武器化された取引ボットがAI生成のYouTube詐欺を通じて暗号通貨ユーザーから100万ドルを盗む
SentinelLABSの報告によると、AI生成のYouTube動画と操作されたスマートコントラクトを駆使して、無防備なユーザーから100万ドル以上のイーサを吸い上げる高度なキャンペーンが明らかになりました。宣伝動画にはAIアバターと音声が登場し、視聴者に悪意のあるMEVアービトラージボットの展開方法が案内されました。コントラクトにはXOR難読化と大きな10進数から16進数への変換を利用した資金送金の隠しルーチンが含まれていました。
展開手順は被害者にRemix IDEを使用し、ETHでコントラクトに資金を供給し、Start()関数を呼び出すよう指示していました。この関数はアービトラージ操作を実行するのではなく、ユーザーの預金を隠されたイーサリアムアカウントへ転送するフォールバックメカニズムを作動させました。最も収益性の高いアドレス0x8725...6831は244.9 ETH（約902,000ドル）を回収し、追跡を困難にするために二次的なアドレスに送金していました。
SentinelLABSは、キャンペーンが無関係なコンテンツを持つ古いYouTubeチャンネルと操作されたコメントに依存し、信頼性を装っていたことを特定しました。いくつかの動画は非公開にされ、Telegramやプライベートメッセージで配布されていました。研究者は主要なチュートリアルアカウント@Jazz_Brazeが387,000回の視聴数を持つ一方で、コントラクト所有権に関する透明性が全くなかったことを発見しました。
被害を受けたウォレットはしばしば、被害者と攻撃者の外部所有アカウントを結びつける共所有構造を示していました。主要な関数が起動されなくても、フォールバックルーチンにより攻撃者は完全な引き出し権限を得ていました。小規模なウォレットは5桁の金額を得ていましたが、Jazz_Brazeのチュートリアルのみが9桁の入金を集めていました。
これを受けてSentinelLABSは警告しています：ソーシャルメディアで宣伝される無料の取引ボットは、包括的な監査なしで展開すべきではありません。ユーザーは難読化されたアドレスや無許可の制御フローを検出するために、テストネットでもコードを十分にレビューすることが推奨されます。本件は開発者レベルの精査強化とスマートコントラクトリスクに関するコミュニティ教育の必要性を強調しています。
SentinelLABSは今後も取引所や分析プラットフォームと連携し、攻撃者の動向を追跡して盗難資金の回収を目指します。継続的な監視により、類似のAI駆動詐欺を特定し今後の損失を防止することを目標としています。
コメント (0)