加密貨幣安全報告：2024年5月

每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2024 年 5 月，MetaMask 推出了智能交易（Smart Transactions）——提供 99.9% 的交易成功率、MEV 防護、預模擬功能，以及更完善的網路費用設定。我們也分享了一份保護您的秘密恢復短語（Secret Recovery Phrase）的全新使用者指南，以及與 HAPI 合作的 Snaps 安全性討論。本月另一大事件是 Pink Drainer 的關閉，該組織曾從約 20,000 名受害者身上榨取數千萬美元。此外，Lazarus Group 的「Contagious Interview」行動以虛假工作機會為誘餌，鎖定區塊鏈開發者發動攻擊。地址投毒攻擊（address poisoning attacks）也持續增加，其中一名受害者損失高達 6,800 萬美元。完整報告如下，但首先……

精選 STEM 先驅人物：Jerry Lawson，電玩遊戲卡帶之父

Gerald「Jerry」Lawson（1940–2011）是一位美國電子工程師，帶領團隊開發出 Fairchild Channel F——第一款使用可替換 ROM 卡帶的家用電玩主機，因此贏得「電玩遊戲卡帶之父」的稱號。身為早期矽谷中極少數的黑人工程師之一，Lawson 建立了一套模組化系統，讓使用者能安全地替換新功能，這種設計理念與現代軟體的擴充與隔離方式遙相呼應。

智能交易登場，帶來更高成功率與 MEV 防護

交易效率不彰不僅是安全問題，也可能讓使用者蒙受損失。本月 MetaMask 發布了智能交易（Smart Transactions），可提供 99.9% 的交易成功率、最大可提取價值（MEV）防護、交易前模擬，以及更完善的網路費用設定。正如執行產品總監 Gal Eldar 所說，錢包「具有獨特的定位，在許多方面也有責任直接解決這些使用者的痛點」。智能交易體現了 MetaMask 致力於讓所有人提交交易時更安全、更便捷、更高效、更可靠的承諾。

秘密恢復短語、密碼與私鑰使用者指南

作為持續使用者教育的一部分，MetaMask 發布了一篇關於秘密恢復短語、密碼與私鑰的支援文章，旨在幫助新手避免常見且代價高昂的錯誤。這是一份值得分享給任何加密貨幣新手的好資源，連同 support.metamask.io 上的其他相關資料一併參考。

MetaMask Snaps、安全性與盡職調查

MetaMask Snaps 是可自訂、經過審核的第三方附加元件，可擴充錢包功能。我們的 Christian Montoya 與 HAPI 共同主持了一場 X Space，探討 Snaps 如何推動創新以提升使用者安全性。他解釋道，安全性是多面向的，使用者在 Web3 旅程的不同階段需要不同的防護措施：硬體錢包固然有價值，但「如果您與惡意的去中心化應用程式互動，即使使用硬體錢包也可能遭到盜取。因此，MetaMask 致力於在多個領域引入安全服務提供商。」以安全為核心的 Snaps 持續推出中。

重探席捲加密圈的 1,000 萬美元「神秘駭客事件」

MetaMask 的 Taylor Monahan 正在調查一起神秘駭客事件，該事件已入侵多個加密貨幣錢包，並從長期使用者手中盜取約價值 1,000 萬美元的以太幣。她在接受 The Defiant 採訪時，分享了此次駭客事件最初發生的細節，以及這一連串事件的最新進展，並指出雖然她對根本原因的看法隨著深入調查有所演變，但事實並未改變：這起事件是另一起與惡名昭彰的 LastPass 資料外洩事件相關的攻擊，我們在過去幾個月的報告中已有所提及。駭客被認為是某個有組織犯罪集團的成員，已入侵至少 300 名受害者的助記詞，這些助記詞很可能都是透過 LastPass 儲存的。請記住：您的秘密恢復短語應離線儲存，並保存在只有您能存取的安全地點。她也附上了 2023 年 9 月 Krebs on Security 的相關報導連結。

