Les robots de trading armé drainent 1 M $ des utilisateurs de crypto via l’arnaque YouTube générée par AI-Généré

Plus d’un million de dollars ont été siphonés par des utilisateurs de crypto sans méfiance via des contrats intelligents malveillants se faisant passer pour des robots de trading MEV, selon un nouveau rapport de Sentinellabs.

La campagne a mis à profit les vidéos de la Solidité de la campagne et de l’accès aux comptes de la solidité. Il a semblé utiliser des avatars et des voix générés par l’IA pour réduire les coûts de production et augmenter le contenu vidéo.

Ces tutoriels sont publiés sur des comptes YouTube âgés peuplés de contenu non lié et des sections de commentaires manipulées pour donner l’illusion de crédibilité. Dans certains cas, les vidéos ne sont pas répertoriées et probablement distribuées via Telegram ou DMS.

Au centre de l’arnaque, un contrat intelligent était promu comme un bot d’arbitrage rentable. Les victimes ont été informées via des tutoriels YouTube pour déployer le contrat à l’aide de Remix, le financer avec ETH et appeler une fonction «start ()».

En réalité, cependant, les contrats ont acheminé les fonds vers un portefeuille caché et contrôlé par l’attaquant, en utilisant des techniques telles que l’obfuscation XOR (qui cache des données en la brouillant avec une autre valeur) et de grandes conversions décimales-hex (qui convertissent les grands chiffres en formats d’adresse lisible du portefeuille) pour masquer la plus grande adresse de la destination (qui rend le fonds de la réception). 0x8725 … 6831 – Tiré 244,9 ETH (environ 902 000 $) via des dépôts de déploieurs sans méfiance. Ce portefeuille était lié à un didacticiel vidéo publié par le compte @jazz_braze , en direct sur YouTube avec plus de 387 000 vues.

« Chaque contrat définit le portefeuille de la victime et un attaquant caché EOA en tant que copropriétaires », a noté les chercheurs de Sentinellabs. « Même si la victime n’active pas la fonction principale, les mécanismes de secours permettent à l’attaquant de retirer les fonds déposés. »

En tant que tel, le succès de l’escroquerie a été large mais inégal. Alors que la plupart des portefeuilles d’attaquants ont permis à quatre à cinq chiffres, un seul (lié à jazz_braze ) a dégagé plus de 900 000 $. Les fonds ont ensuite été déplacés en vrac vers les adresses secondaires, susceptibles de fragmenter davantage la traçabilité.

En attendant, Sentinelabs avertit les utilisateurs d’éviter de déployer des «robots gratuits» annoncés sur les réseaux sociaux, en particulier ceux impliquant un déploiement de contrats intelligents manuels. La firme a souligné que même le code déployé dans TestNets devrait être examiné en profondeur, car des tactiques similaires peuvent facilement migrer entre les chaînes.

En savoir plus: les échecs multisig dominent car 3,1B $ est perdu dans les hacks web3 dans la première moitié