每個月，MetaMask 資安專家 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2026 年 4 月對加密貨幣攻擊而言是相當慘烈的一個月。KelpDAO、Drift Protocol 和 CoW Swap 合計遭竊超過五億美元的加密貨幣，其中至少兩起事件疑似有北韓特工介入。Axios npm 套件遭到入侵，並向不知多少台開發者機器推送了遠端存取木馬程式。一款假冒的 Ledger 應用程式在 Apple App Store 上架的時間，足以讓 50 名受害者損失 950 萬美元。一名臥底滲透了 Kraken 的客服系統。與此同時，Anthropic 的新模型 Mythos 發現零時差漏洞的速度，比大多數紅隊提交工單的速度還要快。我們將在下文深入探討細節，並提供在生態系中保持安全的建議。但首先……
在 5 月 20 日世界蜜蜂日前夕，讓我們認識 Karl von Frisch——這位動物行為學家因破解蜜蜂用來溝通資源位置與築巢地點的「搖擺舞」密碼而聞名於世。
Axios 是最廣泛使用的 JavaScript HTTP 客戶端函式庫之一，其 NPM 套件遭到入侵，導致兩個惡意版本（[email protected] 與 [email protected]）散布遠端存取木馬程式（RAT）。惡意程式碼透過 [email protected] 中的 postinstall 腳本傳遞——這是攻擊者自行發布的套件，隨後被加入他們所發布的 Axios 版本作為相依套件。Socket 在 plain-crypto-js 發布後 6 分鐘內即識別出惡意程式碼，比攻擊者將其加入 axios 作為相依套件早了 30 分鐘。
根據 StepSecurity 的說法：「其唯一目的是執行一個 postinstall 腳本，作為跨平台遠端存取木馬（RAT）投放器，目標涵蓋 macOS、Windows 和 Linux。該投放器會連線至一個運作中的命令與控制伺服器，並傳遞針對各平台的第二階段惡意載荷。執行後，惡意程式會自我刪除，並以乾淨版本替換自身的 package.json，以規避鑑識偵測。」
StepSecurity 警告，任何安裝了這些版本的人都應假設其系統已遭入侵。攻擊手法？依然是社交工程。個人與專案應認真考慮善用 LavaMoat 工具所提供的防護——這些工具由 MetaMask 免費提供，使用 @lavamoat/allow-scripts 的使用者均未受到影響。正如 MetaMask 的 Naugtur 所言：「攻擊者使用腳本，不是因為他們懶惰，而是因為受害者才是那個懶惰的人。」
永久停用所有安裝腳本，並使用 @lavamoat/allow-scripts 僅執行絕對必要的腳本，就足以抵禦近期針對 npm 生態系的大規模攻擊。生命週期腳本是絕佳的惡意程式傳遞工具，因為每個被安裝的套件都能執行程式碼。如果所有人都永久停用腳本，攻擊者就必須改用其他方式傳遞惡意程式，而那些方式被執行的可能性要低得多。安裝完成後，相依套件中的許多套件除非被明確呼叫，否則根本沒有機會執行。而為了防範這類情況，LavaMoat 工具箱中還有其他功能可供使用。
禍不單行，2026 年的四月陣雨帶來的是一份份事後檢討報告。
4 月 18 日，DeFi 專案 KelpDAO 遭竊 2.9 億美元，再次疑似有北韓特工介入，具體指向 Lazarus Group。據報導，借貸協議 Compound、Euler 和 Aave 也受到波及，根據 Bleeping Computer 的報導，「後者宣布凍結並封鎖以 rsETH 作為抵押品的新存款或借貸。」
此次攻擊僅針對 rsETH——一種代表再質押 ETH 的流動性代幣。攻擊者控制了驗證器所依賴的特定 RPC 節點，向其提供虛假的區塊鏈資料。與此同時，他們對合法的 RPC 節點發動 DDoS 攻擊，迫使系統依賴已遭入侵的節點。
4 月 20 日，Kelp 發布了更多細節，並感謝 SEAL 911 的協助。同日，Arbitrum 安全委員會宣布，應執法機關要求，凍結了與此次漏洞利用相關的部分資產。這意味著價值 7,100 萬美元的資金已無法被竊賊取用，根據 CoinDesk 的報導，這提供了「部分追回選項，加上執法機關和鏈上追蹤公司能夠追回的其他款項」。Kelp 與為被利用橋接器提供技術支援的 LayerZero 之間，目前仍存在責任歸屬的爭議。
