TRM در گزارشی به تاریخ ۱۴ سپتامبر اعلام کرد که این عملیات، قراردادهای مخرب اتریوم را به عنوان ابزارهای معاملاتی خودکار ساخته شده با Claude شرکت Anthropic، پنهان کرده بود و به کلاهبرداران اجازه می‌داد بدون اتکا به لینک‌های فیشینگ مرسوم یا تأییدیه‌های مشکوک کیف پول، وجوه را سرقت کنند.

این شرکت اطلاعاتی بلاکچین، ۲۳۴ قرارداد مستقر شده توسط قربانیان را ردیابی کرد، اگرچه این کمپین ۲۲۴ نفر را تحت تأثیر قرار داده بود زیرا برخی از شرکت‌کنندگان بیش از یک قرارداد ایجاد کرده بودند. وجوهی که از طریق این قراردادها به دست آمده بود، در نهایت به شش آدرس جمع‌آوری که توسط کلاهبرداران کنترل می‌شد، رسید.

بر اساس ارزش اتریوم در زمان انتقال، ۲۷۴.۶ اتریوم سرقت شده تقریباً ۵۱۷,۰۰۰ دلار ارزش داشت. TRM میانگین از دست دادن ۱ اتریوم را برای هر حادثه محاسبه کرد که نشان می‌دهد مجموع سرقت به یک قربانی بزرگ واحد وابسته نبوده است.

آموزش‌های جعلی ربات معاملاتی هوش مصنوعی، قربانیان را به استقرارکنندگان قرارداد تبدیل کرد

به جای ارسال کاربران به صفحه‌ای که بلافاصله درخواست دسترسی به کیف پول‌هایشان را می‌کرد، کلاهبرداران این طرح را به عنوان یک فرآیند آموزشی ارائه دادند. قربانیان ویدیوها را پیدا کردند، دستورالعمل‌ها را دنبال کردند و هر مرحله درون‌زنجیره‌ای را خودشان انجام دادند.

TRM نُه آموزش یوتیوب تقریباً یکسان را شناسایی کرد که تحت هویت‌های مختلف سازندگان ارائه شده بودند. میزبان‌های مجازی و صداگذاری‌های تولید شده با هوش مصنوعی، به ویدیوها ظاهر راهنماهای مستقل را می‌بخشیدند، در حالی که هر آموزش وعده می‌داد به بینندگان کمک کند تا یک ربات آربیتراژ ارز دیجیتال کاملاً خودکار با استفاده از Claude ایجاد کنند.

در طول ویدیوها، به کاربران گفته می‌شد که کدی را کپی کرده و یک وب‌سایت کامپایلر را که توسط ارائه‌دهنده انتخاب شده بود، باز کنند. برخی از این وب‌سایت‌ها طراحی Remix را کپی کرده بودند که یک محیط توسعه مبتنی بر مرورگر متداول برای نوشتن و استقرار قراردادهای هوشمند اتریوم است.

قربانیان سپس کیف پول‌های خود را متصل کردند، آنچه را که به نظر نرم‌افزار معاملاتی می‌رسید کامپایل کرده و قراردادهای حاصل را مستقر کردند. از آنجایی که کاربران هر اقدام را آغاز و تأیید می‌کردند، این تراکنش‌ها با حملاتی که در آنها یک سایت جعلی درخواست اجازه مستقیم توکن یا امضای نامشخصی را می‌کند، متفاوت به نظر می‌رسیدند.

تأمین مالی قراردادهای تازه مستقر شده، تله را کامل کرد. کاربران باور داشتند که در حال تأمین سرمایه‌ای هستند که ربات برای بهره‌برداری از تفاوت‌های قیمتی بین صرافی‌ها استفاده خواهد کرد، اما TRM هیچ سیستم آربیتراژ یا عملکرد هوش مصنوعی در گونه مخرب قراردادی که بررسی کرده بود، پیدا نکرد.

