Numa Lunah, a Refi Hub társalapítója azt állítja, hogy egy transzkripciós alkalmazás letöltése, amelyet egy Claude chat ablakon keresztül osztottak meg, rosszindulatú program fertőzést okozott az eszközén. A letöltés azt állította, hogy a felhasználókat egy legitim webhelyre irányítja, de valójában egy hamisított weboldalra mutatott, amely rosszindulatú szoftvert tartalmazott, amely az adatokat gyűjtötte a laptopról.

Lunah újraformázta a fertőzött gépet, és nem jelentett adatlopásra utaló jeleket. A biztonsági mentéseiben később rábukkant egy kompromittált Claude Code készségfájlra, amely SKILL.md néven volt elnevezve, és amelyet egy általa írt stílus útmutatóként álcázott, és állítólag tartalmazta a rosszindulatú program újraaktiválására és a hitelesítő adatok ellopására vonatkozó utasításokat.

A Microsoft Defender szakértői figyelmeztettek, hogy a támadók eltávolodnak a keresési eredmények megmérgezésétől, és a nagy nyelvi modellek válaszainak megfertőzésére összpontosítanak. A jelentett taktikák közé tartoznak a támadó által irányított letöltési linkek, hamis AI márkájú telepítők, valamint kompromittált kód tárolók és ügynöki készségek.

Az elemzés megjegyzi, hogy a kripto szektorban dolgozók visszafordíthatatlan hitelesítő adatokkal rendelkezhetnek, például seed frázisokkal, privát kulcs fájlokkal, hot wallet JSON fájlokkal, tőzsdei API kulcsokkal, amelyek visszavonási engedélyekkel rendelkeznek, és telepítő kulcsokkal, hangsúlyozva a hitelesítő adatok ellopásának potenciális hatását.