บทเรียนการซื้อขาย AI ปลอมขโมย 274.6 ETH จากผู้เสียหาย 224 ราย

บทเรียนปลอมใน YouTube ที่โปรโมตบอทการซื้อขายคริปโตที่ขับเคลื่อนด้วย AI ได้หลอกลวงผู้เสียหาย 224 รายให้ติดตั้งสัญญาอัจฉริยะที่เป็นอันตรายซึ่งขโมย 274.6 ETH มูลค่าประมาณ 517,000 ดอลลาร์สหรัฐ

สรุป

• วิดีโอ YouTube ที่คล้ายกัน 9 รายการได้ชี้นำผู้ใช้ไปยังคอมไพเลอร์ที่ควบคุมโดยผู้ดำเนินการหลอกลวง
• ผู้เสียหายได้ติดตั้งสัญญา 234 ฉบับและจัดหาเงินทุนให้กับพวกเขาผ่านธุรกรรมที่พวกเขาอนุมัติด้วยตนเอง
• ระบบด้านหลังที่เป็นอันตรายได้แทนที่โค้ดที่แสดงให้ผู้ใช้เห็นด้วยสัญญาที่ออกแบบมาเพื่อขโมย ETH
• เงินที่ถูกขโมยถูกย้ายไปยังที่อยู่การเก็บรวบรวม 6 แห่ง โดยผู้เสียหายเฉลี่ยสูญเสีย 1 ETH

TRM Labs กล่าวในรายงานเมื่อวันที่ 14 กันยายนว่า การดำเนินการนี้ได้ปลอมแปลงสัญญา Ethereum ที่เป็นอันตรายให้เป็นเครื่องมือการซื้อขายอัตโนมัติที่สร้างขึ้นด้วย Claude ของ Anthropic ทำให้ผู้หลอกลวงสามารถขโมยเงินได้โดยไม่ต้องพึ่งพาลิงก์ฟิชชิงแบบดั้งเดิมหรือการอนุมัติจากกระเป๋าเงินที่น่าสงสัย

บริษัทด้านข่าวกรองบล็อกเชนได้ติดตามสัญญา 234 ฉบับที่ผู้เสียหายติดตั้ง แม้ว่าการรณรงค์จะส่งผลกระทบต่อผู้คน 224 คน เนื่องจากผู้เข้าร่วมบางคนสร้างสัญญามากกว่าหนึ่งฉบับ เงินที่ถูกนำออกจากสัญญาในที่สุดก็ถึงที่อยู่การเก็บรวบรวม 6 แห่งที่ควบคุมโดยผู้ดำเนินการ

ตามมูลค่า ETH เมื่อการโอนเกิดขึ้น 274.6 ETH ที่ถูกขโมยมีมูลค่าประมาณ 517,000 ดอลลาร์สหรัฐ TRM คำนวณการสูญเสียเฉลี่ย 1 ETH ต่อเหตุการณ์ แสดงให้เห็นว่าจำนวนรวมไม่ได้ขึ้นอยู่กับผู้เสียหายรายใหญ่เพียงรายเดียว

บทเรียนการซื้อขาย AI ปลอมทำให้ผู้เสียหายกลายเป็นผู้ติดตั้งสัญญา

แทนที่จะส่งผู้ใช้ไปยังหน้าที่ขอการเข้าถึงกระเป๋าเงินของพวกเขาทันที ผู้ดำเนินการได้เสนอแผนการนี้ในฐานะกระบวนการการศึกษา ผู้เสียหายพบวิดีโอ ปฏิบัติตามคำแนะนำ และทำแต่ละขั้นตอนในบล็อกเชนด้วยตนเอง

TRM ระบุว่ามีบทเรียน YouTube ที่เกือบจะเหมือนกัน 9 รายการที่นำเสนอภายใต้ตัวตนของผู้สร้างที่แตกต่างกัน โฮสต์และเสียงที่สร้างด้วย AI ทำให้วิดีโอดูเหมือนคู่มืออิสระ ในขณะที่บทเรียนแต่ละบทสัญญาว่าจะช่วยให้ผู้ชมสร้างบอทการซื้อขายคริปโตอัตโนมัติอย่างเต็มรูปแบบโดยใช้ Claude

ในระหว่างวิดีโอ ผู้ใช้ถูกบอกให้คัดลอกโค้ดและเปิดเว็บไซต์คอมไพเลอร์ที่เลือกโดยผู้เสนอ บางเว็บไซต์ก็ได้คัดลอกการออกแบบของ Remix ซึ่งเป็นสภาพแวดล้อมการพัฒนาที่ใช้เบราว์เซอร์สำหรับการเขียนและติดตั้งสัญญาอัจฉริยะ Ethereum

ผู้เสียหายจึงเชื่อมต่อกระเป๋าเงินของพวกเขา คอมไพล์ซอฟต์แวร์ที่ดูเหมือนจะเป็นซอฟต์แวร์การซื้อขาย และติดตั้งสัญญาที่เกิดขึ้น ผู้ใช้ได้เริ่มต้นและอนุมัติแต่ละการกระทำ ดังนั้นธุรกรรมจึงดูแตกต่างจากการโจมตีที่เว็บไซต์หลอกลวงขออนุญาตโทเค็นโดยตรงหรือการลงนามที่ไม่ชัดเจน

