近日，一位用戶在嘗試為 pump.fun 開發(fā)一個自動頂貼機器人時，向 ChatGPT 尋求代碼幫助，結(jié)果卻意外遭遇了網(wǎng)絡(luò)詐騙。這位用戶按照 ChatGPT 提供的代碼指引，訪問了一個被推薦的 Solana API 網(wǎng)站。然而，這個網(wǎng)站實際上是一個詐騙平臺，導(dǎo)致用戶損失了約 2500 美元。
根據(jù)用戶描述，該代碼的一部分要求通過 API 提交私鑰。由于操作繁忙，用戶未加審查便使用了自己的主 Solana 錢包。事后回想，他意識到自己犯下了一個嚴(yán)重的錯誤，但在當(dāng)時，對 OpenAI 的信任讓他忽視了潛在的風(fēng)險。
在使用該 API 后，詐騙者迅速展開行動，僅用 30 分鐘就將用戶錢包中的全部資產(chǎn)轉(zhuǎn)移到了地址 FdiBGKS8noGHY2fppnDgcgCQts95Ww8HSLUvWbzv1NhX。起初，用戶并未完全確認(rèn)該網(wǎng)站存在問題，但在仔細(xì)檢查該域名的首頁后，發(fā)現(xiàn)了明顯的可疑跡象。
目前，這位用戶呼吁社區(qū)幫助屏蔽這個 @solana 網(wǎng)站，并將相關(guān)信息從 @OpenAI 平臺中移除，以防更多人受害。他也希望能通過調(diào)查對方留下的線索，將詐騙者繩之以法。
Scam Sniffer 調(diào)查發(fā)現(xiàn)了惡意代碼倉庫，其目的是通過 AI 生成的代碼竊取私鑰。
? solanaapisdev/moonshot-trading-bot
? solanaapisdev/pumpfun-api
Github 用戶「solanaapisdev」在過去 4 個月內(nèi)創(chuàng)建了多個代碼倉庫，試圖引導(dǎo) AI 生成惡意代碼。
這位用戶私鑰被盜的原因是其私鑰在 HTTP 請求 body 里被直接發(fā)送給釣魚網(wǎng)站。
慢霧創(chuàng)始人余弦發(fā)言表示「這些都是非常不安全的實踐，各種投「毒」。不僅上傳私鑰，還幫用戶在線生成私鑰，給用戶用。文檔也是寫得裝模做樣的。」
他還表示這些惡意代碼網(wǎng)站聯(lián)系方式很單一，官網(wǎng)沒有內(nèi)容，主要就是文檔 + 代碼倉庫?！赣蛎?9 月底注冊的，不得不讓人覺得是有預(yù)謀的投毒，但沒有證據(jù)表明是刻意投毒給 GPT，還是 GPT 主動采集?！?/p>
Scam Sniffer 針對使用 AI 輔助代碼創(chuàng)建的安全建議，包括：
? 切勿盲目使用 AI 生成的代碼
? 始終仔細(xì)審查代碼
? 將私鑰保存在離線環(huán)境中
? 僅使用可信來源