加密安全报告：2025年8月

每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。

2025 年 8 月，一个共同主题持续浮现：即便是谨慎、经验丰富的安全从业者也可能遭受诈骗。一位拥有十年无懈可击操作安全记录的以太坊核心开发者，因一个仿冒 AI 编程扩展而痛失钱包。AI 生成的恶意软件悄然混入 npm，在被下架前已被下载逾 1,500 次。LastPass 数据泄露事件的余波也再度涌现——本月通过被攻陷的 Toptal GitHub 组织再次浮出水面。威胁正日益潜伏于开发者工具和供应链之中，而用户往往对这些工具默认信任，这也正是 MetaMask 推出 Kipuka 的原因——这是一款专为抵御此类威胁而打造的全新 LavaMoat 工具。详情请见下文，但首先……

STEM 先驱人物：Alonzo Church 与 lambda 演算的发展

数学家 Alonzo Church 发展了 lambda 演算，这是计算机科学的基础性框架。他与弟子 Alan Turing 共同提出了 Church-Turing 论题，定义了一个问题"可计算"的真正含义。为严格推理一个系统能做什么、不能做什么而构建形式化基础，与可证明、可验证的安全性背后的思维逻辑如出一辙。

MetaMask 推出全新 LavaMoat 工具包 Kipuka

Kipuka 是 MetaMask 全新的 LavaMoat 安全工具包，专为保护开发者免受有害 npm 包侵害而设计。具体而言，它旨在降低恶意 npm 包在安装时或开发过程中试图破坏或入侵开发者本地机器的攻击成功率。随着窃密恶意软件日益猖獗，以及通过 npm 包传播的针对桌面端的蠕虫病毒不断增多，Kipuka 致力于使此类攻击失效，即便攻击手段不局限于安装脚本也不例外。

将开发环境置于容器或虚拟机（VM）中并非新鲜事。Kipuka 的独特之处在于：安装后，它会透明地在容器中运行您对 npm cli（或其他包管理器）的调用，无需手动设置或启动安全环境。

申请提前体验 Kipuka，在正式 Beta 版发布前测试其与各种工作流和配置的兼容性。

LavaMoat Webpack 插件获得兼容性更新

MetaMask 的 LavaMoat Webpack 插件也于 2025 年 8 月完成更新，进一步提升了与 Webpack 功能、浏览器能力及生态系统的兼容性。该插件现已正式退出 Beta 阶段。立即在您的 Web UI 项目中使用，并持续关注我们所有的最新 LavaMoat 版本发布。

谷歌将全面封禁非托管钱包的传言纯属无稽之谈

8 月中旬，加密推特（CT）上开始流传谷歌即将在其应用商店封禁非托管钱包的谣言。事实并非如此，谷歌官方已亲自辟谣。简而言之：MetaMask 不会消失。

Coinbase 在近 7 万用户数据泄露后，力推基于 ZK 的反洗钱改革

就在遭遇影响近 7 万名用户的重大数据泄露事件仅数月之后，Coinbase 如今正将密码学隐私工具视为其所称"陈旧"金融犯罪法律的潜在解决方案。Coinbase 首席法务官 Paul Grewal 解释道，《银行保密法》（BSA）"仍植根于数十年前的要求，反映的是基于纸质文件的合规流程，以及资金流转需要数天而非数秒的金融体系。"

"除了每次重复 KYC 流程让用户感到烦恼之外，这些个人档案对犯罪分子而言就是蜜罐。法律要求企业保存您的数据长达数年，并将这些数据上报给官僚机构。"尽管 Coinbase 并未直接将数据泄露归咎于 BSA，但该公司似乎正试图将舆论引导至一场关于 BSA 监管要求及其相关风险的更广泛讨论。我们将持续关注事态进展……

土耳其拘押加密研究员 Fede Intern，事发于 Roman Storm 定罪之后

继 Tornado Cash 开发者 Roman Storm 在土耳其受审定罪之后，一位名为 Fede's Intern（又名 Federico Carrone）的研究员在试图入境土耳其时，被土耳其机场人员带走拘押。他遭拘留的原因，是内政部长提起的一项指控——称其协助他人滥用以太坊。而他与此事的唯一关联，似乎仅是一篇探讨 Tornado Cash 去匿名化技术的学术论文。Carrone 从未为 Tornado Cash 开发任何隐私功能。

Carrone 本人表示："内政部长提起诉讼，指控我协助他人滥用以太坊，据称与某隐私协议有关。编写使交易私密化的代码并不会让你成为罪犯。罪犯是那些违法之人。"

MetaMask 的 Taylor Monahan 也发表了看法："美国对待加密货币方式的一个更耐人寻味却鲜有报道的负面影响，是其对其他国家乃至全球的冲击。这些国家往往处于无能、失序与彻底腐败之间的某个位置。"