قراردادهای مخرب، واریزی‌های بالای 0.05 اتریوم را تخلیه کردند

در یک نسخه از این طرح، یک اسکریپت بک‌اند، کد منبعی را که قربانیان در کامپایلر چسبانده بودند، نادیده گرفت. وب‌سایت در عوض یک قرارداد جداگانه را از سروری که توسط کلاهبرداران اداره می‌شد، بازیابی کرده و جایگزین را برای استقرار آماده کرد.

در نتیجه، کد تمیزی که در مرورگر نمایش داده می‌شد، هرگز درون‌زنجیره‌ای قرار نگرفت. قربانیان یک برنامه را روی صفحه نمایش خود می‌دیدند در حالی که کیف پول‌هایشان برنامه دیگری را مستقر می‌کرد، و این امر از تأیید قرارداد واقعی تنها از طریق بررسی بصری پنجره کامپایلر جلوگیری می‌کرد.

قرارداد جایگزین می‌توانست واریزی‌های اتریوم را بپذیرد که با رفتار مورد انتظار یک ربات معاملاتی که برای کارکرد نیاز به وجوه داشت، مطابقت داشت. با این حال، به محض اینکه موجودی آن از 0.05 اتریوم فراتر می‌رفت، قرارداد طوری تنظیم شده بود که پول را به آدرسی که توسط کلاهبرداران کنترل می‌شد، منتقل کند، زمانی که کاربر یکی از توابع Start یا Withdraw را انتخاب می‌کرد.

بنابراین، هر دو دکمه علی‌رغم داشتن برچسب‌های مرتبط با کنترل‌های عادی ربات، یک هدف را دنبال می‌کردند. فشردن Start یک استراتژی معاملاتی را فعال نمی‌کرد، در حالی که فشردن Withdraw وجوه واریز شده را به کاربر باز نمی‌گرداند.

طبق یافته‌های TRM، هیچ مدل هوش مصنوعی با قرارداد مستقر شده تعامل نداشت. نام تجاری Claude بخشی از تبلیغات فروش بود، در حالی که کد درون‌زنجیره‌ای فقط واریزی‌ها را دریافت کرده و موجودی‌های واجد شرایط را به کلاهبرداران منتقل می‌کرد.

این روش همچنین احتمال اینکه محافظت‌های رایج کیف پول فرآیند را قطع کنند، کاهش داد. یک کیف پول می‌توانست به درستی نشان دهد که صاحب آن در حال استقرار یک قرارداد، ارسال اتریوم به آن و سپس فراخوانی یکی از توابع آن است، با این حال هنوز فاقد زمینه لازم برای تعیین اینکه آموزش و کامپایلر کد را به اشتباه نمایش داده‌اند، بود.

کلاهبرداری ربات معاملاتی هوش مصنوعی، از دفاعیات رایج فیشینگ عبور کرد

کمپین‌های فیشینگ سنتی ارز دیجیتال اغلب به دامنه‌های کپی شده، نتایج جستجوی آلوده یا درخواست‌هایی که مجوزهای گسترده توکن را می‌طلبند، وابسته هستند. لیست‌های سیاه و شبیه‌سازی‌های کیف پول گاهی اوقات می‌توانند یک آدرس مخرب شناخته شده، دامنه فریبنده یا تراکنشی را که به یک مهاجم کنترل بر دارایی‌های موجود را می‌دهد، شناسایی کنند.

عملیات ربات معاملاتی هوش مصنوعی مسیر متفاوتی را در پیش گرفت زیرا هر قربانی به استقرارکننده یک قرارداد تازه ایجاد شده تبدیل می‌شد. یک آدرس جدید لزوماً در یک لیست سیاه موجود ظاهر نمی‌شد، و صاحب کیف پول بدون تسلیم عبارت بازیابی (seed phrase)، تراکنش‌های استقرار و تأمین مالی را تأیید می‌کرد.

