偽の AI 取引ロボットチュートリアルが 224 名の被害者を騙して悪意のある契約を展開

ブロックチェーン情報会社TRM Labsが9月14日に発表した報告によると、偽のYouTubeチュートリアルがAIを使って暗号アービトラージロボットを構築することを餌に、224人の被害者が自ら悪意のあるスマートコントラクトを展開し資金提供を行い、274.6 ETHが盗まれた。TRMは被害者が展開した234のコントラクトを特定し、資金は最終的に操作者が管理する6つの受取アドレスに流れ、盗まれたETHは送金時に約51.7万ドルの価値があり、1回の損失の中央値は1 ETHであった。

一般的なウォレット盗難攻撃とは異なり、この詐欺はフィッシングリンク、偽のドメイン名、または悪意のある承認プロンプトを含まず、被害者は自らチュートリアルを選び、コードをコピーし、コントラクトを展開し、自分のウォレットから資金を入金する。各ステップは本人の承認によって行われるため、ウォレットの安全警告やフィッシングブラックリストは発動しない。TRMは、ほぼ同じ9つのYouTubeチュートリアルが異なるクリエイターとして偽装されていることを発見し、動画はAI生成のバーチャルキャスターとナレーションを使用し、Claudeを用いて完全自動の暗号取引ロボットを構築することを約束し、被害者を操作者が管理するコンパイラサイトに誘導した。その中には、一般的なRemix開発環境を模倣したインターフェースも含まれている。

TRMが分析したあるバリエーションでは、バックエンドスクリプトが被害者が貼り付けたソースコードを破棄し、操作者のサーバーから別のコントラクトを取得する。画面に表示されるクリーンなコードは一度もブロックチェーンに載せられない。置き換えられたコントラクトは入金を受け入れ、被害者がStartまたはWithdrawを押すと、0.05 ETHを超える残高が操作者に転送され、コントラクトにはアービトラージロジックやAI機能は含まれていない。