آموزش‌های تقلبی ربات‌های معاملاتی هوش مصنوعی ۲۷۴.۶ ETH از ۲۲۴ قربانی دزدیدند

آموزش‌های تقلبی در یوتیوب که ربات‌های آربیتراژ ارز دیجیتال مبتنی بر هوش مصنوعی را تبلیغ می‌کنند، ۲۲۴ قربانی را فریب داده‌اند تا قراردادهای هوشمند مخرب را به کار ببرند که ۲۷۴.۶ ETH به ارزش حدود ۵۱۷,۰۰۰ دلار را دزدیدند.

خلاصه

• نه ویدئوی مشابه یوتیوب کاربران را به کامپایلرهایی که تحت کنترل اپراتورهای کلاهبردار بودند، هدایت کردند.
• قربانیان ۲۳۴ قرارداد را به کار گرفتند و آنها را از طریق معاملاتی که خودشان تأیید کردند، تأمین مالی کردند.
• یک بک‌اند مخرب کد نمایش داده شده به کاربران را با قراردادهایی که برای دزدیدن ETH طراحی شده بودند، جایگزین کرد.
• وجوه دزدیده شده به شش آدرس جمع‌آوری منتقل شد و میانگین ضرر قربانیان ۱ ETH بود.

TRM Labs در گزارشی در تاریخ ۱۴ سپتامبر گفت که این عملیات قراردادهای مخرب اتریوم را به عنوان ابزارهای معاملاتی خودکار ساخته شده با Claude از Anthropic پنهان کرده است و به کلاهبرداران اجازه می‌دهد بدون اتکا به لینک‌های فیشینگ معمولی یا تأییدهای مشکوک کیف پول، وجوه را بدزدند.

این شرکت هوش بلاکچین ۲۳۴ قرارداد به کار گرفته شده توسط قربانیان را ردیابی کرد، اگرچه این کمپین ۲۲۴ نفر را تحت تأثیر قرار داد زیرا برخی از شرکت‌کنندگان بیش از یک قرارداد ایجاد کردند. وجوه گرفته شده از طریق قراردادها در نهایت به شش آدرس جمع‌آوری منتقل شد که تحت کنترل اپراتورها بودند.

بر اساس ارزش ETH در زمان انتقال‌ها، ۲۷۴.۶ ETH دزدیده شده تقریباً به ارزش ۵۱۷,۰۰۰ دلار بود. TRM یک ضرر میانگین ۱ ETH به ازای هر حادثه محاسبه کرد که نشان می‌دهد کل مبلغ به یک قربانی بزرگ وابسته نیست.

آموزش‌های تقلبی ربات‌های معاملاتی هوش مصنوعی قربانیان را به کاربرانی برای استقرار قرارداد تبدیل کرد

به جای ارسال کاربران به صفحه‌ای که بلافاصله درخواست دسترسی به کیف پول‌هایشان را می‌کرد، اپراتورها این طرح را به عنوان یک فرآیند آموزشی ارائه کردند. قربانیان ویدئوها را پیدا کردند، دستورالعمل‌ها را دنبال کردند و هر مرحله زنجیره‌ای را خودشان انجام دادند.

TRM نه آموزش یوتیوب تقریباً یکسان را که تحت هویت‌های مختلف سازندگان ارائه شده بود، شناسایی کرد. میزبان‌ها و صداهای مجازی تولید شده توسط هوش مصنوعی به ویدئوها ظاهری از راهنماهای مستقل دادند، در حالی که هر آموزش وعده می‌داد که به بینندگان کمک کند یک ربات آربیتراژ ارز دیجیتال کاملاً خودکار با استفاده از Claude ایجاد کنند.

در طول ویدئوها، به کاربران گفته می‌شد که کد را کپی کنند و یک وب‌سایت کامپایلر انتخاب شده توسط ارائه‌دهنده را باز کنند. برخی از وب‌سایت‌ها طراحی Remix، یک محیط توسعه مبتنی بر مرورگر که برای نوشتن و استقرار قراردادهای هوشمند اتریوم استفاده می‌شود، را کپی کردند.

سپس قربانیان کیف پول‌های خود را متصل کردند، آنچه به نظر می‌رسید نرم‌افزار معاملاتی باشد را کامپایل کردند و قراردادهای حاصل را به کار گرفتند. از آنجا که کاربران هر اقدام را آغاز و تأیید کردند، تراکنش‌ها از حملات در حالتی که یک سایت کلاهبرداری درخواست اجازه مستقیم توکن یا امضای نامشخصی می‌کند، متفاوت به نظر می‌رسیدند.

