I metodi per inserire collegamenti dannosi sono in aumento e sembra che si siano diffusi anche nelle chat AI. In questo caso, il bot AI ha proposto servizi API truffa, che hanno portato alla perdita di utenti.
Un utente ha scoperto che ChatGPT non è così attento alla sicurezza come si aspettava, soprattutto con i collegamenti crittografici quando ha provato a creare una semplice app crittografica, un token bumper per Pump.fun. Il collegamento API fornito da ChatGPT è stato contaminato e ha causato una perdita immediata.
Il token bumper si è collegato all'API difettosa, che ha finito per richiedere la chiave privata del portafoglio e sottrarre tutte le sue risorse. L’incidente dent a ricordare tempestivamente che gli strumenti di intelligenza artificiale non sono del tutto affidabili quando si tratta di sicurezza Web3.
Fai attenzione alle informazioni di @OpenAI ! Oggi stavo provando a scrivere un bump bot per https://t.co/cIAVsMwwFk e ho chiesto a @ChatGPTapp di aiutarmi con il codice. Ho ottenuto ciò che avevo chiesto, ma non mi aspettavo che chatGPT mi consigliasse una truffa sul solana . Ho perso circa $ 2,5k 🧵 pic.twitter.com/HGfGrwo3ir
— r_ocky.eth 🍌 (@r_cky0) 21 novembre 2024
Il falso sito API è stato impegnato a sottrarre SOL da più portafogli. La destinazione dello sfruttatore ha già effettuato 281 transazioni. Sebbene la maggior parte delle somme fossero relativamente piccole, tutti i portafogli utilizzati erano compromessi.
Voci di attacchi di avvelenamento dell'IA circolano da un po', ma il recente attacco è il primo exploit completo nel settore delle criptovalute.
Il fondatore della società di sicurezza on-chain SlowMist ha confermato la storia, affermando che la spiegazione più probabile era che l'utente stesse giocando con l'intelligenza artificiale senza verificare il codice. Il prodotto finale era un bot funzionale con una backdoor accuratamente mascherata.
La falsa API Solana attacca i trader di token meme
Lo sfruttatore ha utilizzato il collegamento API per rubare alcuni degli ultimi token meme e archiviarli in un portafoglio noto dent . Il bottino includeva USDC, SOL, oltre a ELIZA, CHILLGIRL e AI16Z.
Inoltre, il sito ha agito in modo estremamente veloce dopo ogni connessione. Non è noto chi altro abbia effettuato la chiamata al falso sito API, che è riuscito a penetrare nei dati di OpenAI. Una possibile spiegazione è che ChatGPT accede al codice Python da più repository, che possono essere utilizzati per contaminare i dati disponibili. Alla fine, l’intento di rubare i dati del portafoglio ha origine da un agente umano. L’intelligenza artificiale è solo uno strumento di amplificazione.
Il codice creato dallo stesso ChatGPT ha generato una parte che richiedeva la chiave privata. Secondo ScamSniffer, gli sfruttatori hanno deliberatamente seminato codice Python generato dall'intelligenza artificiale, che gli utenti avrebbero distribuito per acquisire nuovi token Pump.fun.
Fidarsi del codice è stato il primo errore, poiché gli utenti si sono affrettati a richiedere bot di trading Moonshot o Pump.fun. Alcuni repository sono ancora attivi, mentre altri sono stati segnalati.
Non c'è nulla che impedisca agli utenti di tentare di utilizzare i bot. I repository di uno di questi utenti, Solana apisdev, contengono ancora bot di trading , che potrebbero finire per prosciugare i portafogli.
Non è chiaro chi abbia creato il bot, ma la corsa ai token meme è stata sufficiente per far innamorare gli utenti inconsapevoli di questi robot commerciali dannosi. L'approccio migliore è evitare di utilizzare repository sconosciuti, o almeno rivedere il codice al meglio delle proprie conoscenze.
Quel che è peggio, le API difettose sono state promosse anche in un articolo di Medium, che portava a una di documentazione con lo stesso nome del repository GitHub difettoso. Il codice disponibile viene promosso agli utenti finali che desiderano automatizzare il processo su Jupiter, Raydium, Pump.fun e Moonshot.
Sebbene alcuni servizi possano limitare i collegamenti difettosi, c’è poco da fare quando gli utenti finali hanno deciso di rischiare il proprio portafoglio con codice non verificato.
Con oltre 69.000 nuovi token meme lanciati, la necessità e l'avidità di uno sniping rapido ha gettato le basi per un nuovo tipo di exploit. OpenAI non ha menzionato come ChatGPT sia stato addestrato a creare il codice bot rischioso.
Anche le truffe dannose Zoom
Un altro attacco elaborato si sta evolvendo contemporaneamente all’exploit API. il falso collegamento Zoom che scarica malware è cambiato.
Il servizio, precedentemente noto come Meeten, si sta ora diffondendo come Meetio, invitando gli utenti a scaricare file. Il malware utilizza anche elementi di ingegneria sociale, come raggiungere influencer di criptovalute o detentori noti su larga scala.
Di recente, uno dei falsi exploit delle riunioni Zoom ha prosciugato il portafoglio di un influencer, portando a un crollo dei GIGA .
Il consiglio in ogni caso è quello di conservare wallet e chiavi private su un dispositivo diverso da quello utilizzato per le connessioni più rischiose. Per le monete token e altre connessioni, l'approccio migliore è utilizzare un portafoglio appena assegnato.
Accademia crittopolitana: in arrivo - un nuovo modo per guadagnare entrate passive con DeFi nel 2025. Scopri di più
