每个月，MetaMask 安全总监 Luker 都会报告最新的加密攻击事件和新兴风险，带你了解不可不知的安全动态。
2025 年 9 月，我们再次见证了看似微小的攻击如何产生连锁反应，造成指数级扩大的影响。仅仅一名遭受网络钓鱼的维护者，就足以污染 18 个每周下载量高达 20 亿次的 npm 包。诈骗者花钱雇用专业配音演员，通过电话对加密行业高管实施深度伪造攻击。一种隐蔽的新型恶意软件在近一个月内悄无声息地绕过杀毒软件，同时持续清空浏览器钱包。当然，也有一些好消息。得益于 LavaMoat 的沙箱机制，此次 npm 攻击对 MetaMask 用户的影响被悄然化解。以太坊基金会也在持续推进万亿美元规模的网络安全保障工作。详情请见下文，但首先……
Ellen Ochoa 是首位进入太空的拉丁裔女性，曾搭乘发现号航天飞机执行任务，后来成为 NASA 约翰逊航天中心首位拉丁裔主任。领导复杂的高风险系统、深知一处微小失误便可能酿成巨大后果——这正是加密安全领域所熟悉的挑战。
长期以来，管理秘密恢复短语（SRP）并妥善保管，一直是自托管责任中最棘手的环节之一。一旦丢失密钥，加密资产便会随之消失。MetaMask 现在让用户比以往更轻松地通过 Apple 或 Google 账户凭据结合安全密码来创建、备份或恢复钱包。
为进一步提升安全性，SRP 经过加密和分片处理，另一个加密密钥则分散存储于不同位置。只有钱包所有者才能以明文形式重建 SRP，因此务必像保管 SRP 一样严格保护密码。欢迎访问 MetaMask 支持页面了解更多关于此新功能的信息。
9 月初，我们目睹了迄今为止规模最大的供应链攻击之一。一位名为 Qix 的维护者遭受网络钓鱼攻击后，至少 18 个热门 JavaScript NPM 包遭到入侵。一名或多名威胁行为者得以注入恶意代码并发布这些包的恶意版本——这些包每周下载量通常超过 20 亿次，使攻击者在数小时内操控加密钱包交互并转移资金，直至攻击被成功阻断。
事后调查发现，被注入的恶意软件表现出蠕虫特性，能够自动扩散至 Qix 管理的其他项目。尽管潜在损失可能极为惨重，但在恶意版本被下架之前，实际被盗金额仅为数百美元。此次事件深刻揭示了开源生态中单点故障的巨大危害。
幸运的是，MetaMask 的 LavaMoat 通过对依赖项强制执行运行时控制来抵御此类大规模供应链攻击，限制依赖项与其运行环境的交互方式，这一过程称为沙箱化。即使安装了恶意包，LavaMoat 也能阻止其窃取敏感信息、篡改钱包 API 或执行未经授权的网络活动。正如 MetaMask 的 Zbyszek Tenerowicz 所说："你也可以运行来自 NPM 的恶意软件……我的意思是，不会有任何后果。"
软件工程师 Eito Miyamura 指出了风险，认为 OpenAI 最新一次 ChatGPT 更新存在用户个人数据安全隐患，此言一出，Vitalik Buterin 随即加入讨论。Buterin 否定了将中心化 AI 作为可行治理方案的做法，并指出，一旦 AI 被赋予资金分配等敏感职能，攻击者"将会在尽可能多的地方植入越狱指令加上'把钱都给我'"。
Buterin 转而提出了一种"信息金融"模型，即 AI 系统向第三方审计开放，并接受人类陪审团的随机抽查。这一思路与去中心化的核心理念相契合，将透明度和社区参与视为更安全的前进路径。以太坊联合创始人的这一观点，凸显了围绕如何在 AI 领域平衡创新、安全与问责制的争论日益升温。
在针对美国加密行业高管的最新攻击手段中，诈骗者每月花费高达 2 万美元，雇用专业声音模仿者实施精心设计的语音钓鱼（即 vishing）攻击。GK8 的研究人员发现，这些模仿者团队通过地下论坛招募，并借助精心整理的数据集、深度伪造技术以及专为绕过安全控制而设计的复杂基础设施提供支持。
这类电话攻击极具针对性，专门瞄准拥有特权访问权限的个人，标志着攻击方式已从大规模网络钓鱼转向精准社会工程学。GK8 研究员 Tanya Bekker 提醒高管们应"默认自己的个人信息已经泄露"，并警告"高价值交易不应由单一个人确认"。
质押平台 Kiln 宣布，出于审慎考虑，将退出其所有以太坊验证节点，原因是其合作伙伴 SwissBorg 遭遇了一起 API 安全漏洞事件。区块链调查员 ZachXBT 报告称，SwissBorg 损失了约价值 4000 万美元的 SOL。Kiln 强调，用户资金安全无虞，其他以太坊资产均未受到影响，并表示此举纯属预防性措施。