تأمین مالی قراردادهای تازه استقرار یافته تله را کامل کرد. کاربران معتقد بودند که آنها سرمایه‌ای را تأمین می‌کنند که ربات برای بهره‌برداری از تفاوت قیمت‌ها بین مکان‌های معاملاتی استفاده خواهد کرد، اما TRM هیچ سیستم آربیتراژ یا عملکرد هوش مصنوعی در نسخه قرارداد مخرب که بررسی کرد، پیدا نکرد.

قراردادهای مخرب سپرده‌ها بالای ۰.۰۵ ETH را خالی کردند

در یک نسخه از این طرح، یک اسکریپت بک‌اند کد منبعی را که قربانیان در کامپایلر چسبانده بودند، نادیده گرفت. وب‌سایت به جای آن یک قرارداد جداگانه از سروری که توسط کلاهبرداران اداره می‌شد، بازیابی کرد و جایگزینی برای استقرار آماده کرد.

در نتیجه، کد تمیز نمایش داده شده در مرورگر هرگز بر روی زنجیره قرار نگرفت. قربانیان یک برنامه را بر روی صفحه‌های خود دیدند در حالی که کیف پول‌هایشان قرارداد دیگری را به کار می‌گرفتند، که مانع از تأیید قرارداد واقعی از طریق بررسی بصری تنها پنجره کامپایلر می‌شد.

قرارداد جایگزین می‌توانست سپرده‌های ETH را بپذیرد و با رفتار مورد انتظار یک ربات معاملاتی که به وجوه برای کار نیاز داشت، مطابقت داشت. با این حال، به محض اینکه موجودی آن از ۰.۰۵ ETH فراتر رفت، قرارداد برای انتقال پول به آدرسی که تحت کنترل اپراتورها بود، تنظیم شد، زمانی که کاربر یکی از عملکردهای شروع یا برداشت را انتخاب کرد.

بنابراین هر دو دکمه به یک هدف خدمت می‌کردند، با وجود اینکه برچسب‌های مربوط به کنترل‌های عادی ربات را داشتند. فشار دادن دکمه شروع استراتژی معاملاتی را فعال نمی‌کرد، در حالی که فشار دادن دکمه برداشت وجوه واریز شده را به کاربر باز نمی‌گرداند.

طبق یافته‌های TRM، هیچ مدل هوش مصنوعی با قرارداد مستقر تعامل نداشته است. برندینگ Claude بخشی از تبلیغات فروش بود، در حالی که کد زنجیره‌ای فقط سپرده‌ها را دریافت کرده و موجودی‌های واجد شرایط را به کلاهبرداران منتقل کرد.

این روش همچنین احتمال اینکه حفاظت‌های معمول کیف پول فرآیند را مختل کنند، کاهش داد. یک کیف پول می‌توانست به‌طور دقیق نشان دهد که صاحب آن در حال استقرار یک قرارداد است، ETH به آن ارسال می‌کند و بعداً یکی از توابع آن را فراخوانی می‌کند، اما هنوز هم فاقد زمینه‌ای بود که نشان دهد آموزش و کامپایلر کد را به‌طور نادرست نمایان کرده‌اند.

کلاهبرداری ربات معامله‌گر هوش مصنوعی از دفاع‌های فیشینگ معمولی عبور کرد

کمپین‌های فیشینگ سنتی ارزهای دیجیتال معمولاً به دامنه‌های کپی‌شده، نتایج جستجوی آلوده یا درخواست‌هایی که مجوزهای وسیع توکن را درخواست می‌کنند، وابسته هستند. لیست‌های سیاه و شبیه‌سازی‌های کیف پول گاهی اوقات می‌توانند یک آدرس مخرب شناخته‌شده، دامنه فریبنده یا تراکنشی که به یک مهاجم کنترل دارایی‌های موجود را می‌دهد، شناسایی کنند.

عملیات ربات معامله‌گر هوش مصنوعی از مسیر متفاوتی استفاده کرد زیرا هر قربانی به استقرارکننده یک قرارداد جدید تبدیل شد. یک آدرس جدید لزوماً در لیست سیاه موجود ظاهر نمی‌شد و صاحب کیف پول استقرار و تراکنش‌های تأمین مالی را بدون تسلیم یک عبارت دانه مجاز می‌کرد.

