加密安全报告：2025年4月

2025年4月，是一个真相揭露的月份。一位备受尊敬的安全研究员被证实是朝鲜特工，正是Radiant Capital 5000万美元黑客事件的幕后黑手。Lazarus Group通过THORChain将Bybit被盗的12亿美元洗白，而THORChain的运营者却以去中心化为由置之不理。FBI的IC3报告显示，2024年美国加密货币欺诈损失高达93亿美元，较上年增长66%。Forta发现，Base链上Uniswap V2中近90%的代币均为硬性跑路项目。与此同时，两个新命名的威胁行为者登上舞台：SLOVENLY COMET通过被攻陷的SMS基础设施拦截MFA验证码；ELUSIVE COMET则伪造彭博社Zoom邀请，入侵加密钱包。不过，也有好消息值得分享——MetaMask在2024年荣登Coinspect钱包安全排行榜第一名，彰显了我们长期以来对用户安全的坚定承诺。请继续阅读详情，但首先……

STEM先驱人物：斯万特·阿伦尼乌斯——首位将CO₂浓度与全球变暖联系起来的科学家

斯万特·阿伦尼乌斯是第一位运用物理化学方法，将CO₂浓度上升与地球变暖联系起来的科学家。

MetaMask蝉联Coinspect最安全钱包排行榜第一名

我们再次做到了！根据Coinspect的评测，MetaMask Extension荣获最安全自托管浏览器钱包第一名。安全评分满分100分，基于四项钱包安全检查清单，涵盖去中心化应用权限、意图验证、物理访问及威胁防护。再次感谢Coinspect团队的认可。

尽管2025年4月15日为太阳节，朝鲜相关行动仍持续活跃

尽管朝鲜高级持续性威胁（APT）的活动可能在4月15日太阳节前后短暂有所减少，但与朝鲜相关的行动在整个4月依然活跃。像MetaMask的Taylor Monahan这样坚守正义的安全研究员，在揭露朝鲜战术、发现恶意活动方面持续发挥着关键作用。

安全研究员Nick Franklin被曝为朝鲜支持的威胁行为者，系Radiant Capital黑客事件幕后主谋

曾在Twitter上以安全专家身份广受尊敬的Nick Franklin，据称一直在秘密为朝鲜效力。他被认为参与了高级网络间谍行动和加密货币盗窃活动，包括去年秋天对Radiant Capital发动的5000万美元黑客攻击。

一年多来，Franklin通过及时分析重大漏洞事件，在加密社区中建立起信任，最终却被揭露以安全报告为幌子传播恶意应用程序文件。在Taylor Monahan的协助下，对这一事件的调查揭开了更大规模的朝鲜特工网络，这些特工从事各类恶意活动，从创建虚假协议到实施高调盗窃，深刻暴露了加密行业安全体系中存在的重大人为漏洞。

Lazarus Group通过THORChain洗白Bybit黑客事件所得12亿美元

2025年2月，朝鲜Lazarus Group对加密货币交易所Bybit发动了14亿美元的黑客攻击，创下迄今最大规模加密货币盗窃记录。调查显示，约12亿美元被盗资金通过THORChain进行洗白——THORChain是一个无需中介即可实现加密货币兑换的去中心化跨链协议。尽管当局施压，THORChain的运营者以网络去中心化为由，拒绝封锁与此次盗窃相关的交易。

Taylor Monahan对THORChain的立场提出批评，指出尽管该平台标榜去中心化，其开发者和验证者——其中许多人所在司法管辖区拥有严格的反洗钱法规——却从与被洗白资金相关的交易手续费中获得了可观收益。Monahan强调，以去中心化为名为此类活动提供便利，在道德和法律层面均存在严重问题。

安全研究员公布朝鲜特工照片及情报

安全研究员Cookie Connoisseur披露了部分APT对手的个人资料和行为特征，并附有照片。其他研究员也纷纷加入，共同交流信息。

FBI IC3报告：2024年美国加密货币欺诈损失达93亿美元，较2023年增长66%

根据FBI 2024年互联网犯罪投诉中心（IC3）年度报告，美国加密货币相关欺诈损失已超过93亿美元，较2023年增长66%。

这些损失源于多种诈骗手段，包括投资诈骗、勒索、性勒索，以及涉及加密ATM和自助终端的欺诈活动。报告还指出，在所有年龄群体中，60岁以上的受害者在加密货币类别中遭受的经济损失最为惨重，这进一步凸显了加强教育、完善平台预警机制以及为老年用户提供保护措施的迫切需要。

