가짜 AI 거래 로봇 튜토리얼이 224명의 피해자를 속여 악성 계약을 배포하다

블록체인 정보 회사 TRM Labs가 9월 14일 발표한 보고서에 따르면, 가짜 YouTube 튜토리얼이 AI를 이용해 암호화폐 차익 거래 로봇을 구축하는 것을 미끼로 삼아 224명의 피해자가 악성 스마트 계약을 자발적으로 배포하고 자금을 지원하게 하여 274.6 ETH가 도난당했습니다. TRM은 피해자가 배포한 234개의 계약을 식별했으며, 자금은 최종적으로 운영자가 제어하는 6개의 수금 주소로 흘러갔습니다. 도난당한 ETH는 전송 시 약 51.7만 달러의 가치가 있었으며, 단일 손실의 중앙값은 1 ETH입니다.

일반적인 지갑 도난 공격과는 달리, 이 사기는 피싱 링크, 위조 도메인 또는 악성 권한 요청을 포함하지 않으며, 피해자는 스스로 튜토리얼을 선택하고, 코드를 복사하고, 계약을 배포하며, 자신의 지갑에서 충전합니다. 모든 단계는 본인이 승인하므로 지갑 보안 경고와 피싱 블랙리스트는 작동하지 않습니다. TRM은 거의 동일한 9개의 YouTube 튜토리얼이 서로 다른 제작자로 위장하여 게시된 것을 발견했으며, 비디오는 AI가 생성한 가상 진행자와 음성을 사용하여 Claude를 이용해 완전 자동 암호화 거래 로봇을 구축하겠다고 약속하고, 피해자를 운영자가 제어하는 컴파일러 웹사이트로 유도합니다. 이 중 일부 인터페이스는 일반적으로 사용되는 Remix 개발 환경을 모방했습니다.

TRM 분석의 한 변형에서, 백엔드 스크립트는 피해자가 붙여넣은 소스 코드를 버리고 운영자 서버에서 다른 계약을 가져옵니다. 화면에 표시되는 깨끗한 코드는 한 번도 블록체인에 올라가지 않았습니다. 교체된 계약은 예금을 수락하며, 피해자가 Start 또는 Withdraw를 누를 때 0.05 ETH 이상의 잔액을 운영자에게 전송합니다. 계약에는 차익 거래 로직이나 AI 기능이 포함되어 있지 않습니다.