Pink Drainer 盜取逾 7,500 萬美元後宣告關閉

惡名昭彰的加密貨幣錢包盜取工具 Pink Drainer 宣布關閉，此前它透過精密的網路釣魚手法，從約 20,000 名受害者身上累積了逾 7,500 萬美元，並聲稱：「我們已達成目標，現在按照計畫，是時候退休了。」（Scam Sniffer 引用 ZachXBT 的數據，指出其在短短一年內從約 20,000 名受害者身上盜取了逾 7,500 萬美元。）正如 Pink Drainer 自己所承認的，其退出不太可能產生重大影響，因為「人們會像轉向我們一樣迅速轉向其他盜取工具」。詐騙者突然有了良知？還是另有隱情？我們的直覺傾向後者……而且，由於許多其他盜取工具仍在活躍，一貫的建議依然有效：將大量資金存放在硬體錢包中，日常使用的錢包僅保留少量資產，並針對不同風險等級使用不同帳戶。

Lazarus Group 的「Contagious Interview」行動鎖定區塊鏈開發者

事件經過

Lazarus Group 是一個自 2007 年起活躍的進階持續性威脅（APT）組織，以 2014 年索尼影業攻擊事件聞名，近年來愈來愈頻繁地鎖定金融機構與虛擬貨幣平台。安全研究人員發現了一系列攻擊，這些攻擊使用含有惡意 JavaScript 的 ZIP 檔案，透過 LinkedIn、Upwork 和 Braintrust 等平台上的職缺發布，鎖定區塊鏈開發者。與 Lazarus 的「Contagious Interview」行動一致，這些攻擊誘騙求職者執行惡意程式碼，進而竊取加密貨幣相關資訊並植入惡意軟體。

使用者如何保護自己

為防範 Lazarus 等組織發動的網路釣魚與惡意軟體攻擊，務必透過獨立調查核實意外收到的工作邀約的真實性，並維持良好的數位安全習慣。這包括使用最新版防毒與反惡意軟體、啟用多因素驗證（MFA）以增加額外的安全防護層，以及謹慎處理來自不明來源的電子郵件附件與連結。此外，保持所有軟體更新也至關重要，以防範可被利用的漏洞。透過採取這些措施，個人可以大幅強化對複雜網路威脅的防禦能力，並保護敏感資訊的安全。

地址投毒攻擊持續增加，一名受害者損失 6,800 萬美元

事件經過

地址投毒是一種欺騙性手法，攻擊者透過操縱受害者的交易紀錄，誘使其將資金發送至錯誤地址——近期就有一名受害者因此損失 6,800 萬美元。這種詐騙手法涉及創建假代幣、使用與目標地址高度相似的「靚號」地址，以及利用 ERC-20 代幣標準的「transferFrom()」函數。攻擊者運用這些策略進行零值代幣轉帳和偽造代幣轉帳，使其詐騙地址看起來合法可信。這些攻擊旨在混淆使用者，使其在交易時複製錯誤地址，進而造成財務損失。這些手法的精密程度，凸顯了區塊鏈領域網路威脅的持續演進。

使用者如何保護自己

為防範地址投毒攻擊，使用者應避免直接從交易紀錄中複製地址，而應從可信來源複製。為地址設定域名可提升辨識度，但使用者必須警惕域名欺騙的風險。善用錢包服務提供的地址簿功能，或在 Etherscan 等平台上為受信任地址新增私人名稱標籤進行白名單管理，可幫助使用者輕鬆識別並避免使用偽造地址。

MetaMask 2024 年 5 月加密安全報告涵蓋了 MetaMask 智能交易的推出、Pink Drainer 從約 20,000 名受害者身上盜取數千萬美元後宣告關閉，以及地址投毒攻擊持續增加並導致一名受害者損失 6,800 萬美元等事件。瀏覽 MetaMask 加密安全報告的往期內容，了解更多威脅、趨勢，以及在整個生態系統中保持安全的實用建議。