การจัดหาเงินทุนให้กับสัญญาที่ติดตั้งใหม่ได้ทำให้กับดักเสร็จสมบูรณ์ ผู้ใช้เชื่อว่าพวกเขากำลังจัดหาทุนที่บอทจะใช้เพื่อใช้ประโยชน์จากความแตกต่างของราคาในสถานที่ซื้อขาย แต่ TRM พบว่าไม่มีระบบการเก็งกำไรหรือฟังก์ชัน AI ในรูปแบบสัญญาที่เป็นอันตรายที่ตรวจสอบ

สัญญาที่เป็นอันตรายได้ดูดเงินฝากที่สูงกว่า 0.05 ETH

ในเวอร์ชันหนึ่งของแผนการนี้ สคริปต์ด้านหลังได้ละเลยโค้ดต้นฉบับที่ผู้เสียหายวางลงในคอมไพเลอร์ เว็บไซต์แทนที่จะดึงสัญญาแยกต่างหากจากเซิร์ฟเวอร์ที่ดำเนินการโดยผู้หลอกลวงและเตรียมการแทนที่สำหรับการติดตั้ง

ผลก็คือ โค้ดที่สะอาดที่แสดงในเบราว์เซอร์ไม่เคยถูกวางในบล็อกเชน ผู้เสียหายเห็นโปรแกรมหนึ่งบนหน้าจอของพวกเขาในขณะที่กระเป๋าเงินของพวกเขาติดตั้งอีกโปรแกรมหนึ่ง ทำให้พวกเขาไม่สามารถตรวจสอบสัญญาที่แท้จริงผ่านการตรวจสอบภาพของหน้าต่างคอมไพเลอร์เพียงอย่างเดียว

สัญญาแทนที่สามารถรับเงินฝาก ETH ได้ ซึ่งตรงกับพฤติกรรมที่คาดหวังของบอทการซื้อขายที่ต้องการเงินทุนในการดำเนินงาน อย่างไรก็ตาม เมื่อยอดเงินของมันเกิน 0.05 ETH สัญญาจะถูกตั้งค่าให้โอนเงินไปยังที่อยู่ที่ควบคุมโดยผู้ดำเนินการเมื่อผู้ใช้เลือกฟังก์ชันเริ่มต้นหรือถอน

ทั้งสองปุ่มจึงทำหน้าที่เดียวกันแม้ว่าจะมีป้ายที่เกี่ยวข้องกับการควบคุมบอทปกติ การกดปุ่มเริ่มต้นไม่ได้เปิดใช้งานกลยุทธ์การซื้อขาย ในขณะที่การกดปุ่มถอนก็ไม่ได้คืนเงินที่ฝากให้กับผู้ใช้

ตามผลการค้นพบของ TRM ไม่มีโมเดล AI ใดที่มีปฏิสัมพันธ์กับสัญญาที่ถูกปรับใช้ แบรนด์ Claude เป็นส่วนหนึ่งของการนำเสนอขาย ในขณะที่โค้ดบนเชนได้รับเพียงการฝากเงินและย้ายยอดเงินที่มีคุณสมบัติเข้าสู่ผู้หลอกลวง

วิธีการนี้ยังลดโอกาสที่การป้องกันกระเป๋าเงินทั่วไปจะขัดขวางกระบวนการ กระเป๋าเงินสามารถแสดงให้เห็นได้อย่างถูกต้องว่าผู้เป็นเจ้าของกำลังปรับใช้สัญญา ส่ง ETH ไปยังมัน และต่อมาเรียกใช้ฟังก์ชันหนึ่งของมัน แต่ยังขาดบริบทที่จำเป็นในการพิจารณาว่าสอนและคอมไพเลอร์ได้แสดงโค้ดผิดพลาด

การหลอกลวงบอทการซื้อขาย AI ข้ามการป้องกันฟิชชิ่งทั่วไป

แคมเปญฟิชชิ่งคริปโตแบบดั้งเดิมมักพึ่งพาโดเมนที่ถูกคัดลอก ผลลัพธ์การค้นหาที่ถูกทำให้เป็นพิษ หรือคำกระตุ้นที่ขออนุญาตโทเค็นในวงกว้าง รายการบล็อกและการจำลองกระเป๋าเงินบางครั้งสามารถระบุที่อยู่ที่เป็นอันตรายที่รู้จัก โดเมนที่หลอกลวง หรือธุรกรรมที่มอบอำนาจให้ผู้โจมตีควบคุมสินทรัพย์ที่มีอยู่

การดำเนินการบอทการซื้อขาย AI ใช้เส้นทางที่แตกต่างออกไปเพราะแต่ละเหยื่อกลายเป็นผู้ปรับใช้สัญญาที่สร้างขึ้นใหม่ ที่อยู่ใหม่จะไม่ปรากฏในรายการบล็อกที่มีอยู่เสมอไป และเจ้าของกระเป๋าเงินได้อนุญาตการปรับใช้และธุรกรรมการจัดหาโดยไม่ต้องมอบรหัสผ่าน