Forta发现Base链上Uniswap V2中90%的代币为硬性跑路项目

我们的合作伙伴Forta发现，在28天内，部署在Base区块链Uniswap V2流动性池中的代币，近90%均为硬性跑路项目——即专门设计用于骗取投资者资金的恶意代币。Base链低廉的部署成本和简便的操作流程，使其成为诈骗者实施"广撒网"战术的温床：批量部署虚假代币、模拟交易活动，一旦用户入场便迅速撤走流动性。

仅一名行为者就与逾19,000个诈骗代币相关联，充分说明了这一问题的规模之大。Forta呼吁建立更强有力的主动防御机制，例如其推出的Forta Firewall，以帮助用户抵御此类快速部署的欺诈活动。

供应链攻击通过恶意pdf-to-office npm包篡改加密钱包地址

事件经过

威胁行为者植入了一个名为pdf-to-office的恶意包，该包伪装成PDF转Word文档工具，实则针对Atomic Wallet和Exodus等加密货币钱包发动攻击。

该包于2025年3月24日首次发布，已多次更新，目前仍可下载，累计下载量达334次。它通过注入恶意代码，在交易过程中将收款方钱包地址替换为攻击者的地址。这种方式能确保恶意软件在开发者系统中持久驻留，对软件供应链安全构成重大威胁。

用户如何保护自身

为防范供应链攻击，请在安装npm包之前验证其真实性，并保持加密货币钱包软件处于最新版本。密切监控钱包活动，若怀疑遭到入侵，应立即卸载并从可信来源重新安装。使用可靠且持续更新的安全软件检测威胁，同时保持信息畅通——与团队共享知识，共同提升整体安全意识和应对能力。

LavaMoat等工具也能提供帮助，通过沙箱化JavaScript依赖项并执行安全策略，降低软件供应链中恶意行为的风险。

SMS基础设施遭利用，针对加密用户的多因素认证验证码被拦截

事件经过

一个新发现的威胁行为者被命名为SLOVENLY COMET，该组织利用SMS基础设施中的漏洞拦截多因素认证（MFA）验证码，导致Telegram账户遭到未经授权的访问，尤其波及阿根廷加密社区。

攻击者借助一个Telegram机器人系统性地收集含有MFA验证码的短信，受影响用户涵盖多个服务平台，包括Google、Microsoft、Apple、Telegram、Facebook、Mercadolibre、Amazon、Binance、Instagram、TikTok、Temu和Signal。此次泄露事件被追溯至一家遭到入侵的SMS网关服务商，再次凸显了基于短信的身份验证方式所存在的安全风险。

用户如何保护自身

Security Alliance的SEAL团队建议用户和服务提供商放弃基于短信的MFA，转而采用更安全的替代方案，如身份验证器应用或硬件令牌。对于可能受到SLOVENLY COMET影响的用户，建议立即采取行动，保护账户安全并检查身份验证设置。

伪造彭博社Zoom邀请被用于入侵加密钱包

事件经过

随着Zoom诈骗事件日益增多，Trail of Bits的安全研究员现已曝光ELUSIVE COMET：这是一个针对加密社区实施复杂社会工程学攻击的威胁行为者。

攻击者以"Bloomberg Crypto"系列节目为名发送虚假邀请，企图通过Zoom远程控制功能入侵加密钱包。具体手法是在通话过程中以修复音视频问题为由，诱骗受害者安装恶意软件。这一发现凸显了网络威胁日益复杂的趋势，尤其是那些利用区块链行业运营安全漏洞的攻击手段。

用户如何保护自身

为防范ELUSIVE COMET等社会工程学攻击，务必对主动发来的邀请保持警惕——尤其是那些提供看似异常的媒体机会或合作邀约。始终通过官方渠道核实此类联系的真实性，例如确认的电子邮件地址或直接联系相关机构。

此外，除非绝对必要，否则应限制或禁用Zoom远程控制访问等功能，并确保系统定期更新，同时通过严格的访问控制加固系统安全。强大的终端保护与实时监控必不可少，同时也要持续对团队开展常见攻击手法的安全教育。

如需进一步了解ELUSIVE COMET，请参阅Jake Gallen的深度分析。

MetaMask 2025年4月加密安全报告涵盖了以下内容：一位受信任的安全研究员被曝为朝鲜特工、Bybit被盗的12亿美元通过THORChain洗白，以及针对加密用户的复杂Zoom和SMS攻击手段。欢迎浏览MetaMask加密安全报告往期内容，获取更多威胁动态、行业趋势及生态系统安全防护建议。