استغلال محفظة سولانا للمستخدم في أول حالة لهجوم تسميم الذكاء الاصطناعي

تزداد طرق حقن الروابط الخبيثة، ويبدو أنها انتشرت حتى إلى محادثات الذكاء الاصطناعي. في هذه الحالة، اقترح بوت الذكاء الاصطناعي خدمات API احتيالية، مما أدى إلى خسائر للمستخدمين. 

اكتشف مستخدم أن ChatGPT ليس حريصاً على الأمان كما توقع، خاصة مع الروابط المتعلقة بالعملات المشفرة عندما حاول إنشاء تطبيق بسيط للعملات المشفرة، وهو بوت دفع (token bumper) لـ Pump.fun. كان رابط API الذي قدمته ChatGPT ملوثاً وأدى إلى خسارة فورية. 

تصل بوت الدفع بالرموز إلى API المعيب، الذي انتهى به المطاف بطلب المفتاح الخاص للمحفظة وسحب جميع أصولها. تخدم هذه الحادثة كذكرى في الوقت المناسب بأن أدوات الذكاء الاصطناعي ليست موثوقة تماماً عندما يتعلق الأمر بأمان Web3.

كن حذرًا من المعلومات القادمة من @OpenAI! اليوم كنت أحاول كتابة بوت للتضخيم لـ https://t.co/cIAVsMwwFk وطلبت من @ChatGPTapp مساعدتي في الكود. حصلت على ما طلبته، لكنني لم أتوقع أن يوصيني ChatGPT بموقع API احتيالي لـ @solana. خسرت حوالي 2500 دولار 🧵 pic.twitter.com/HGfGrwo3ir

— r_ocky.eth 🍌🦍 (@r_cky0) نوفمبر 21، 2024

كان موقع API المزيف مشغولاً بسحب SOL من محافظ متعددة. وقد نفذ المستغل بالفعل 281 معاملة. وعلى الرغم من أن معظم المبالغ كانت صغيرة نسبياً، إلا أن جميع المحافظ المستخدمة كانت مخترقة. 

كانت شائعات هجمات تسميم الذكاء الاصطناعي موجودة منذ فترة، لكن الهجوم الأخير هو أول استغلال كامل في مجال العملات المشفرة.

ال مؤسس وأكدت شركة أمان السلاسل الجانبية SlowMist القصة، مشيرة إلى أن التفسير الأكثر احتمالاً هو أن المستخدم كان يلعب مع الذكاء الاصطناعي دون التحقق من الكود. كان المنتج النهائي بوتاً وظيفياً يحتوي على باب خلفي مقنع بعناية.

هجمات API المزيفة تستهدف متداولي الرموز التذكارية (meme tokens) على سولانا

استخدم المستغل رابط API الخاص به لسرق بعض أحدث الرموز التذكارية وتخزينها في معرّف معروف محفظة. وشملت الغنيمة USDC وSOL، بالإضافة إلى ELIZA وCHILLGIRL وAI16Z. 

تصرف الموقع بسرعة كبيرة أيضاً بعد كل اتصال. ومن غير المعروف من آخر اتصل بموقع API المزيف، الذي وجد طريقه إلى بيانات OpenAI. أحد التفسيرات المحتملة هو أن ChatGPT يصل إلى أكواد Python من مستودعات متعددة، والتي يمكن استخدامها لتلويث البيانات المتاحة. في النهاية، ينشأ نية سرقة بيانات المحفظة من وكيل بشري. الذكاء الاصطناعي هو مجرد أداة تضخيم. 

ولد الكود الذي أنشأته ChatGPT نفسه جزءاً يطلب المفتاح الخاص. ووفقاً لـ ScamSniffer، قام المستغلون بزراعة أكواد Python المولدة بالذكاء الاصطناعي عمداً، والتي كان من المقرر أن ينشرها المستخدمون لصيد رموز Pump.fun الجديدة. 

كان الوثوق بالكود الخطأ هو الخطأ الأول، حيث سارع المستخدمون إلى طلب بوتات تداول Moonshot أو Pump.fun. لا تزال بعض المستودعات نشطة، بينما تم الإبلاغ عن أخرى. 

لا يوجد ما يمنع المستخدمين من محاولة استخدام البوتات. لا تزال مستودعات أحد المستخدمين، Solanaapisdev، تحتوي على مخاطر بوتات التداول الفوري، والتي قد تؤدي إلى تفريغ المحافظ.

من غير المؤكد من أنشأ البوت، لكن السباق وراء الرموز التذكارية كان كافياً لجعل المستخدمين غير المدركين يسقطون ضحية لهذه البوتات التداولية الخبيثة. أفضل نهج هو تجنب استخدام المستودعات المجهولة، أو على الأقل مراجعة الكود بأفضل ما يمكن للمرء معرفته. 

والأسوأ من ذلك، تم الترويج لواجهات برمجة التطبيقات (APIs) المعيبة أيضاً في مقال على Medium، مما أدى إلى الوثائق صفحة تحمل نفس اسم مستودع GitHub المعيب. يتم الترويج للكود المتاح للمستخدمين النهائيين الذين يرغبون في أتمتة العملية على Jupiter وRaydium وPump.fun وMoonshot. 

بينما يمكن لبعض الخدمات الحد من الروابط المعيبة، فإن هناك القليل مما يمكن فعله عندما يقرر المستخدمون النهائيون المخاطرة بمحافظهم بأكواد غير موثقة.

مع إطلاق أكثر من 69 ألف رمز تذكاري جديد، وضع الحاجة والجشع للصيد السريع الأساس لنوع جديد من الاستغلال. ولم تذكر OpenAI كيف تم تدريب ChatGPT لإنشاء كود البوت الخطير. 

الخبيثة Zoom تتطور أيضاً عمليات الاحتيال بالروابط

هجوم متقن آخر يتطور في نفس الوقت مع استغلال API. رابط Zoom المزيف الذي يحمل البرمجيات الخبيثة تغير أيضاً. 

الخدمة، المعروفة سابقاً باسم Meeten، تنتشر الآن باسم Meetio، مما يدفع المستخدمين لتحميل الملفات. يستخدم البرمجيات الخبيثة أيضاً عناصر الهندسة الاجتماعية، مثل التواصل مع مؤثرين في مجال العملات المشفرة أو حاملي أصول كبار معروفين.

مؤخراً، سحبت واحدة من استغلالات اجتماعات Zoom المزيفة محفظة أحد المؤثرين، مما أدى إلى انهيار في GIGA أسعار الرموز. 

النصيحة في كل حالة هي تخزين المحافظ والمفاتيح الخاصة على جهاز مختلف عن الجهاز المستخدم للاتصالات الأكثر خطورة. بالنسبة لعمليات سك الرموز (token mints) والاتصالات الأخرى، فإن أفضل نهج هو استخدام محفظة مُخصصة حديثاً.