每月，MetaMask 安全总监 Luker 都会报告您需要了解的最新加密货币攻击事件和新兴风险。
2025 年 6 月，无论是攻击规模还是诈骗打击力度，都达到了新的高度。国际刑警组织在一次全球信息窃取行动中摧毁了 20,000 个恶意 IP 地址，并逮捕了 32 人。美国司法部宣布了有史以来最大规模的"杀猪盘"资金追缴行动，金额高达 2.25 亿美元。与此同时，Lazarus Group 的攻击势头丝毫未减——通过 Tron 的低手续费基础设施洗白数十亿美元被盗加密货币，入侵台湾交易所 BitoPro 窃取 1100 万美元，并持续以虚假 IT 工作者身份渗透美国企业。在更贴近我们自身的领域，MetaMask 安全团队的 Taylor Monahan 深入分析了为何 EIP-7702 漏洞利用是私钥安全问题，而非 Pectra 本身的问题。此外，我们的母公司 Consensys 收购了 Web3Auth，以简化钱包恢复流程并进一步提升 MetaMask 的领先安全性。详情请见下文，但首先……
Nergis Mavalvala 参与了 LIGO 项目中引力波的探测工作，并在量子测量科学领域开展了深入研究。
在这些报告中，我们经常谈及恶意攻击，但您是否知道，有 35% 的用户未能妥善备份其助记词，从而面临资产损失的风险？正如 MetaMask 联合创始人 Dan Finlay 所言："不要与任何人分享，但也不能丢失——这实在是一个两难的困境。"
正因如此，我们很高兴地宣布，MetaMask 的母公司 Consensys 已收购密钥管理与嵌入式钱包基础设施领域的领先服务商 Web3Auth。通过整合 Web3Auth 的能力，MetaMask 用户将能够使用熟悉的 Web2 身份验证方式（如社交账号登录和基于设备的身份验证）来创建和恢复钱包。此次收购还为开发者提供了嵌入式钱包 SDK 和密钥管理基础设施，使钱包管理更加便捷高效。
@lavamoat/webpack 发布 1.0 版本
经过 OtterSec 的审计、动态加载代码块功能的支持以及可维护性重构，我们的 Webpack 插件已正式发布 1.0 版本，被认为稳定可用。下一步计划推出可选的安全增强功能。
我们不仅成功地在 React Native 的 Hermes 引擎约束条件下实现了 Hardened JavaScript 的 lockdown() 功能，还找到了一种通过 Metro 配置文件集成的简洁方式将其交付给开发者。我们已发布了一个非常早期的版本，并期待收到测试结果和反馈。欢迎试用并分享您的使用体验。
如果您错过了，我们还有其他正在进行的项目：
@lavamoat/node
尽管仍在开发中，我们对 LavaMoat for Node.js 的完整重写版本已具备基本功能。它引入了完整的 ESM 支持，并为通过 npm 包运行命令的用户带来了开发体验改进。lavamoat-node 仍受支持且保持稳定，但由于缺乏 ESM 支持，最终将被弃用。
随着新功能的开发，部分功能正在被集成到 lavamoat-node 中。您现在可以对在其他地方标记为可写的全局变量进行更精细的访问控制。策略文件排序改进已在所有 LavaMoat 工具中落地，支持生成 policy.json 文件。Git diff 已经过优化，仅显示实际变更内容，并在依赖树更新重排时最大程度减少资源重新排序。
我们发布了一款新工具，作为一个有主见的验证器，用于防止直接从 git 仓库安装依赖项（或 GitHub Actions）时出现的安全问题。该工具发布后，PagedOut! 杂志第 6 期随即刊载了一篇相关文章。
