加密安全报告：2025年11月

每月，MetaMask 的 Luker 为您报道全球加密安全领域的重要资讯。深入了解以下内容。

本期 STEM 先驱人物：马里安·雷耶夫斯基与 Enigma 密码的破解

波兰密码学家 马里安·雷耶夫斯基 完成了最初的分析工作，最终促成了对纳粹德国 ENIGMA 密码机的破解。

朝鲜特工从伪装求职转向在自由职业平台招募合作者

Security Alliance（SEAL）研究员 Heiner Garcia 发布了一份报告，记录了朝鲜特工行为模式的转变——从直接申请 IT 职位，转向通过 Upwork、Freelancer、Fiverr 和 GitHub 等平台招募合作者。Garcia 表示："从材料的规模和一致性来看，这绝非孤立的机会主义行为，而是一种有组织、可复制的模式：行为者迅速调整战术，共享行动手册，并使用结构化脚本引导合作者入局。"

15–20% 的加密公司已被朝鲜求职者渗透

随后，另一位 SEAL 成员 Pablo Sabbatella 在 Devconnect 上呼吁加密公司加强运营安全意识。他指出，这些公司对朝鲜威胁行为者极具吸引力，朝鲜申请者占其求职者总数的 30–40%，且已有 15–20% 的加密公司遭到渗透。

GhostCall 与 GhostHire 行动针对加密高管和开发者

卡巴斯基近期的调查揭露了 GhostCall 和 GhostHire 两项行动——这是 BlueNoroff APT 组织发起的两个相互配合的攻击活动，分别针对企业高管和开发者。

美国财政部制裁涉嫌加密洗钱的朝鲜银行人员

本月，美国财政部对多名朝鲜银行人员实施制裁，原因是其参与了与全球加密犯罪活动相关的洗钱行为。所有 53 个关联钱包均持有 USDT，据悉这些资金意在用于该政权的武器计划。

与此同时，欧洲刑警组织（Europol）和欧洲司法合作署（Eurojust）联合摧毁了一个涉及逾 600 家空壳公司的大规模加密洗钱网络。在近期举办的全球犯罪金融与加密资产大会上，欧洲刑警组织表示："执法机构、私营部门合作伙伴和学术界正在迅速提升应对复杂加密犯罪和洗钱威胁的能力。先进工具正在减少对人工追踪的依赖，而一系列成功的跨境行动也充分展示了协作的力量。"

Balancer V2 舍入误差漏洞导致 1.28 亿美元被盗，Berachain 网络被迫暂停

11 月初，有报道称约 1.28 亿美元的加密资产从 Balancer 流动性池中被盗，导致 Berachain 暂停并分叉其网络。后续分析显示，此次攻击的根源在于 Balancer V2 利率提供机制中的一个关键漏洞——本质上是一个舍入误差。相关修复已陆续上线，但此事件也引发了业界对"氛围编程"及其他不规范开发实践风险的讨论。

澳大利亚 ReportCyber 平台遭滥用，诈骗者冒充联邦警察实施加密钓鱼攻击

诈骗者正在滥用澳大利亚官方 ReportCyber 平台，冒充联邦警察窃取加密货币。由于该系统不验证报告发送者的身份，犯罪分子得以发送看似合法的虚假通知，声称收件人的钱包因可疑活动被标记。

Defcon 演讲：杀猪盘骗局的运作方式，以及为何任何人都可能成为目标

Erin West 提醒我们，每个人都可能成为诈骗的受害者，并带我们深入了解杀猪盘骗局背后令人痛心的世界。

加密用户遭虚假漏洞利用骗局欺骗，诈骗者以 swapzone.io 为诱饵承诺暴利

受快速暴利承诺的诱惑，swapzone.io 的用户正被诱骗在浏览器中直接运行恶意 JavaScript 代码。伪造邮件声称可利用某个 0-day 漏洞获取收益。代码执行后，会在后台拉取一个隐藏的更大程序，篡改受害者的屏幕显示内容，将收益金额虚增 37% 甚至更多，并添加虚假倒计时以制造紧迫感。最关键的是，该程序会劫持交易流程，悄无声息地将收款方钱包地址替换为攻击者控制的地址。

用户安全建议

切勿将来自不可信来源的代码片段粘贴到浏览器地址栏中。对于承诺稳定收益或声称掌握秘密漏洞的邮件保持高度警惕，尤其是那些催促您在补丁发布前迅速行动的邮件。仔细核实发件人地址，并将官方 DEX/CEX 服务网站添加到书签，避免点击不明邮件中的链接。

恶意 Chrome 扩展"Safery"通过 Sui 微交易窃取助记词

Socket 威胁研究团队发现了一款名为"Safery: Ethereum Wallet"的恶意 Chrome 扩展，专门用于窃取用户的助记词（SRP，即 seed phrase）。Safery 于 2025 年 9 月 29 日上架 Chrome 网上应用店，在 Socket 于 11 月中旬发布报告后遭到下架。这款伪装钱包内置后门，通过"将助记词编码为 Sui 地址，并从威胁行为者控制的 Sui 钱包广播微交易"的方式将助记词外泄。

用户安全建议

仔细查看钱包扩展的评分和评论，合法钱包通常拥有数千条评论和良好的口碑，而非作为新上架条目出现。通过访问项目官网、社交媒体渠道和社区论坛对任何钱包进行全面调查，以确认其真实性。警惕以下危险信号：通用电子邮件地址、模糊的隐私政策，或在加密领域毫无历史记录的开发者。

DarkComet RAT 间谍软件卷土重来，藏匿于伪造比特币钱包应用中

在伪造钱包相关新闻方面，一款已有 16 年历史的间谍软件 DarkComet RAT（远程访问木马）被藏匿于伪造的比特币钱包和交易应用中。Point Wild 的 Lat61 威胁情报团队发现，最新版本以压缩 RAR 文件形式传播，其中包含一个名为"94k BTC wallet.exe"的可执行文件，并使用 UPX 压缩以规避检测。一旦目标运行该伪装文件，RAT 便会将自身复制到隐藏的系统文件夹中，并开始记录所有键盘输入，包括密码和私钥。该恶意软件还具备文件窃取、摄像头监控和完整远程桌面控制等功能。

用户安全建议

仅从官方网站或经过验证的应用商店下载钱包和应用程序，切勿从第三方网站或不明链接下载。对于声称可访问资金的可执行文件，应立即保持警惕，因为合法钱包通常不会预先加载资金。避免打开来源不明的 RAR 或 ZIP 压缩文件，尤其是那些声称包含钱包软件的文件，因为这是恶意软件的常见传播方式。

本期 2025 年 11 月报告涵盖了朝鲜特工在自由职业平台招募合作者、由舍入误差引发的 1.28 亿美元 Balancer 漏洞攻击，以及伪造钱包扩展和应用窃取助记词与账户凭证等事件。浏览往期 MetaMask 加密安全报告 ，了解更多威胁动态、趋势分析及生态系统安全防护建议。