ในเดือนกรกฎาคม crypto.news อธิบายว่าผู้โจมตีมักจะใช้ประโยชน์จากสิทธิ์บล็อกเชนที่ถูกต้องตามกฎหมายอย่างไร เครื่องมือดังกล่าวมักจะโน้มน้าวให้ผู้ใช้อนุมัติสัญญาที่เป็นอันตราย ซึ่งสามารถโอนโทเค็นในขณะที่บล็อกเชนประมวลผลการกระทำว่าได้รับอนุญาต

แคมเปญที่ TRM อธิบายได้ย้ายการหลอกลวงไปอีกขั้นโดยควบคุมกระบวนการสร้างโค้ดและการปรับใช้ แทนที่จะขอให้เหยื่อไว้วางใจสัญญาที่มีอยู่ บทเรียนโน้มน้าวให้พวกเขาเชื่อว่าพวกเขากำลังสร้างซอฟต์แวร์ด้วยตนเอง

กรณีฟิชชิ่ง Hyperliquid แยกต่างหากในเดือนสิงหาคมแสดงให้เห็นว่าโฆษณาออนไลน์สามารถชี้นำผู้ใช้คริปโตไปยังโครงสร้างพื้นฐานที่เป็นอันตรายได้อย่างไร ผู้ใช้คนหนึ่งสูญเสียประมาณ 550,000 USDC หลังจากผลลัพธ์ที่ได้รับการสนับสนุนจาก Google นำไปสู่เว็บไซต์ Hyperliquid ปลอมที่เชื่อมโยงโดยบริษัทความปลอดภัย Salus กับระบบ Inferno drainer

Salus กล่าวว่าระบบในเหตุการณ์นั้นแบ่งเงินที่ถูกขโมยโดยอัตโนมัติระหว่างที่อยู่ที่เชื่อมโยงกับการดำเนินการ นักสืบเชื่อมโยงกลุ่มที่เกี่ยวข้องกับการสูญเสียประมาณ 52.74 ล้านดอลลาร์ แสดงให้เห็นว่าบริการด้านหลังสามารถจัดการการโจรกรรม การแลกเปลี่ยน การรวมกลุ่ม และการแบ่งปันรายได้ในขณะที่ผู้ดำเนินการแยกต่างหากมุ่งเน้นไปที่การดึงดูดเหยื่อ

ผู้ใช้ในสหรัฐอเมริกาสามารถรายงานการสูญเสียคริปโตผ่าน FBI

สำหรับผู้ใช้ในสหรัฐอเมริกา ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ตของ FBI ยอมรับรายงานเกี่ยวกับการฉ้อโกงคริปโตและอาชญากรรมที่ใช้ไซเบอร์อื่น ๆ สำนักงานกล่าวว่าข้อมูลการร้องเรียนสามารถช่วยนักสืบระบุกรณีที่เชื่อมโยง ติดตามวิธีการที่เกิดขึ้นใหม่ และในบางกรณี แช่แข็งเงินที่ถูกขโมย

FBI บันทึกการสูญเสียจากอาชญากรรมทางอินเทอร์เน็ตที่รายงานอยู่ที่ 16.6 พันล้านดอลลาร์ในปี 2024 เพิ่มขึ้นจาก 12.5 พันล้านดอลลาร์ในปี 2023 ตามตัวเลขที่เผยแพร่โดยศูนย์ สำนักงานแนะนำให้เหยื่อยื่นรายงานแม้ว่าพวกเขาจะไม่แน่ใจว่าการร้องเรียนตรงตามหมวดหมู่ของอาชญากรรมเฉพาะหรือไม่ เนื่องจากการส่งอาจถูกแบ่งปันกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง รัฐ ท้องถิ่น หรือระหว่างประเทศ

กลุ่มความปลอดภัยบนเชนยังได้เพิ่มความสนใจในการโจมตีที่ใช้การกระทำของผู้ใช้ที่ถูกต้องในการดำเนินการโจรกรรม ในเดือนกุมภาพันธ์ มูลนิธิ Ethereum สนับสนุนวิศวกรจาก Security Alliance ที่ได้รับมอบหมายให้ติดตามและขัดขวางผู้โจมตีที่มุ่งเป้าไปที่ผู้ใช้ Ethereum

Security Alliance อ้างถึงข้อมูลที่ระบุว่าการสูญเสียที่เกี่ยวข้องกับการโจรกรรมอยู่ที่ 84 ล้านดอลลาร์ในปี 2025 ซึ่งเป็นระดับต่ำสุดที่บันทึกไว้ เครือข่ายความปลอดภัยของมันรวมถึง MetaMask, Phantom, WalletConnect และ Backpack ซึ่งแชร์ข้อมูลเกี่ยวกับภัยคุกคามที่ออกแบบมาเพื่อตรวจจับแคมเปญฟิชชิ่งและโครงสร้างพื้นฐานที่เป็นอันตรายอื่น ๆ