武器化されたトレーディングボットがAI生成のYouTube詐欺を通じて暗号資産ユーザーから100万ドルを奪う

新しい報告によると、SentinelLABSによって、1百万ドル以上が、MEVトレーディングボットを装った悪意のあるスマートコントラクトを通じて、無防備な暗号ユーザーから siphoned されました。

このキャンペーンはAI生成のYouTube動画、古いアカウント、および難読化されたSolidityコードを活用して基本的なユーザーの精査を回避し、暗号ウォレットへのアクセスを得ました。

詐欺師は、制作コストを削減し、ビデオコンテンツを拡大するためにAI生成のアバターと声を使用しているようです。

これらのチュートリアルは、無関係なコンテンツで埋め尽くされた古いYouTubeアカウントに公開されており、信頼性の錯覚を与えるために操作されたコメントセクションがあります。場合によっては、動画は非公開であり、TelegramやDMを通じて配布されている可能性があります。

詐欺の中心には、利益を上げるトレーディングボットとして宣伝されたスマートコントラクトがありました。被害者は、YouTubeのチュートリアルを通じて、Remixを使用してコントラクトをデプロイし、ETHで資金を提供し、"Start()"関数を呼び出すよう指示されました。

しかし、実際には、契約は隠された攻撃者が制御するウォレットに資金をルーティングし、データを別の値でスクランブルするXOR難読化(や、大きな数をウォレットが読み取れるアドレス形式に変換する大きな10進数から16進数への変換)などの技術を使用して、宛先アドレスをマスクしています(。これにより、資金の回収が難しくなります)。

最も成功した識別されたアドレス — 0x8725...6831 — は、244.9 ETH (、約902,000)を無防備なデプロイヤーからの入金を通じて引き出しました。そのウォレットは、アカウント @Jazz_Braze によって投稿された動画チュートリアルに関連しており、YouTubeで387,000回以上の視聴があります。

「各契約は、被害者のウォレットと隠された攻撃者のEOAを共同所有者として設定します」とSentinelLABSの研究者は指摘しました。「たとえ被害者がメイン機能を起動しなくても、フォールバックメカニズムにより攻撃者が預けられた資金を引き出すことができます。」

そのため、詐欺の成功は広範囲にわたっていますが、不均一です。ほとんどの攻撃者のウォレットは4桁から5桁の金額を得ましたが、Jazz_Brazeに関連する(のウォレットだけが、90万ドル以上の価値をクリアしました。その後、資金は一括で二次アドレスに移動され、追跡可能性をさらに断片化する可能性があります。

一方、SentinelLABSは、特に手動でスマートコントラクトをデプロイすることを含む、ソーシャルメディアで宣伝されている「無料ボット」の展開を避けるようユーザーに警告しています。この企業は、テストネットでデプロイされたコードであっても、同様の戦術がチェーン間で簡単に移行する可能性があるため、徹底的にレビューする必要があると強調しました。

続きを読む: マルチシグの失敗が支配する中、最初の半期で$3.1BがWeb3ハックで失われる

コメントを見る