每个月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。
2024 年 12 月清楚地说明了一件事：骗子不会因为节假日而停歇。黑客开始污染 AI 训练数据，将恶意加密代码悄悄植入开发者的工作流程；Lazarus Group 持续将 LinkedIn 当作地狱版招聘平台加以利用；Solana 的 @solana/web3.js 库遭遇供应链攻击，私钥成为攻击目标。与此同时，LastPass 数据泄露事件造成的损失在原始事件发生两年后已突破 2.5 亿美元，WallStreetBets 的 X 账号遭到入侵，价值 220 万美元的 meme 币被盗。在主动安全防御方面，Immunefi 发起了以太坊协议攻击马拉松，奖励池高达 150 万美元；Luker 也登上 Devcon SEA 的舞台，深入剖析了社会工程学在各个威胁层级中的运作方式。完整详情见下文，但首先……
Clifford Stoll，绰号"撰写黑客追踪指南的疯狂科学家"，摄于其位于加利福尼亚州的工作室。
如果您错过了，Luker 曾做过一次概述，介绍脚本小子、犯罪集团和高级持续性威胁如何运用社会工程学。了解用户如何遭到洗劫、加密货币公司和开发者如何被欺骗，并深入了解让她夜不能寐的"杀猪盘"背后的恶意手段。欢迎收看！（附注——杀猪盘是一种长期存在的加密货币诈骗方式，攻击者会在数周乃至数月内与受害者建立关系，赢得信任，伪造亲密感，甚至展示虚假收益，最终说服受害者将资金转入骗子控制的平台。这一名称源于"先养肥再宰杀"的比喻。不涉及任何对猪的伤害。诈骗的目标是真实的人。）
同源 Realm 是一种让浏览器安全运行脚本并隔离来自同一来源的不同网页的机制，在处理嵌入内容（如 iframe）或加载不受信任的脚本时尤为有用。
Gal Weizman 的文章探讨了开发者如何利用这些 Realm 构建更安全、更高效的 Web 应用。他重点介绍了 Realms-Initialization-Control（RIC）——该机制允许开发者控制脚本的初始化方式，从而增加一层额外的安全保障。这有助于防范常见的 Web 漏洞，使应用更加健壮。如何在安全性与开发便捷性之间取得平衡仍是一大挑战，但此类技术进步正在为更安全的互联网铺平道路。
Taylor Monahan 近期披露了与朝鲜有关联的 Lazarus Group 所采用的复杂社会工程学手段：通过社交媒体或即时通讯应用联系员工，以招聘邀约或技术协助为幌子引导其访问 GitHub 仓库，并入侵个人设备以渗透公司基础设施。
在一个真实案例中，一名员工在 LinkedIn 上与伪造身份互动后，其设备遭到入侵。攻击者持续保持联系，甚至以加密货币向该员工支付报酬以建立信任，最终利用所获取的访问权限盗取了逾 200 万美元。
作为后续跟进，MetaMask 整理并分享了一份简明易懂的清单，列出了在网上被人联系时需要注意的事项。
Evan Boehs 概述了暗网如何提供匿名性和合法用途，但同时也充满风险——诈骗、恶意软件和信任问题是常态。匿名卖家可能在交易途中消失，恶意链接无处不在，一步失误便可能暴露您的身份。
为保障安全，请使用 Tor 等工具，养成良好的加密货币使用习惯，并保持零信任思维。
Immunefi 的攻击马拉松已正式启动。本次活动持续至 2025 年 1 月 20 日，是一场大规模众包安全审计竞赛，旨在强化以太坊协议的安全性。活动面向专业审计机构和独立安全研究人员，竞逐总额 1,500,000 美元的奖励池。
事件经过
Solana 遭遇了一次供应链攻击，目标是被广泛使用的 @solana/web3.js npm 库，意图窃取私钥并转移资金。恶意版本被标识为 1.95.6 和 1.95.7，于 2024 年 12 月 2 日短暂出现后被迅速下架。
