A TRM Labs afirmou que tutoriais falsos no YouTube atraíram vítimas para implantar e financiar contratos inteligentes maliciosos, resultando no roubo de 274,6 ETH de 224 vítimas. Segundo o ChainCatcher, o ETH roubado valia cerca de US$ 517.000 na época da transferência, e a perda mediana por vítima foi de 1 ETH.
O relatório, publicado em 14 de setembro, disse que o esquema não dependia de links de phishing, domínios falsos ou prompts de aprovação maliciosos. Em vez disso, as vítimas escolheram os tutoriais, copiaram o código, implantaram os contratos e os financiaram a partir de suas próprias carteiras, o que impediu que avisos de segurança padrão das carteiras e listas negras de phishing fossem acionados.
A TRM identificou 234 contratos implantados pelas vítimas e disse que os fundos, no fim, foram parar em seis endereços de recebimento controlados pelos operadores. Ela também encontrou nove tutoriais de YouTube quase idênticos publicados por diferentes criadores, usando hosts virtuais e narrações com voz gerados por IA para promover um suposto robô de negociação cripto totalmente automatizado criado com a Claude.
Em uma variante analisada pela TRM, um script de backend descartou o código-fonte colado pelas vítimas e buscou um contrato diferente no servidor do operador, enquanto o código limpo exibido na tela nunca chegou à blockchain. O contrato substituído aceitou depósitos e transferiu saldos acima de 0,05 ETH ao operador quando as vítimas pressionaram Iniciar ou Sacar, sem conter qualquer lógica de arbitragem ou funcionalidade de IA.