Cryptonews 近期评测了 MetaMask 钱包的安全性，我们对其评估结果深表感谢——"拥有超过 3000 万活跃用户和八年的发展历程"，MetaMask 已巩固其作为"一款具备众多安全功能、且有活跃开发团队持续提升安全水平的非常安全选择"的声誉。文章重点介绍了我们的安全功能，并提供了自托管最佳实践建议。感谢 Cryptonews！
以太坊近期的 Pectra 升级引入了 EIP-7702，旨在通过允许钱包临时像智能合约一样运行来提升用户体验。然而，这一功能已被恶意行为者所利用。Wintermute 的分析显示，超过 80% 的 EIP-7702 授权与一个名为"CrimeEnjoyor"的单一恶意脚本有关，该脚本专门用于自动清空密钥已泄露的钱包。其中一起典型事件涉及一名用户通过该脚本实施的网络钓鱼攻击损失了近 15 万美元。
MetaMask 安全团队的 Taylor Monahan 强调，核心问题并非 EIP-7702 本身，而是用户保护私钥这一长期存在的挑战。她指出，虽然 EIP-7702 提供了高级功能，但也为攻击者提供了更高效的手段来利用已泄露的密钥。这一情况凸显了在不断演进的以太坊生态系统中，强健的私钥管理和提高用户警惕性的重要性。
6 月发布的三篇相关报道表明，来自朝鲜的高级持续性威胁毫无减缓迹象。
美国司法部正寻求没收 770 万美元加密货币，这些资金与朝鲜黑客有关——这些黑客伪装成 IT 工作者渗透美国企业。他们使用虚假身份获取远程工作岗位，以稳定币收取报酬，并通过多种方式洗白资金后转移至朝鲜政府。专家警告称，此类行动通常借助 AI 生成的虚假身份和深度伪造技术，每年可能为该政权创造数亿美元的收益。
台湾加密货币交易所 BitoPro 于 2025 年 5 月 8 日在热钱包系统更新期间遭到黑客攻击，损失 1100 万美元。此次攻击被归因于朝鲜 Lazarus Group，攻击者利用恶意软件和窃取的 AWS 令牌绕过安全防护，跨多条区块链清空资金。被盗加密货币随后通过混币器和去中心化交易所进行洗白。BitoPro 已恢复钱包运营，并确认无内部人员参与。
朝鲜 Lazarus Group 一直通过去中心化金融平台洗白数十亿美元被盗加密货币，尤其利用 Tron 区块链的低手续费基础设施。据链上分析师 ZachXBT 称，该组织在一个地下经纪商网络中运作，利用兑换池、新钱包和点对点交易方式，使估计高达 50 亿至 100 亿美元的非法资金难以追踪。
批评人士指出，Tron 等平台缺乏有效的监控机制，助长了如此大规模的洗钱行动。尽管 TRON DAO 声称与 Tether 和 TRM Labs 等机构合作支持反犯罪工作，但许多人认为这些措施是被动应对且远远不够。ZachXBT 强调，整个加密行业正经历一个"犯罪超级周期"，大规模黑客攻击频发，问责机制却严重缺失。
国际刑警组织的"Operation Secure"行动成功摧毁了超过 20,000 个与信息窃取恶意软件相关的恶意 IP 地址和域名。此次协调行动涉及来自 26 个国家的执法机构以及 Group-IB、卡巴斯基和趋势科技等私营合作伙伴，共没收 41 台服务器，并逮捕了 32 名与网络犯罪活动相关的人员。信息窃取软件是一种专门从受感染设备中提取密码、信用卡信息和加密货币钱包信息等敏感数据的恶意软件。此次行动还向超过 216,000 名受害者及潜在受害者发出通知，使其能够及时采取防护措施。
美国司法部宣布了有史以来最大规模的加密货币投资诈骗资金追缴行动，涉及俗称"杀猪盘"的诈骗手法——受害者被长期操控以榨取最大价值。政府目前正努力将没收资金尽可能多地归还给 400 余名受害者。
事件经过
