خدعت دروس تعليمية مزيفة على يوتيوب تروّج لروبوتات المراجحة بالعملات المشفرة المدعومة بالذكاء الاصطناعي 224 ضحية وجعلتهم ينشرون عقوداً ذكية خبيثة سرقت 274.6 إيثريوم بقيمة تقارب 517,000 دولار.
- تسعة مقاطع فيديو متشابهة على يوتيوب وجّهت المستخدمين إلى مترجمات يتحكم بها مشغّلو الاحتيال.
- نشر الضحايا 234 عقداً وموّلوها عبر معاملات وافقوا عليها بأنفسهم.
- استبدلت واجهة خلفية خبيثة الكود المعروض على المستخدمين بعقود مصممة لسرقة الإيثريوم.
- انتقلت الأموال المسروقة إلى ستة عناوين تجميع، مع خسارة الضحية الوسيطة 1 إيثريوم.
قالت TRM Labs في تقرير بتاريخ 14 سبتمبر إن العملية تنكّرت بعقود إيثريوم خبيثة على أنها أدوات تداول آلية مبنية باستخدام Claude من Anthropic، ما أتاح للمحتالين سرقة الأموال دون الاعتماد على روابط تصيّد تقليدية أو موافقات محفظة مريبة.
تتبّعت شركة استخبارات البلوكشين 234 عقداً نشرها الضحايا، رغم أن الحملة أثّرت على 224 شخصاً لأن بعض المشاركين أنشأوا أكثر من عقد واحد. ووصلت الأموال المسروقة عبر العقود في النهاية إلى ستة عناوين تجميع يتحكم بها المشغّلون.
واستناداً إلى قيمة الإيثريوم وقت تنفيذ التحويلات، كانت قيمة 274.6 إيثريوم المسروقة نحو 517,000 دولار. وقدّرت TRM خسارة وسيطة قدرها 1 إيثريوم لكل حادثة، ما يُظهر أن الإجمالي لم يعتمد على ضحية واحدة كبيرة.
دروس تعليمية مزيفة لروبوتات التداول بالذكاء الاصطناعي حوّلت الضحايا إلى ناشرين للعقود
بدلاً من إرسال المستخدمين إلى صفحة تطلب فوراً الوصول إلى محافظهم، قدّم المشغّلون المخطط كعملية تعليمية. وجد الضحايا مقاطع الفيديو، واتبعوا التعليمات، ونفّذوا كل خطوة على السلسلة بأنفسهم.
حدّدت TRM تسعة دروس تعليمية شبه متطابقة على يوتيوب قُدّمت تحت هويات منشئين مختلفة. وقد منح مضيفون افتراضيون وتعليقات صوتية مولّدة بالذكاء الاصطناعي مقاطع الفيديو مظهر الأدلة المستقلة، بينما وعد كل درس بمساعدة المشاهدين على إنشاء روبوت مراجحة بالعملات المشفرة آلي بالكامل باستخدام Claude.
وخلال مقاطع الفيديو، طُلب من المستخدمين نسخ الكود وفتح موقع مترجم اختاره المقدّم. وقد نسخت بعض المواقع تصميم Remix، وهي بيئة تطوير شائعة تعمل عبر المتصفح لكتابة ونشر العقود الذكية على إيثريوم.
ثم ربط الضحايا محافظهم، وترجموا ما بدا أنه برنامج تداول، ونشروا العقود الناتجة. ولأن المستخدمين بدأوا كل إجراء ووافقوا عليه، بدت المعاملات مختلفة عن الهجمات التي يطلب فيها موقع احتيالي مخصصاً مباشراً للرموز أو توقيعاً غير واضح.
وأكمل تمويل العقود المنشورة حديثاً الفخ. فقد اعتقد المستخدمون أنهم يوفّرون رأس مال سيستخدمه الروبوت لاستغلال فروق الأسعار بين منصات التداول، لكن TRM لم تجد أي نظام مراجحة أو وظيفة ذكاء اصطناعي في نسخة العقد الخبيث التي فحصتها.
العقود الخبيثة سحبت الودائع التي تتجاوز 0.05 إيثريوم
في إحدى نسخ المخطط، تجاهل سكربت خلفي الكود المصدري الذي لصقه الضحايا في المترجم. وبدلاً من ذلك، جلب الموقع عقداً منفصلاً من خادم يديره المحتالون وجهّز البديل للنشر.
ونتيجة لذلك، لم يُوضع الكود النظيف المعروض في المتصفح على السلسلة أبداً. رأى الضحايا برنامجاً على شاشاتهم بينما نشرت محافظهم برنامجاً آخر، ما منعهم من التحقق من العقد الحقيقي عبر فحص بصري لنافذة المترجم وحدها.
وكان العقد البديل قادراً على قبول ودائع الإيثريوم، بما يطابق السلوك المتوقع لروبوت تداول يحتاج إلى أموال ليعمل. لكن بمجرد أن تجاوز رصيده 0.05 إيثريوم، كان العقد مضبوطاً لتحويل الأموال إلى عنوان يتحكم به المشغّلون عندما يختار المستخدم وظيفة Start أو Withdraw.
وهكذا أدّى الزرّان الغرض نفسه رغم حملها تسميات مرتبطة بعناصر تحكم عادية للروبوت. فالضغط على Start لم ينشّط استراتيجية تداول، والضغط على Withdraw لم يُعد الأموال المودعة إلى المستخدم.
