Un post non autorizzato è apparso sull'account X verificato del CEO di Robinhood Vlad Tenev il 24 luglio, promuovendo un memecoin fraudolento chiamato VLAD e condividendo un indirizzo di contratto token truffaldino. Il post è rimasto visibile per meno di 20 minuti, accumulando oltre 175.000 visualizzazioni prima che gli utenti lo segnalassero come sospetto. Robinhood ha successivamente confermato che l'account era stato compromesso e ha dichiarato di essere in coordinamento con X per ripristinare l'accesso e rimuovere i contenuti non autorizzati.

Servizi di monitoraggio on-chain hanno stimato che i wallet collegati all'incidente hanno prelevato circa 650 Ether (ETH), per un valore compreso tra 1,2 milioni e 1,3 milioni di dollari. L'attacco sottolinea come account verificati compromessi di dirigenti di alto profilo possano conferire falsa legittimità a promozioni di token fraudolenti, anche quando i post rimangono online solo per un breve periodo.

Promozione del finto token VLAD

Il post non autorizzato affermava falsamente che VLAD era il token mascotte ufficiale di Robinhood Chain e includeva un indirizzo di contratto per consentire agli utenti di acquistarlo. Il post dichiarava inoltre che il token sarebbe stato quotato sulla piattaforma di trading di Robinhood, sebbene Robinhood non avesse rilasciato alcun annuncio in tal senso.

Onchain Lens ha per primo segnalato la compromissione dell'account. L'esploratore blockchain di Robinhood Chain ha successivamente contrassegnato il contratto come truffa. Robinhood ha confermato l'incidente tramite il suo account Robinhood Comms su X, dichiarando di stare lavorando con X per ripristinare l'accesso. Il post non autorizzato era già stato rimosso a quel punto.

Secondo il monitor on-chain MLM, i wallet associati all'incidente hanno prelevato circa 650 ETH, per un valore di circa 1,2-1,3 milioni di dollari. Wu Blockchain ha condiviso su X i risultati segnalati.

Un investigatore online identificato come Jeff ha riferito che un wallet ritenuto collegato agli aggressori ha speso circa 126,81 dollari per acquisire 47,2 milioni di token VLAD. In base ai prezzi di mercato riportati all'epoca, la posizione mostrava un valore non realizzato di circa 159.000 dollari. Tuttavia, tale stima non indicava che l'intero importo avrebbe potuto essere venduto, poiché la liquidità per i token truffa è in genere limitata.

Attività su Robinhood Chain

La falsa promozione è emersa poco dopo il lancio di Robinhood Chain il 1° luglio. La blockchain è costruita come rete Ethereum Layer 2 (L2) utilizzando lo stack Arbitrum Orbit, elaborando circa 6 milioni di transazioni al giorno e supportando sia asset del mondo reale tokenizzati sia un attivo trading di memecoin.

I dati blockchain hanno mostrato che il token fraudolento ha registrato circa 1.868 transazioni poco dopo la distribuzione da parte di un contratto denominato PonsLaunchFactory, successivamente segnalato come truffa dall'esploratore blockchain.

L'incidente ha coinciso con l'annuncio che Robinhood Chain avrebbe lanciato V2, una delle sue piattaforme di lancio di token. La roadmap include una curva di legame (bonding curve) basata su ETH, l'integrazione con Uniswap V4, pagamenti ai creatori in ETH o asset selezionati, il supporto per coppie di trading personalizzate corrispondenti ad asset come USDG, AAPL, NVDA e HOOD, e funzionalità opzionali di token reflection, tra gli altri. Il sito ha precisato che i nuovi contratti sono ancora in fase di audit e non sono ancora stati implementati.

Modello di compromissioni dei social media

Sebbene il post non autorizzato sia rimasto online solo brevemente, i dati delle transazioni hanno indicato una continua interazione con il token prima della sua rimozione. Il messaggio ha sfruttato l'attività esistente intorno ai memecoin di Robinhood Chain e ha utilizzato la falsa dichiarazione di un listing ufficiale del token per attirare acquirenti.

L'incidente si aggiunge a una crescente serie di attacchi in cui account di social media compromessi sono stati utilizzati per promuovere token fraudolenti o distribuire indirizzi di contratto dannosi. I ricercatori di sicurezza osservano che, mentre le perdite da alcuni tipi di attacchi di phishing sono diminuite, altri sono degenerati in schemi più sofisticati di frode cryptocurrency. La tattica segue un modello ben documentato visto in precedenti incidenti di takeover di account di alto profilo, in cui gli aggressori sfruttano la credibilità di account verificati appartenenti a figure pubbliche e dirigenti aziendali per ampliare le truffe prima che la moderazione della piattaforma possa intervenire.