가짜 AI 트레이딩 로봇 튜토리얼, 224명 피해자를 속여 악성 컨트랙트 배포 유도

9월 14일 블록체인 인텔리전스 기업 TRM Labs가 보고서를 발표하여, 가짜 YouTube 튜토리얼이 AI 기반 암호화폐 차익거래 봇 구축을 미끼로 224명의 피해자를 유인해 악성 스마트 컨트랙트를 배포하고 자금을 예치하도록 하여 274.6 ETH를 탈취했다고 밝혔다. TRM은 피해자들이 배포한 총 234개의 컨트랙트를 확인했으며, 자금은 최종적으로 운영자가 통제하는 6개의 수금 주소로 흘러들어갔다. 탈취된 ETH는 이체 시점 기준 약 51만 7천 달러 상당이었고, 사건당 중간 손실액은 1 ETH였다. 일반적인 지갑 탈취 공격과 달리, 이 사기는 피싱 링크, 위장 도메인, 악성 승인 프롬프트를 사용하지 않았다. 피해자들은 스스로 튜토리얼을 선택하고 코드를 복사하여 컨트랙트를 배포하고 자신의 지갑에서 자금을 예치했으며, 각 단계는 피해자 본인이 승인했다. 그 결과 지갑 보안 경고와 피싱 블랙리스트가 작동하지 않았다. TRM은 서로 다른 크리에이터로 위장한 9개의 거의 동일한 YouTube 튜토리얼을 발견했는데, 이들은 AI 생성 가상 진행자와 음성을 사용하여 Claude로 완전 자동화된 암호화폐 트레이딩 봇을 구축하겠다고 약속하고 피해자들을 운영자가 통제하는 컴파일러 웹사이트로 유도했으며, 일부는 일반적으로 사용되는 Remix 개발 환경을 모방했다. TRM이 분석한 한 변종에서는 백엔드 스크립트가 피해자가 붙여넣은 소스 코드를 버리고 운영자 서버에서 다른 컨트랙트를 가져왔으며, 화면에 표시된 깨끗한 코드는 온체인에 올라가지 않았다. 대체된 컨트랙트는 예치금을 받고 피해자가 시작 또는 출금 버튼을 누르면 0.05 ETH를 초과하는 모든 잔액을 운영자에게 전송했으며, 컨트랙트에는 차익거래 로직이나 AI 기능이 포함되지 않았다.