ولم يتفاعل أي نموذج ذكاء اصطناعي مع العقد المنشور، وفقاً لنتائج TRM. فقد شكّلت علامة Claude جزءاً من عرض البيع، بينما لم يتلقَّ الكود على السلسلة سوى الودائع ونقل الأرصدة المؤهلة إلى المحتالين.
كما قلّلت الطريقة من احتمال أن تعترض حمايات المحفظة الشائعة العملية. فقد تستطيع المحفظة أن تُظهر بدقة أن مالكها ينشر عقداً، ويرسل إليه إيثريوم، ثم يستدعي إحدى وظائفه، ومع ذلك تفتقر إلى السياق اللازم لتحديد أن الدرس التعليمي والمترجم قد شوّها الكود.
احتيال روبوت التداول بالذكاء الاصطناعي تجاوز دفاعات التصيّد الشائعة
غالباً ما تعتمد حملات التصيّد التقليدية بالعملات المشفرة على نطاقات منسوخة، أو نتائج بحث مسمومة، أو مطالبات تطلب أذونات واسعة للرموز. وقد تتمكن قوائم الحظر ومحاكاة المحافظ أحياناً من تحديد عنوان خبيث معروف، أو نطاق مخادع، أو معاملة تمنح مهاجماً السيطرة على أصول قائمة.
استخدمت عملية روبوت التداول بالذكاء الاصطناعي مساراً مختلفاً لأن كل ضحية أصبحت ناشراً لعقد منشأ حديثاً. فالعنوان الجديد لن يظهر بالضرورة في قائمة حظر قائمة، وقد فوّض مالك المحفظة معاملات النشر والتمويل دون تسليم عبارة الاسترداد.
في يوليو، شرح موقع crypto.news كيف تسيء أدوات السحب عادةً استخدام أذونات البلوكشين المشروعة. فغالباً ما تقنع هذه الأدوات المستخدم بالموافقة على عقد خبيث، يمكنه بعد ذلك نقل الرموز بينما تعالج السلسلة الإجراء باعتباره مصرّحاً به.
وقد نقلت الحملة التي وصفتها TRM الخداع خطوة إلى الوراء من خلال التحكم في عملية توليد الكود ونشره. فبدلاً من مطالبة الضحايا بالثقة في عقد قائم، أقنعتهم الدروس التعليمية بأنهم ينشئون البرنامج بأنفسهم.
وأظهرت حادثة تصيّد منفصلة تتعلق بـ Hyperliquid في أغسطس كيف يمكن للإعلانات عبر الإنترنت أن توجّه مستخدمي العملات المشفرة أيضاً نحو بنية تحتية خبيثة. فقد خسر أحد المستخدمين نحو 550,000 USDC بعد أن أدّت نتيجة إعلانية على Google إلى موقع Hyperliquid مزيف ربطته شركة الأمن Salus بمنظومة سحب Inferno.
وقالت Salus إن البنية التحتية في تلك الحادثة وزّعت الأموال المسروقة تلقائياً بين عناوين مرتبطة بالعملية. وربط المحققون مجموعات ذات صلة بخسائر تقارب 52.74 مليون دولار، ما يُظهر كيف يمكن لخدمات خلفية أن تتولى السرقة والمقايضات والتجميع وتقاسم الإيرادات بينما يركّز مشغّلون منفصلون على جذب الضحايا.
يمكن للمستخدمين في الولايات المتحدة الإبلاغ عن خسائر العملات المشفرة عبر FBI
بالنسبة للمستخدمين في الولايات المتحدة، يقبل مركز شكاوى الجرائم الإلكترونية التابع لمكتب التحقيقات الفيدرالي (FBI) تقارير تتعلق بالاحتيال بالعملات المشفرة والجرائم الأخرى الممكّنة إلكترونياً. ويقول المكتب إن بيانات الشكاوى يمكن أن تساعد المحققين في تحديد القضايا المترابطة، وتتبّع الأساليب الناشئة، وفي بعض الحالات تجميد الأموال المسروقة.
سجّل FBI خسائر مُبلّغ عنها في الجرائم الإلكترونية بلغت 16.6 مليار دولار خلال عام 2024، ارتفاعاً من 12.5 مليار دولار في 2023، وفقاً لأرقام نشرها المركز. وينصح المكتب الضحايا بتقديم تقارير حتى عندما لا يكونون متأكدين مما إذا كانت الشكوى تندرج ضمن فئة جريمة محددة، لأن الطلبات قد تُشارك مع وكالات إنفاذ القانون الفيدرالية أو الولائية أو المحلية أو الدولية.
كما زادت مجموعات الأمن على السلسلة من تركيزها على الهجمات التي تستخدم إجراءات مستخدم صحيحة لتنفيذ السرقة. وفي فبراير، دعمت مؤسسة إيثريوم مهندساً في Security Alliance مكلّفاً بتتبّع أدوات سحب المحافظ التي تستهدف مستخدمي إيثريوم وتعطيلها.
واستشهدت Security Alliance ببيانات تضع الخسائر المرتبطة بأدوات السحب عند 84 مليون دولار في 2025، وهو أدنى مستوى مسجّل. وتضم شبكتها الأمنية MetaMask وPhantom وWalletConnect وBackpack، التي تتبادل معلومات التهديدات المصممة لتحديد حملات التصيّد وغيرها من البنية التحتية الخبيثة.