در ماه ژوئیه، crypto.news توضیح داد که چگونه کلاهبرداران معمولاً از مجوزهای قانونی بلاک‌چین سوءاستفاده می‌کنند. چنین ابزارهایی معمولاً کاربر را متقاعد می‌کنند که یک قرارداد مخرب را تأیید کند، که سپس می‌تواند توکن‌ها را در حالی که بلاک‌چین عمل را به‌عنوان مجاز پردازش می‌کند، منتقل کند.

کمپینی که توسط TRM توصیف شده است، فریب را یک مرحله زودتر با کنترل فرآیند تولید و استقرار کد منتقل کرد. به‌جای اینکه از قربانیان بخواهد به یک قرارداد موجود اعتماد کنند، آموزش‌ها آن‌ها را متقاعد کردند که خودشان نرم‌افزار را ایجاد می‌کنند.

یک مورد فیشینگ Hyperliquid جداگانه در ماه اوت نشان داد که چگونه تبلیغات آنلاین می‌تواند کاربران ارزهای دیجیتال را به سمت زیرساخت‌های مخرب هدایت کند. یک کاربر حدود 550,000 USDC را پس از اینکه یک نتیجه تبلیغاتی گوگل به یک وب‌سایت جعلی Hyperliquid منتهی شد، از دست داد که توسط شرکت امنیتی Salus به اکوسیستم کلاهبرداری Inferno مرتبط بود.

Salus گفت که زیرساخت در آن حادثه به‌طور خودکار وجوه سرقت‌شده را بین آدرس‌های مرتبط با عملیات تقسیم کرد. محققان گروه‌های مرتبط را به حدود 52.74 میلیون دلار خسارت مرتبط کردند و نشان دادند که چگونه خدمات پشتیبان می‌توانند سرقت، مبادله، تجمیع و تقسیم درآمد را مدیریت کنند در حالی که اپراتورهای جداگانه بر جذب قربانیان تمرکز می‌کنند.

کاربران آمریکایی می‌توانند خسارات ارز دیجیتال را از طریق FBI گزارش دهند

برای کاربران آمریکایی، مرکز شکایات جرایم اینترنتی FBI گزارش‌هایی را در مورد کلاهبرداری‌های ارز دیجیتال و سایر جرایم سایبری می‌پذیرد. این اداره می‌گوید که داده‌های شکایت می‌توانند به محققان کمک کنند تا موارد مرتبط را شناسایی کنند، روش‌های نوظهور را دنبال کنند و در برخی موارد، وجوه سرقت‌شده را مسدود کنند.

FBI در سال 2024، 16.6 میلیارد دلار خسارت گزارش‌شده از جرایم اینترنتی را ثبت کرد که نسبت به 12.5 میلیارد دلار در سال 2023 افزایش یافته است، طبق ارقام منتشرشده توسط مرکز. این آژانس به قربانیان توصیه می‌کند که حتی زمانی که مطمئن نیستند آیا شکایت آن‌ها در یک دسته خاص از جرایم قرار می‌گیرد، گزارش‌هایی را ثبت کنند زیرا ارسال‌ها ممکن است با آژانس‌های اجرای قانون فدرال، ایالتی، محلی یا بین‌المللی به اشتراک گذاشته شود.

گروه‌های امنیت زنجیره‌ای نیز تمرکز خود را بر حملات استفاده از اقدامات معتبر کاربر برای اجرای سرقت افزایش داده‌اند. در ماه فوریه، بنیاد اتریوم یک مهندس از Security Alliance را که به ردیابی و مختل کردن کلاهبرداران کیف پول هدف‌گذاری‌شده بر روی کاربران اتریوم اختصاص داده شده بود، پشتیبانی کرد.

Security Alliance داده‌هایی را ذکر کرد که خسارات مرتبط با کلاهبرداران را در سال 2025 به 84 میلیون دلار می‌رساند که پایین‌ترین سطح ثبت‌شده است. شبکه امنیتی آن شامل MetaMask، Phantom، WalletConnect و Backpack است که اطلاعات تهدید را به اشتراک می‌گذارند و برای شناسایی کمپین‌های فیشینگ و سایر زیرساخت‌های مخرب طراحی شده‌اند.