Each month, MetaMask 安全总监 Luker 报告最新的加密货币攻击事件和新兴风险，带你了解不可不知的安全动态。
2025 年 7 月，各类冒充行为层出不穷——有人冒充钱包，有人冒充已停运的项目，还有人冒充浏览器扩展程序。Firefox 上出现了超过 40 个伪装成加密钱包的恶意扩展程序。攻击者重新注册了已倒闭加密项目的过期域名，专门坑害误入其中的用户。此外，两行恶意代码通过一个精心设计的拉取请求（pull request）悄悄混入了一个开源以太坊扩展程序。不过，这个月也有一些令人振奋的好消息：GMX 通过白帽赏金计划追回了 4200 万美元黑客攻击损失中的大部分资金；美国多个机构联手摧毁了一个规模庞大的朝鲜身份盗窃行动；希腊也完成了史上首次加密资产扣押。完整详情见下文，但首先……
物理学家吴健雄，人称"核研究女王"，曾参与曼哈顿计划，后来亲自设计实验，推翻了宇称守恒定律——这一原理此前一直被物理学界视为不证自明的真理。拒绝盲目接受"已知"假设，并通过精密实验加以验证或推翻，正是严谨安全工作所依赖的思维方式。
观看 Patrick Collins 的精彩演示，了解他开发的 MetaMask Snap——Wise Signer——如何借助 AI 搜索网络，并根据可疑地址、调用数据和网络信息判断某笔交易是否存在风险。该 Snap 目前处于测试阶段，你现在可以查看代码，也可以在我们的支持页面上进一步了解 MetaMask Security Snaps。感谢 Patrick 为守护安全所做的贡献。
MetaMask 继续保持 Coinspect 最安全 Web3 钱包排名第一的位置，覆盖移动端（iOS 和 Android）及 Chrome 浏览器。我们的浏览器扩展程序安全性也获得了 100% 的威胁防御评级。
说到 Coinspect，他们近期揭示了一个令人担忧的趋势：威胁行为者正在重新注册已停运加密项目的域名，利用这些项目此前积累的声誉绕过安全检查，进而盗取用户资产。Coinspect 已与多个 DeFi 平台和安全团队合作，识别并举报了超过 100 个此类所谓的"僵尸 Dapp"。
7 月 9 日，GMX 基于 Arbitrum 的 V1 GLP 流动性池遭受黑客攻击，损失4200 万美元。据该公司事后分析报告，黑客利用重入攻击铸造了超额的 GLP 代币。GMX 在收到 Hexegate 的漏洞警报后立即暂停交易，并通过链上活动追踪发现，大部分被盗资金已被兑换为其他数字资产。GMX 随即提出 10% 的白帽赏金，并承诺若资金在 48 小时内归还则不追究法律责任。攻击者以一句轻描淡写的回复"好的，稍后会归还资金"作为回应，最终保留了约 450 万美元，并将其余资金悉数归还给 GMX。
特勤局全球调查行动中心（GIOC）专注于追踪数字金融犯罪，目前持有全球最大冷钱包之一，存储着大量已追回的加密资产。GIOC 调查人员通常综合运用开源工具、区块链分析和域名注册信息开展调查。此外，特勤局还向其他 60 个国家的执法人员和检察官提供了专业培训。
为防范由恶意软件和高风险权限引发的供应链攻击，Socket 正邀请开发者参与测试其新产品线，该产品线采用实时扫描与分析技术。该工具设计轻量、注重隐私保护，同时支持在 NPM、PyPI、Go 和 Maven 等软件包目录上显示风险指标。风险信号包括混淆代码或安装脚本、高熵值或可疑字符串、仿冒域名，以及高风险 API 调用。未来还计划将覆盖范围扩展至 Chrome 以外的平台。
ReversingLabs 的安全研究人员发现，两行恶意代码通过一个拉取请求被植入了开源工具包 forETHCode。尽管现有证据显示该代码尚未被用于窃取代币或数据，但研究人员推测其意图是"窃取受害者设备上存储的加密资产"，或"破坏使用该扩展程序的用户正在开发的以太坊合约"。
此事件进一步加剧了业界对恶意及被入侵扩展程序趋势，以及供应链攻击的担忧。
6 月下旬，司法部宣布已主导一项协调行动，导致多人被捕和被起诉，并扣押了逾 200 台笔记本电脑、29 个金融账户和 21 个欺诈性网站。司法部发现，朝鲜支持的恶意活动遍及 16 个州，涉及身份盗窃，以及对超过 100 家美国企业（包括加密公司）的渗透。
一周后，有报道称财政部外国资产控制办公室（OFAC）制裁了两名个人，这两人涉嫌窃取并出售个人信息，用于就业诈骗。此类行动所产生的收益据悉被用于支持朝鲜弹道导弹项目。