攻击者据信通过网络钓鱼手段获取了访问权限，并成功将恶意代码注入该库。这段代码旨在将私钥泄露至攻击者控制的服务器——即 sol-rpc[.]xyz，该域名在事件发生前数日才完成注册。云安全研究员 Christophe Tafani-Dereeper 在该软件包中发现了一个名为"addToQueue"的后门函数，专门针对涉及密钥的敏感操作。
用户如何保护自己
针对此次攻击，Solana Labs 联合安全专家向可能受影响的开发者发出了建议：对依赖项进行全面审计，排查是否使用了恶意版本；立即更新至安全版本 1.95.8；并在怀疑密钥已遭泄露的情况下进行密钥轮换。
事件经过
骗子如今将目标转向 AI 训练数据，通过嵌入恶意加密代码来攻击用户。在此案例中，恶意代码通过 @OpenAI 推荐的 API 发送私钥。整个诈骗过程极为迅速——用户在使用该 API 后不到 30 分钟，其资产便被转入盗贼的钱包。
用户如何保护自己
此次事件凸显了在使用 AI 生成代码时保持谨慎的重要性，在加密货币领域尤为如此。请务必对 AI 推荐内容进行二次核查，验证 AI 服务所建议的网站和 API 的合法性。在尝试新工具或新代码时，使用仅存有少量资金的测试钱包，以降低因错误或漏洞造成的潜在损失。此外，请持续关注加密货币社区内的常见诈骗手段和已知恶意网站，保持信息畅通。
事件经过
WallStreetBets 的 X 账号遭遇严重入侵，黑客盗取了价值逾 220 万美元的 meme 币，涉及 Solana 区块链上的资产。区块链侦探 ZachXBT 发现，此次漏洞源于 X 移动应用程序中的一个安全缺陷。被盗资产包括 1,430,000 枚 PNUT 代币、400,000 枚 ZEREBRO 代币和 130,000 枚 ALCH 代币。黑客通过添加通行密钥，即便在 WallStreetBets 撤销其访问权限后，仍能持续控制该账号。
用户如何保护自己
如果您在社交媒体上看到大力宣传某种新代币投资的链接，请在点击前先判断其合法性。这类链接往往极具诱惑性，承诺丰厚回报和抢先入场的独家机会，而这恰恰是人们上当受骗的方式。请仔细核查链接的实际跳转目标，并尽职调查以验证所承诺内容的真实性。
事件经过
ZachXBT 披露了一起重大加密货币盗窃事件，幕后黑手为"LastPass 威胁行为者"，导致逾 40 个受害者地址损失约 536 万美元。此次事件与 2022 年 12 月 LastPass 报告的加密保险库数据遭未授权访问事件相关联，目前已累计造成逾 2.5 亿美元的加密货币损失。攻击者专门针对在 LastPass 保险库中存储私钥或助记词（SRP）的用户，利用了集中式存储的安全漏洞。
用户如何保护自己
定期审计：定期检查您的数字资产存储位置和方式，确保所使用的存储方案符合最高安全标准。
安全存储：避免将私钥或助记词存储在中心化密码管理器中。对于敏感信息，建议使用硬件钱包或其他安全的离线存储方式。
立即行动：如果您曾使用 LastPass 存储任何与加密货币相关的数据，请考虑将资产转移至新钱包，并作为预防措施更换任何合约或多签钱包的所有权。
保持关注：关注知名网络安全专家和平台，及时获取最新安全威胁动态及资产保护最佳实践。
MetaMask 2024 年 12 月加密货币安全报告涵盖以下内容：通过篡改训练数据针对加密货币开发者的 AI 代码投毒攻击、Lazarus Group 利用 LinkedIn 虚假招聘盗取 200 万美元、Solana @solana/web3.js 库遭遇供应链攻击，以及 LastPass 数据泄露损失突破 2.5 亿美元。浏览往期 MetaMask 加密货币安全报告，了解更多威胁、趋势及生态系统安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