在 Aave 的帶領下，多個組織隨後聯合支持 DeFi United 救援行動與復原計畫，其中包括 Consensys，該公司已承諾提供最多 30,000 ETH 的資金支持。
4 月 1 日，基於 Solana 的去中心化交易所 Drift 宣布，其安全委員會的管理權限遭惡意方劫持，導致 2.8 億美元遭竊。這再次印證了多重簽名審批安全管理鬆散所帶來的危害，與去年的 ByBit 攻擊事件如出一轍。攻擊者成功取得三個必要簽名中的兩個，並利用了允許交易預先簽署、延遲執行的持久 nonce 帳戶。
據推測，此次攻擊由一個北韓支持的進階持續性威脅（APT）組織所策劃，該組織從 2025 年秋季便開始精心布局一場複雜的社交工程攻擊。這場長達數月的陰謀涉及特工（外表並非北韓人）偽裝成潛在合作夥伴公司的成員，甚至多次親自會面。區塊鏈鑑識公司 Elliptic 和安全研究團隊 SEAL 911 的調查，支持了此次事件與 2024 年 10 月 Radiant Capital 駭客攻擊為同一批犯罪者所為的推論。
以太坊 DeFi 交易所 Cow Swap 遭受前端攻擊，於 4 月 14 日暫時中止服務。MetaMask 的好夥伴 Blockaid 是最早識別此事件的單位，警告用戶「立即避免與該 dApp 進行任何互動」。
在此類攻擊中，威脅行為者能夠透過破壞 DNS 解析，將用戶導向惡意網站。在此案例中，用戶被誘騙批准轉帳，將資金發送給竊賊而非預期的收款方。
4 月 16 日發布的完整事後報告估計，用戶損失約 120 萬美元。除惡意轉帳外，用戶被導向的釣魚網站還「嘗試清空錢包、收集助記詞並竊取密碼」。CoW DAO 隨後設立了補助計畫，以補償受影響的用戶。
2026 年 4 月的其他攻擊事件包括：
正如 X 用戶 @mrbreadsmith 所整理，30 天內共有 25 個協議遭到駭客攻擊。
Anthropic 本月大放異彩，宣布推出一款名為 Mythos 的新 AI 模型，但認為其危險性過高而不宜廣泛分享，因此選擇在特定科技公司中以僅限受邀的試點方式推出，稱之為 Project Glasswing。以革新網路安全為目標，Mythos「已發現數千個高嚴重性漏洞，包括每個主要作業系統和網頁瀏覽器中的漏洞」。
該模型的早期版本曾成功逃脫沙箱環境、開發並利用漏洞，隨後在晦澀但公開的論壇上揭露該漏洞。在其他規避安全防護的示範中，該模型似乎能識別自己正在執行的禁止行為，並「掩蓋行蹤」。
Mythos 能夠發現並利用軟體漏洞，自動串聯主流作業系統和網頁瀏覽器中的多個漏洞。在去中心化金融領域，該模型凸顯了已實施完善安全協議的專案與防禦較弱的專案之間的差距。
ETH Rangers 計畫是以太坊基金會、Secureum、The Red Guild 和 Security Alliance（SEAL）的合作項目，近期完成了為期六個月的運作。此倡議的目的是「為在以太坊生態系中從事公共財安全工作的個人提供補助」，共有 17 位個人及團隊貢獻者獲得獎勵。
部分受表彰的獲獎者包括 DeFiHackLabs 的 SunSec、Ketman Project、Nick Bax、Guild Audits，以及 Palina Tolmach 和 Kontrol 工具團隊。
Solana 基金會與 Web3 安全公司 Asymmetric Research 宣布推出「一波涵蓋工具、標準及建構者支援的全新安全倡議」，並強調「Solana 是為安全而生」，同時「對手正在快速創新」。
此工具集的核心是 STRIDE——Solana Trust, Resilience and Infrastructure for DeFi Enterprises（Solana DeFi 企業信任、韌性與基礎設施），本質上是一個全方位的安全態勢稽核框架。Asymmetric Research 概述了該計畫的支柱：
