Truffa del bot di trading su YouTube svuota 256 ETH, Sentinel Labs indaga

I ricercatori di sicurezza informatica hanno scoperto una sofisticata truffa di criptovalute che opera tramite YouTube, dove attori malevoli attirano utenti ignari con falsi bot di trading. Queste truffe hanno già portato al furto di circa 256 Ether (ETH), valutati oltre $900.000 USD. L'operazione sfrutta account YouTube datati e sezioni commenti manipolate per creare una facciata di legittimità, promuovendo codice di smart contract mascherato da strumenti di trading avanzati.

Svelata la truffa del bot di trading su YouTube

SentinelOne Labs ha identificato una campagna diffusa e in corso che utilizza video di YouTube per promuovere quello che sembra essere un bot di trading di criptovalute. In realtà, il bot pubblicizzato è uno smart contract malevolo progettato per svuotare i portafogli digitali degli utenti. I video della truffa forniscono istruzioni passo-passo su come distribuire questo contratto utilizzando piattaforme come Remix Solidity Compiler. I link al codice malevolo sono spesso condivisi nelle descrizioni dei video, portando le vittime a siti esterni che ospitano gli smart contract "armati".

Tattiche usate dai truffatori

• Account YouTube datati: I truffatori utilizzano account YouTube attivi da molto tempo, spesso pieni di contenuti non correlati o notizie di criptovalute ripubblicate, per costruire un falso senso di credibilità.

• Contenuti generati dall'IA: Molti dei video della truffa sembrano essere generati dall'IA, presentando schemi vocali innaturali e movimenti facciali robotici, consentendo agli attaccanti di creare più video senza rivelare la loro identità.

• Manipolazione dei commenti: Le sezioni dei commenti di questi video sono pesantemente moderate, con feedback negativi probabilmente cancellati e testimonianze positive fabbricate per ingannare gli spettatori.

• Tecniche di offuscamento: Gli smart contract malevoli impiegano vari metodi, inclusa la crittografia XOR, la concatenazione di stringhe e grandi conversioni da decimale a esadecimale, per nascondere l'indirizzo del portafoglio dell'attaccante, rendendo difficile rintracciare i fondi rubati.

Come funziona la truffa

Alle vittime viene istruito di distribuire lo smart contract, che poi aggiunge l'indirizzo del portafoglio dell'attaccante, mascherato da indirizzo di trading. Una volta che la vittima finanzia il contratto con Ether, il truffatore ottiene la capacità di prelevare tutti i fondi depositati. La truffa spesso richiede un deposito minimo di 0,5 ETH per coprire le commissioni di gas e garantire un profitto sostanziale per gli attaccanti.

Successi notevoli della truffa

Una iterazione particolarmente riuscita della truffa, promossa tramite un video di YouTube dall'utente @Jazz_Braze, è riuscita a rubare circa 244,9 ETH, valutati oltre $900.000 USD. Questa truffa in particolare non ha mostrato i tipici segnali generati dall'IA, suggerendo un approccio più sofisticato. Altre truffe identificate hanno fruttato importi minori, che vanno da 4,19 ETH a 7,59 ETH.

Consigli e precauzioni degli esperti

Gli esperti di sicurezza informatica consigliano vivamente agli utenti di criptovalute di esercitare estrema cautela con gli strumenti di trading promossi tramite social media o contenuti video non verificati. È fondamentale ricercare a fondo qualsiasi strumento e convalidarne la funzionalità prima di distribuirlo, specialmente su una blockchain attiva. Se un'offerta sembra troppo bella per essere vera, probabilmente lo è, in particolare all'interno del volatile mercato delle criptovalute.

Fonti

• Truffe di Smart Contract | I "drainer" di Ethereum si spacciano per bot di trading per rubare criptovalute, SentinelOne.

• Truffa del bot di trading di criptovalute cattura vittime tramite YouTube, Cointelegraph.