加密安全报告：2024年5月

每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。

2024 年 5 月，MetaMask 推出了智能交易（Smart Transactions）——实现了 99.9% 的交易成功率、MEV 保护、预模拟功能以及更优化的网络费用设置。我们还发布了一份保护助记词（Secret Recovery Phrase）的新用户指南，并与 HAPI 就 Snaps 安全性展开了深入探讨。本月另一大事件是 Pink Drainer 宣布关闭，此前该组织已从约 20,000 名受害者处盗取了数千万美元。与此同时，Lazarus Group 的"传染性面试"（Contagious Interview）活动以虚假招聘信息为诱饵，专门针对区块链开发者发动攻击。此外，地址投毒攻击持续增加，其中一名受害者损失高达 6800 万美元。详细内容见下文，但首先……

精选 STEM 先驱：Jerry Lawson，游戏卡带之父

Gerald "Jerry" Lawson（1940–2011）是一位美国电子工程师，他带领团队开发了 Fairchild Channel F——首款采用可互换 ROM 卡带的家用游戏机，因此赢得了"游戏卡带之父"的称号。作为早期硅谷为数不多的黑人工程师之一，Lawson 构建了一套模块化系统，让用户能够安全地扩展新功能。这一设计理念与当今现代软件的扩展与隔离方式遥相呼应。

推出智能交易，提升成功率并提供 MEV 保护

交易效率低下不仅仅是安全问题，还可能让用户蒙受经济损失。本月，MetaMask 发布了智能交易功能，可实现 99.9% 的交易成功率、最大可提取价值（MEV）保护、交易前模拟以及更优化的网络费用设置。正如执行产品总监 Gal Eldar 所言，钱包"具有独特的优势，在很多方面也有责任直面这些用户痛点"。智能交易体现了 MetaMask 致力于让所有人的交易提交更安全、更简便、更高效、更可靠的承诺。

助记词、密码与私钥用户指南

作为持续用户教育工作的一部分，MetaMask 发布了一篇关于助记词、密码和私钥的支持文章，旨在帮助新用户避免常见且代价高昂的错误。这是一份值得分享给所有加密货币新手的优质资源，support.metamask.io 上还有更多相关内容。

MetaMask Snaps、安全性与尽职调查

MetaMask Snaps 是经过审核的可定制第三方插件，可扩展钱包功能。我们的 Christian Montoya 与 HAPI 共同主持了一场 X Space 活动，探讨 Snaps 如何通过创新提升用户安全性。他指出，安全是多维度的，用户在 Web3 旅程的不同阶段需要不同的保护措施：硬件钱包固然有价值，但"如果你与恶意去中心化应用交互，即使使用硬件钱包也可能被盗空。因此，MetaMask 专注于在多个领域引入安全服务提供商。"以安全为核心的 Snaps 仍在持续推出。

重温席卷加密圈的 1000 万美元"神秘黑客事件"

MetaMask 的 Taylor Monahan 正在调查一起神秘黑客事件——该事件已入侵多个加密货币钱包，并从长期用户处盗取了价值约 1000 万美元的以太币。她在接受 The Defiant 采访时分享了该事件最初发生的细节及最新进展，并指出：尽管随着调查深入，她对根本原因的判断有所演变，但事实本身并未改变——这又是一起与臭名昭著的 LastPass 数据泄露事件相关的攻击，我们在此前的月报中已有报道。据信，此次黑客属于某有组织团伙，已入侵至少 300 名受害者的助记词，这些助记词极有可能均通过 LastPass 存储。请记住：您的助记词应离线存储，并保存在只有您本人能够访问的安全位置。她还附上了 2023 年 9 月 Krebs on Security 的相关报道链接。

Pink Drainer 盗取逾 7500 万美元后宣布关闭

臭名昭著的加密钱包盗取工具 Pink Drainer 宣布关闭，此前其通过复杂的网络钓鱼手段从约 20,000 名受害者处敛财逾 7500 万美元。其声称："我们已实现目标，现在按计划是时候退出了。"（Scam Sniffer 援引 ZachXBT 的数据显示，该组织在短短一年内从约 20,000 名受害者处盗取了逾 7500 万美元。）Pink Drainer 自己也承认，其退出不太可能产生重大影响，因为"人们会像当初转向我们一样，迅速转向其他盗取工具"。骗子们突然良心发现了？还是另有隐情？我们的直觉指向后者……而且，由于许多其他盗取工具仍在活跃，一贯的建议依然有效：将大额资金存放在硬件钱包中，日常钱包仅保留少量资产，并针对不同风险级别使用不同账户。

Lazarus Group 的"传染性面试"活动针对区块链开发者

事件经过

Lazarus Group 是一个自 2007 年起活跃的高级持续性威胁（APT）组织，以 2014 年索尼影业攻击事件而臭名远播，近年来愈发频繁地将矛头指向金融机构和虚拟货币平台。安全研究人员发现了一系列攻击行动，攻击者通过在 LinkedIn、Upwork 和 Braintrust 等平台发布招聘信息，向区块链开发者发送含有恶意 JavaScript 的 ZIP 文件。与 Lazarus 的"传染性面试"活动如出一辙，这些攻击诱骗求职者运行恶意代码，从而窃取加密货币相关信息并植入恶意软件。

用户如何保护自己

为防范 Lazarus 等组织发动的网络钓鱼和恶意软件攻击，务必通过独立调查核实意外收到的招聘邀约的真实性，并保持良好的数字安全习惯。具体措施包括：使用最新版杀毒和反恶意软件，启用多因素认证（MFA）以增加额外的安全防护层，以及对来自未知来源的电子邮件附件和链接保持警惕。此外，及时更新所有软件对于防范可被利用的漏洞至关重要。养成这些习惯，可以显著增强个人抵御复杂网络威胁的能力，有效保护敏感信息安全。

地址投毒攻击持续增加，一名受害者损失 6800 万美元

事件经过

地址投毒是一种欺骗性手段，攻击者通过篡改受害者的交易历史，诱使其将资金发送至错误地址——近期就有一名受害者因此损失了 6800 万美元。这种诈骗手法包括创建假代币、使用与目标地址高度相似的"靓号"地址，以及利用 ERC-20 代币标准的"transferFrom()"函数。攻击者借助这些手段发起零值代币转账和伪造代币转账，使欺诈地址看起来合法可信。这类攻击专门设计来迷惑用户，使其在交易时复制错误地址，从而造成资金损失。这些手法的复杂程度，凸显了区块链领域网络威胁的持续演变。

用户如何保护自己

为防范地址投毒攻击，用户应避免直接从交易历史中复制地址，而应从可信来源获取地址。为地址设置域名可以提高辨识度，但用户也需警惕域名欺骗风险。利用钱包服务提供的地址簿功能，或在 Etherscan 等平台上为地址添加私人标签以建立可信地址白名单，可以帮助用户轻松识别并规避伪造地址。

MetaMask 2024 年 5 月加密安全报告涵盖了 MetaMask 智能交易的发布、Pink Drainer 从约 20,000 名受害者处盗取数千万美元后宣布关闭，以及地址投毒攻击持续增加（其中一名受害者损失 6800 万美元）等重要事件。浏览往期 MetaMask 加密安全报告，了解更多威胁动态、趋势分析及生态系统安全防护建议。