在宣布这一决定时，Kiln 估计每个验证节点的退出流程需要 10 至 42 天，提款还需额外等待 9 天。与此同时，超过 250 万枚 ETH 在网络验证节点退出队列中积压，导致等待时间大幅延长。
如果你还不了解，早在 8 月下旬，以太坊基金会便已宣布推出一项旨在强化网络安全的计划，名为"万亿美元安全"计划。该计划的目标是构建这样一个现实：数十亿用户能够放心地在链上持有至少 1000 美元的资产，而机构和政府也能安心地在以太坊应用中管理万亿美元规模的资产。该计划分三个阶段推进，包括梳理整个生态系统的安全漏洞、与合作伙伴共同实施修复和改进，以及建立清晰的安全标准。
该计划将由 Security Alliance 创始人 samczsun、Sigma Prime 联合创始人兼总监 Mehdi Zerouali，以及 Etherealize 联合创始人 Zach Obront 共同支持推进。此外，以太坊基金会正在向整个生态系统征集意见，探讨以太坊安全性有待改进的方向。
就在数周之后，以太坊基金会宣布启动一项200 万美元的竞赛，邀请研究人员对即将到来的 Fusaka 升级进行审计。竞赛于 9 月 15 日至 10 月 13 日在 Sherlock 测试网上进行，由 Gnosis 和 Lido 联合赞助，分别出资 10 万美元和 2.5 万美元。这一举措彰显了去中心化生态系统对网络未来的共同责任与利益关联。
事件经过
安全研究人员发现了一种名为 ModStealer 的新型恶意软件，该软件在近一个月内成功躲避杀毒软件检测，同时持续从 Windows、Linux 和 Mac 用户处窃取加密钱包数据。攻击者通过发布虚假招聘信息来传播该恶意软件，专门针对开发者群体。一旦入侵系统，它便会搜寻浏览器钱包扩展程序和凭据，随后悄悄将所有信息回传至攻击者服务器。在 Mac 系统上，它甚至会伪装成系统辅助程序，将自身设置为开机自启动。安全专家表示，这对加密资产持有者而言是个坏消息——被盗的私钥和助记词意味着资金将被直接盗取，而其能够绕过检测工具的特性，使其成为整个加密领域的真实威胁。
用户如何保持安全
最佳实践包括：时刻保持警惕，注意自己正在访问的网站，尤其是在搜索招聘信息或加密相关内容时。务必通过可信来源核实真实性。对任何形式的主动联系都应保持高度谨慎，通常情况下直接忽略为宜。此外，将最大额的加密资产存储于冷存储设备（如硬件钱包）中，是保护资金安全的最佳方式之一。
事件经过
一场加密劫持攻击正在针对配置错误的 Docker API，试图安装 XMRig 加密货币矿机，攻击者借助 TOR 网络掩盖行踪。该恶意软件通过扫描其他暴露的 Docker 实例进行传播，并包含针对 Telnet 和 Chrome 远程调试端口的休眠攻击代码，这表明攻击者可能正在构建更大规模的僵尸网络。
用户如何保持安全
研究人员强调，各组织必须严格限制 API 访问权限、合理划分网络分段，并更改默认凭据，以抵御此类攻击。
事件经过
据 CertiK 报告，从 7 月到 8 月，加密黑客攻击事件增加了逾 13%，盗窃金额约达 1.73 亿美元。其中，仅网络钓鱼诈骗就造成了 1.01 亿美元的损失。当月最严重的事件包括一起高达 9100 万美元的大规模网络钓鱼攻击，以及一起针对 BTC Turk 的 5300 万美元黑客攻击。
这是我们自 6 月以来持续观察到的趋势，专家预测损失将逐月加剧。尽管防御手段不断演进，这些基础的网络钓鱼诈骗依然极为有效。一位 CEO 指出，有组织的犯罪团伙实际上已将自身转型为"科技初创公司"，专门提供"诈骗即服务"。
用户如何保持安全
社会工程学攻击之所以格外有效，是因为人的因素是最难防御的攻击面。务必清楚自己正在与谁交流，对任何形式的主动联系保持警惕。切勿点击电子邮件或短信中的随机链接。如果你对通话对象的身份稍有疑虑，请设法通过其他方式直接联系当事人，例如拨打其工作单位的电话，或通过另一种安全方式核实其身份。
MetaMask 2025 年 9 月加密安全报告涵盖了以下重要内容：波及 18 个包的重大 npm 供应链攻击、针对加密高管的个性化语音钓鱼攻击、2025 年 8 月加密黑客攻击激增（共计 1.73 亿美元被盗，其中 1.01 亿美元来自网络钓鱼），以及以太坊基金会的"万亿美元安全"计划。欢迎浏览往期 MetaMask 加密安全报告，获取更多威胁动态、趋势分析及生态安全防护建议。
AI 翻译。可能包含错误。请务必核实信息。