為補充 STRIDE，基金會還推出了 SIRN（Solana 事件應變網路），這是「一個由安全公司和研究人員組成的會員制網路」，成員包括 Asymmetric Research、OtterSec、Neodyme、Squads 和 ZeroShadow。此外，基金會還重點介紹了多項對 Solana 生態系所有專案免費開放的服務。
Security Alliance（SEAL）的 Radar 部落格發布了關於多起「Traffer」團隊攻擊活動的調查結果，威脅行為者結合社交工程與惡意程式即服務（MaaS）來入侵並竊取加密貨幣公司的資產。
根據 Radar 的說法：「攻擊者不存在地域偏好（同時針對美國和中國），也不聚焦於特定目標類別。然而，面向客戶的員工（財務長/執行長、業務開發、開發者關係、媒體與行銷）因所部署的社交工程攻擊性質，無意間成為風險最高的群體。風險次高的群體包括早期專案負責人和公眾人物（記者、Podcast 主持人）。」
文章列出了重要結論，包括偽造視訊會議邀請、惡意文件、冒充知名人士、盜取社群媒體帳號及空殼公司網站的氾濫情況。雖然這些手法通常具有北韓介入的特徵，但這批攻擊活動被認為源自俄羅斯。文章內容詳盡，包含歸因分析、入侵指標（IOC）、安全建議及大量截圖。
一款出現在 Apple 官方 App Store 上的假冒 Ledger Live 應用程式，在 4 月 7 日至 4 月 13 日期間，導致超過 50 名受害者損失 950 萬美元的加密貨幣。區塊鏈調查員 ZachXBT 記錄了此事件，受影響的用戶遍及多個網路，包括 Bitcoin、Ethereum、Tron、Solana 和 Ripple。Apple 已將該惡意應用程式從商店下架。
此次攻擊是一系列透過官方應用程式商店針對加密貨幣用戶的冒充應用程式事件中的最新案例。就在幾天前，音樂人 Garrett Dutton 也因類似的假冒應用程式損失了 5.9 BTC。被竊資金透過超過 150 個與 AudiA6（一個中心化混幣服務）相關的 KuCoin 存款地址進行洗錢。正如 Ledger 技術長 Charles Guillemet 所強調，合法的硬體錢包公司絕不會要求提供助記詞，用戶應僅從官方公司網站下載錢包軟體。
盡可能從官方公司網站下載錢包應用程式，下載前仔細核對開發者名稱和應用程式詳細資訊，尋找認證標章並閱讀近期評論以發現潛在警示，合法的硬體錢包公司絕不會要求提供完整的助記詞，如有疑慮，請在繼續操作前透過已驗證的管道聯繫官方客服團隊。
中心化交易所 Kraken 發布了一起勒索事件的詳情：一個犯罪集團透過公司內部臥底，取得了存有客戶資料的內部系統的「不當存取權限」。該集團威脅若 Kraken 不滿足其要求，將公開這些資料。目前尚不清楚具體要求為何，但 Kraken 的 Nick Percoco 表示，交易所不會付款，也不會談判。Percoco 進一步表示，用戶資金不存在風險，系統也從未遭到入侵。
此事件與 2025 年 2 月發生的類似事件如出一轍。兩起事件中，Kraken 均因收到線報而得以識別內部威脅並撤銷其存取權限。2025 年的那名臥底滲透了客服團隊。兩起事件中，均有少數用戶帳戶被查閱，相關用戶已獲通知。調查仍在進行中，Kraken 認為現有證據足以導致逮捕行動。
通常我們會將這些章節專門針對用戶的安全建議，但有必要再次強調：所有 Web3 公司都是攻擊目標。眾所周知，北韓進階持續性威脅尤其正在加班加點地滲透加密貨幣相關企業，使用偽造的資歷和推薦信。
招募團隊應聘請專業第三方進行徹底的背景調查，並留意潛在惡意員工的典型跡象，包括：
在面試過程中不願開鏡頭，或使用虛擬背景
一天中的時間或當地天氣與其所述位置不符
所述背景與展現的語言能力不符
對自己居住地點感到困惑
無法毫不猶豫地說出當地地標或天氣
履歷「完美」但無法即時回答基本技術問題
此外，企業應建立嚴格的存取控制、建立偵測與應變系統，並培養強健的安全文化。
本篇 2026 年 4 月報告涵蓋了總計超過五億美元的重大加密貨幣駭客事件、Axios npm 供應鏈攻擊、AI 驅動的網路安全發展，以及針對加密貨幣公司的新興社交工程威脅。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在生態系中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