LastPass 泄露事件余波未平，Toptal GitHub 遭入侵

软件公司 Toptal 的 GitHub 组织遭到入侵，部分软件包在发布时被植入恶意脚本。这折射出一种更广泛的诈骗趋势——恶意软件被悄悄混入知名软件包之中。

事件曝光后，Toptal 还披露，Picasso 和 Xene 两个软件包于 2025 年 6 月 20 日遭到数小时的入侵。Toptal 认为此次事件与 LastPass 数据泄露导致的凭证泄露有关。

如果您以为 LastPass 这场大规模泄露事件的影响已经告一段落，请再想想！加密货币曾是、也仍将是最早的攻击目标。请立即更新您在泄露事件发生前存储于 LastPass 中的所有内容。

加拿大主导的全球网络联盟"Atlas 计划"追回逾 7000 万美元被盗加密资产

Atlas 计划是一项以受害者为中心的行动，由安大略省警察局网络诈骗专案组（CEFT）主导，专注于识别和打击投资诈骗。该计划由加拿大牵头，但覆盖范围遍及全球，汇聚了国际执法机构与私营部门利益相关方组成的联合阵线。迄今为止，该计划已从逾 2,000 个钱包中追查出超过 7,000 万美元的被盗加密资产，并冻结了其中 5,000 万美元。

恶意 AI 扩展插件清空以太坊核心开发者钱包

事件经过

Coin Telegraph 报道，以太坊核心开发者 Zak Cole 尽管具备良好的操作安全意识，仍遭一款恶意 AI Cursor 扩展插件洗劫一空。Cole 解释道："十多年来，我从未因黑客攻击损失过一个 wei。然而上周，我急于部署一份合约……"

此次攻击通过创建一个利用仿冒域名（typosquatting）手法模仿合法扩展的恶意插件来实施。攻击者冒充知名发布者 Juan Blanco，伪装成其发布的正规 Solidity 扩展。恶意扩展的发布者名称为"Juan Bianco"，而非"Juan Blanco"。

用户如何保持安全

即便您正赶着快速交付，也务必仔细阅读细则。请记住：由于字体排版的原因，恶意扩展中的某些字符和设计元素看起来可能与正版完全相同，这正是可被利用的攻击向量。

诈骗者甚至能够在应用商店中为其伪冒扩展投放广告。为保护自身安全，在将扩展添加到 IDE 之前，请务必核查其发布日期。Cole 还指出，该扩展尽管仅发布了几天，下载量却异常之高。这极不寻常，因为扩展插件通常不会在如此短的时间内积累如此庞大的下载量。此外，还需留意网站描述中奇怪的词语组合，以及开发者位于不寻常地点的情况。

破解朝鲜黑客设备，揭露其渗透加密项目的策略

事件经过

一位身份不明的安全研究员入侵了一名朝鲜（DPRK）IT 黑客的设备，揭示了一支规模不大的朝鲜团队如何管理大量虚假身份、混入软件开发岗位的内幕。ZachXBT 披露，这支朝鲜 IT 团队已深度渗透至五家加密公司。黑客通过购买虚假身份、LinkedIn 账号和 Upwork 账号来谋取职位，以此手段积累可信开发者的声誉。

用户如何保持安全

如果您是一家加密公司，且怀疑已遭入侵：首先，应核查朝鲜工作人员已曝光的 LinkedIn、GitHub 和电子邮件账号是否存在于您的组织中。其次，应调整招聘流程，增加验证潜在员工实际位置的环节。

AI 生成恶意软件在被下架前已获逾 1,500 次下载

事件经过

AI 生成的恶意软件被上传至 NPM，在被删除前已有逾 1,500 人下载。该软件包利用 postinstall 脚本窃取受害者的私钥。这些 postinstall 脚本被设计为可隐藏于 Windows、Mac 和 Linux 设备之中。一旦安装，恶意软件便会扫描存储私钥的文件。

用户如何保持安全

开发者可借助 LavaMoat 提供的安全控制措施来保障安全。使用 @lavamoat/allow-scripts 和 Kipuka 可防止恶意 postinstall 脚本渗入您的应用程序。此外，务必确保只下载和执行来自可信来源发布的项目。如果必须下载未经验证或冷门的软件包，最好使用一次性虚拟机来下载和执行这些项目。这样一来，即便虚拟机遭到入侵，您个人电脑上的私密信息也能得到保护。

MetaMask 2025 年 8 月加密安全报告涵盖了以下内容：全新 LavaMoat 工具 Kipuka 的发布、Coinbase 力推基于 ZK 的反洗钱改革、朝鲜黑客设备被破解后揭露的 IT 渗透策略、以太坊核心开发者遭恶意 AI 扩展洗劫，以及土耳其拘押加密研究员 Fede Intern 事件。浏览往期 MetaMask 加密安全报告，获取更多威胁资讯、趋势分析及生态系统安全防护建议。