No hay evidencia que indique si fue un envenenamiento intencional para GPT o si GPT lo recopiló activamente.
Escrito por: shushu
Recientemente, un usuario que intentaba desarrollar un bot automático para pump.fun buscó ayuda de código en ChatGPT y terminó siendo víctima de un fraude en línea. Este usuario siguió las instrucciones del código proporcionado por ChatGPT y accedió a un sitio web de API de Solana que se le recomendó. Sin embargo, este sitio web era en realidad una plataforma de fraude, lo que llevó al usuario a perder alrededor de 2500 dólares.
Según la descripción del usuario, una parte del código requiere enviar la clave privada a través de la API. Debido a que estaba ocupado, el usuario utilizó su billetera principal de Solana sin revisar. Al reflexionar después, se dio cuenta de que había cometido un grave error, pero en ese momento, la confianza en OpenAI le hizo ignorar los riesgos potenciales.
Después de usar esta API, los estafadores actuaron rápidamente, transfiriendo todos los activos de la billetera del usuario a la dirección FdiBGKS8noGHY2fppnDgcgCQts95Ww8HSLUvWbzv1NhX en solo 30 minutos. Al principio, el usuario no había confirmado completamente que el sitio tenía problemas, pero al revisar detenidamente la página principal de ese dominio, encontró señales sospechosas claras.
Actualmente, este usuario hace un llamado a la comunidad para ayudar a bloquear este sitio web de @solana y eliminar la información relacionada de la plataforma @OpenAI, para prevenir que más personas sean víctimas. También espera poder llevar a los estafadores ante la justicia a través de la investigación de las pistas dejadas por ellos.
Scam Sniffer encontró repositorios de código malicioso cuyo objetivo es robar claves privadas a través del código generado por IA.
• solanaapisdev/moonshot-trading-bot
• solanaapisdev/pumpfun-api
El usuario de Github 'solanaapisdev' ha creado múltiples repositorios de código en los últimos 4 meses, tratando de inducir a la IA a generar código malicioso.
La razón por la que la clave privada de este usuario fue robada es que su clave privada fue enviada directamente al sitio de phishing en el cuerpo de la solicitud HTTP.
El fundador de SlowFog, Yuxian, expresó: 'Todas estas son prácticas muy inseguras, todo tipo de envenenamiento. No solo cargan la clave privada, sino que también ayudan a los usuarios a generar claves privadas en línea para que las utilicen. La documentación también está escrita de manera pretenciosa.'
También mencionó que los contactos de estos sitios de código malicioso son muy limitados, la página oficial no tiene contenido, y se basa principalmente en documentación + repositorios de código. 'El dominio fue registrado a finales de septiembre, lo que hace pensar que fue un envenenamiento premeditado, pero no hay evidencia que indique si fue un envenenamiento intencional para GPT o si GPT lo recopiló activamente.'
Scam Sniffer ofrece recomendaciones de seguridad para el código creado con asistencia de IA, incluyendo:
• Nunca uses ciegamente el código generado por IA
• Siempre revisa cuidadosamente el código
• Mantén la clave privada en un entorno fuera de línea
• Usa solo fuentes confiables