TRM Labs mengatakan bahwa tutorial YouTube palsu memancing korban untuk menerapkan dan mendanai kontrak pintar berbahaya, sehingga 274.6 ETH dicuri dari 224 korban. Menurut ChainCatcher, ETH yang dicuri itu bernilai sekitar $517,000 saat ditransfer, dan kerugian median per korban adalah 1 ETH.

Laporan yang diterbitkan pada 14 September itu menyebutkan bahwa skema tersebut tidak mengandalkan tautan phishing, domain palsu, atau permintaan persetujuan berbahaya. Sebaliknya, korban memilih tutorial, menyalin kode, menerapkan kontrak, dan mendanainya dari dompet mereka sendiri, sehingga peringatan keamanan standar dompet dan daftar hitam phishing tidak terpicu.

TRM mengidentifikasi 234 kontrak yang diterapkan oleh para korban dan mengatakan bahwa dana tersebut pada akhirnya mengalir ke enam alamat penerima yang dikendalikan operator. TRM juga menemukan sembilan tutorial YouTube yang hampir identik, diunggah oleh kreator yang berbeda, dengan pembawa acara virtual dan sulih suara yang dibuat menggunakan AI untuk mempromosikan bot perdagangan kripto yang konon sepenuhnya otomatis dan dibuat dengan Claude.

Dalam salah satu varian yang dianalisis TRM, skrip backend membuang kode sumber yang ditempelkan korban lalu mengambil kontrak lain dari server operator, sementara kode bersih yang ditampilkan di layar tidak pernah sampai ke blockchain. Kontrak pengganti tersebut menerima setoran dan mentransfer saldo di atas 0.05 ETH kepada operator saat korban menekan Start atau Withdraw, tanpa menyertakan logika arbitrase maupun fungsi AI.