Raymondip Bedi 和 Patrick Mavanga 因在 2017 年至 2019 年间向至少 65 人出售虚假加密货币咨询服务，被定罪并合计判处 12 年有期徒刑。据 Crypto Times 报道："两人均承认了多项指控，包括欺诈、违规行为和洗钱。此外，Mavanga 还被指控篡改证据和持有伪造身份证件。"此次由英国金融行为监管局（FCA）主导的起诉，是该机构打击加密犯罪更大行动的组成部分，FCA 目前正积极追缴相关资金。
希腊反洗钱局（HAMLA）完成了史上首次加密资产扣押。HAMLA 与 Chainalysis 及 Performance Technologies 携手合作，追踪并冻结了 Bybit 15 亿美元交易所黑客事件中的部分被盗资产。这一全球追缴行动的成功，得益于"将前沿区块链分析工具与专业培训及国际合作相结合的强大力量"。如你尚未了解，Bybit 于今年早些时候遭受黑客攻击，损失高达 15 亿美元，据称此次攻击由朝鲜拉撒路集团（Lazarus Group）实施。
事件经过
Koi Security 的 Yuval Ronen 披露了超过 40 个恶意 Firefox 扩展程序，这些扩展程序均来自同一攻击活动，冒充包括 MetaMask 在内的多款加密钱包。该威胁自 2025 年 4 月开始活跃，目前仍在持续，被用于从"目标网站提取凭据并将其泄露至攻击者控制的远程服务器"，同时还会传输外部 IP 地址。这些仿冒扩展程序外观逼真，并利用恶意刷好评的手段欺骗用户。现有证据指向一名俄语母语的幕后黑手。
用户如何保护自己
Ronen 在发布报告的同时，也分享了以下安全建议：
仅安装来自经过验证的发布者的扩展程序，即使是高评分的扩展程序也应保持谨慎。
将浏览器扩展程序视为完整的软件资产，对其进行审查、监控和策略管理。
使用扩展程序白名单，仅允许安装经过预先审批和验证的扩展程序。
实施持续监控，而非仅做一次性扫描。扩展程序可能自动更新，并在安装后悄然改变行为。
事件经过
社交媒体持续成为以窃取加密资产为目的的社会工程攻击温床。Krebs on Security 报道了外观逼真的"诈骗赌博"网站如何通过广告吸引用户，这些广告以免费积分和名人虚假代言（如 Mr. Beast）为噱头。用户须注册账户才能领取"积分"，随后可与精心设计的游戏互动并下注。然而，这类诈骗赌博套路与经典的"杀猪盘"如出一辙——用户永远无法提现，反而会被要求进行额外的"验证存款"，或被引导咨询所谓的"资金追回专家"。
用户如何保护自己
对于需要存款才能领取积分的游戏网站要保持警惕，尤其是那些要求存款才能提现的平台。请记住，绝大多数加密资产追回服务都是骗局，合法服务通常设有数万美元起的高额最低门槛。任何涉及网红的推广活动，都应通过查阅经过验证的官方渠道加以核实。
事件经过
据 SentinelOne 率先披露，朝鲜行为者采用了一种针对 Web3 公司的新型攻击手段：使用基于 Nim 语言开发的全新 macOS 后门程序 NimDoor，通过加密 WebSocket 窃取凭据并泄露数据。该恶意软件还利用了 AppleScript 和进程注入技术。
作为更大规模 BabyShark 行动的组成部分，攻击者还采用了 ClickFix 式网络钓鱼战术——通过制造紧迫感，诱骗目标点击伪装成无害内容的危险链接。上述活动已被归因于高级持续性威胁组织 Kimsuky。
用户如何保护自己
在被催促采取紧急行动时，务必先暂停下来审视情况，并核实信息来源。对于在面试过程中被要求下载文件的情况，应保持高度警惕。禁用远程 AppleScript 执行，保持所有系统和软件（如浏览器、扩展程序和脚本运行时）处于最新状态。如果使用 macOS，请警惕以下异常迹象：与未知域名建立的 WebSocket 连接、异常的进程注入或应用启动时运行的脚本，以及通过启动代理或信号处理程序实现的持久化行为。
别被坑了，嘟嘟嘟嘟嘟嘟……
MetaMask 2025 年 7 月加密安全报告涵盖了超过 40 个冒充加密钱包的虚假 Firefox 扩展程序、GMX 4200 万美元重入攻击事件（最终通过白帽赏金计划得以解决），以及僵尸应用复活已停运加密项目域名等重要议题。浏览往期 MetaMask 加密安全报告，获取更多威胁动态、趋势分析和生态安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