加密货币价格追踪网站 CoinMarketCap 遭遇供应链攻击，访客被暴露于钱包清空活动之中。黑客利用网站首页涂鸦图片中的漏洞注入恶意 JavaScript，触发虚假的 Web3 钱包连接弹窗。毫无防备的用户在连接钱包后，加密货币遭到清空，110 名受害者共损失超过 43,000 美元。此次攻击凸显了钱包清空程序日益严峻的威胁——它们利用平台中受信任的元素来针对加密货币用户。尽管恶意代码已被迅速删除，CMC 表示调查仍在进行中。
用户如何保护自己
为防范钱包清空攻击，在连接钱包之前，请务必验证 Web3 弹窗的合法性。避免点击可疑链接或与陌生网站上的弹窗进行交互，并考虑使用硬件钱包存储大额加密货币资产。值得庆幸的是，此次事件的总损失在一定程度上得到了控制，这有赖于安全从业者的快速响应以及交易模拟器在许多潜在受害者损失资金之前发出的及时警告。
事件经过
CoinTelegraph 网站遭到入侵，攻击者通过前端漏洞显示虚假的空投弹窗，宣传并不存在的 CTG 代币。该弹窗虚假声称用户连接钱包即可获得 5,500 美元，并援引伪造的 CertiK 审计报告以增加可信度。
这家区块链新闻媒体迅速警告用户不要与这些弹窗进行交互，并删除了未经授权的代码。该媒体随后声称已"加强安全控制措施，以防止类似事件再次发生"。
用户如何保护自己
用户应对意外弹窗或优惠保持警惕，尤其是那些承诺连接钱包即可获得丰厚奖励的内容。在与此类提示交互之前，用户应通过官方渠道核实信息的真实性。作为额外预防措施，用户应将相关信息与该机构经过验证的社交媒体、官方网站及其他可信营销渠道的内容进行比对核实。
事件经过
硬件钱包制造商 Trezor 发布安全警告，称攻击者滥用其在线支持联系表单，发送伪装成合法支持回复的网络钓鱼邮件。这些诈骗邮件旨在诱骗用户分享其钱包备份，而钱包备份应始终保持私密且离线存储。Trezor 确认其系统和用户数据均未遭到泄露，网络钓鱼活动已得到控制。该公司强调了保持警惕的重要性，并已启动调查以防止未来再次被滥用。
用户如何保护自己
为避免遭受网络钓鱼诈骗，切勿分享您的钱包备份或私钥，即使请求看似合法也不例外。请始终核实通信内容的真实性。对未经请求的邮件保持警惕，尤其是那些索取敏感信息的邮件，并避免点击链接或下载来自未知来源的附件。
事件经过
SparkKitty 通过官方应用商店中的恶意应用以及侧载应用（如虚假 TikTok 克隆版和赌博平台）渗透 iOS 和 Android 设备。安装后，SparkKitty 会请求访问设备相册，并利用光学字符识别技术扫描图片中的敏感信息，尤其是加密货币钱包助记词。一旦发现此类数据，便会将信息传输给攻击者，危及用户的数字资产。
Crocodilus 是一种新发现的 Android 银行木马，对全球用户构成重大威胁。该恶意软件伪装成 Google Chrome 等合法应用来欺骗用户。安装后，它会请求无障碍权限，从而执行捕获屏幕内容、记录按键操作以及覆盖虚假登录界面以窃取凭证等操作。它专门针对银行和加密货币应用，旨在提取敏感信息并清空用户账户。
用户如何保护自己
请仅从可信来源下载应用，并对任何请求访问照片、屏幕内容或无障碍功能的应用保持警惕。避免将助记词等敏感信息存储在相册中，而应使用硬件钱包或加密密码管理器等安全存储方式。保持设备和应用及时更新以修补漏洞，并考虑使用信誉良好的移动安全软件来检测和拦截恶意软件。及时了解新兴威胁并养成良好的数字安全习惯，对保护您的加密货币和个人数据大有裨益。
MetaMask 2025 年 6 月加密货币安全报告涵盖了朝鲜特工通过 Tron 洗白数十亿美元、国际刑警组织打击与信息窃取软件相关的 20,000 个恶意 IP，以及针对 iOS 和 Android 平台加密货币助记词的移动端恶意软件等内容。浏览往期 MetaMask 加密货币安全报告，了解更多威胁、趋势以及在整个生态系统中保持安全的实用建议。
AI 翻译。可能包含错误。请务必核实信息。