در ماه ژوئیه، crypto.news توضیح داد که چگونه درینرها (drainers) معمولاً از مجوزهای مشروع بلاکچین سوءاستفاده می‌کنند. چنین ابزارهایی اغلب کاربر را متقاعد می‌کنند تا یک قرارداد مخرب را تأیید کند، که سپس می‌تواند توکن‌ها را منتقل کند در حالی که بلاکچین این عمل را به عنوان مجاز پردازش می‌کند.

کمپینی که توسط TRM توصیف شد، با کنترل فرآیند تولید کد و استقرار، فریب را یک گام جلوتر برد. به جای اینکه از قربانیان بخواهد به یک قرارداد موجود اعتماد کنند، آموزش‌ها آنها را متقاعد کردند که خودشان در حال ایجاد نرم‌افزار هستند.

یک مورد فیشینگ جداگانه Hyperliquid در ماه اوت نشان داد که چگونه تبلیغات آنلاین نیز می‌توانند کاربران ارز دیجیتال را به سمت زیرساخت‌های مخرب هدایت کنند. یک کاربر پس از اینکه یک نتیجه اسپانسری گوگل او را به وب‌سایت جعلی Hyperliquid که توسط شرکت امنیتی Salus به اکوسیستم درینر Inferno مرتبط شده بود، هدایت کرد، حدود ۵۵۰,۰۰۰ USDC از دست داد.

Salus گفت که زیرساخت در آن حادثه به طور خودکار وجوه سرقت شده را بین آدرس‌های متصل به عملیات تقسیم می‌کرد. محققان گروه‌های مرتبط را به حدود ۵۲.۷۴ میلیون دلار ضرر مرتبط کردند که نشان می‌دهد چگونه خدمات بک‌اند می‌توانند سرقت، تبادلات، تجمیع و تقسیم درآمد را مدیریت کنند، در حالی که اپراتورهای جداگانه بر جذب قربانیان تمرکز دارند.

کاربران آمریکایی می‌توانند ضررهای ارز دیجیتال را از طریق FBI گزارش دهند

برای کاربران آمریکایی، مرکز شکایات جرایم اینترنتی FBI گزارش‌های مربوط به کلاهبرداری ارز دیجیتال و سایر جرایم سایبری را می‌پذیرد. این اداره می‌گوید که داده‌های شکایات می‌تواند به محققان کمک کند تا پرونده‌های مرتبط را شناسایی کنند، روش‌های نوظهور را دنبال کنند و در برخی شرایط، وجوه سرقت شده را مسدود کنند.

FBI در سال ۲۰۲۴، ۱۶.۶ میلیارد دلار ضرر گزارش شده از جرایم اینترنتی را ثبت کرد که نسبت به ۱۲.۵ میلیارد دلار در سال ۲۰۲۳ افزایش یافته است، طبق ارقام منتشر شده توسط این مرکز. این سازمان به قربانیان توصیه می‌کند حتی زمانی که مطمئن نیستند شکایتشان در یک دسته جرم خاص قرار می‌گیرد، گزارش دهند زیرا اطلاعات ارسالی ممکن است با آژانس‌های اجرای قانون فدرال، ایالتی، محلی یا بین‌المللی به اشتراک گذاشته شود.

گروه‌های امنیتی درون‌زنجیره‌ای نیز تمرکز خود را بر حملاتی که از اقدامات معتبر کاربران برای انجام سرقت استفاده می‌کنند، افزایش داده‌اند. در ماه فوریه، بنیاد اتریوم از یک مهندس Security Alliance حمایت کرد که وظیفه ردیابی و مختل کردن درینرهای کیف پول را داشت که کاربران اتریوم را هدف قرار می‌دادند.

Security Alliance داده‌هایی را ذکر کرد که ضررهای مربوط به درینرها را در سال ۲۰۲۵ به ۸۴ میلیون دلار می‌رساند، که پایین‌ترین سطح ثبت شده است. شبکه امنیتی آن شامل MetaMask، Phantom، WalletConnect و Backpack است که اطلاعات تهدیدآمیز را برای شناسایی کمپین‌های فیشینگ و سایر زیرساخت‌های مخرب به اشتراک می‌گذارند.