一位備受尊敬的安全研究員被揭露是 Radiant Capital 5000 萬美元駭客事件幕後的朝鮮特工。Lazarus Group 透過 THORChain 洗白了 Bybit 竊案中的 12 億美元，而其營運者卻聳聳肩，以去中心化為由推卸責任。FBI 的 IC3 報告顯示，2024 年美國加密貨幣詐騙損失高達 93 億美元，較前一年增加 66%，而 Forta 發現 Base 上 Uniswap V2 中近 90% 的代幣都是硬式 rug pull。與此同時，兩個新命名的威脅行為者登場：SLOVENLY COMET 透過遭入侵的 SMS 基礎設施攔截 MFA 驗證碼，以及 ELUSIVE COMET 利用偽造的 Bloomberg Zoom 邀請來入侵加密錢包。不過，也不全是壞消息。我們很自豪地宣布，MetaMask 在 Coinspect 2024 年錢包安全排名中榮登第一，這反映了我們長期以來對用戶安全的承諾。請繼續閱讀詳細內容，但首先……
Svante Arrhenius 是第一位運用物理化學方法，將 CO₂ 濃度上升與地球暖化連結起來的科學家。
我們再次做到了！根據 Coinspect 的評比，MetaMask Extension 是排名第一的最安全自託管瀏覽器錢包。安全評分從 0 到 100，基於四項錢包安全檢查清單，涵蓋去中心化應用程式權限、意圖驗證、實體存取及威脅防護。再次感謝 Coinspect 團隊的肯定。
雖然北韓進階持續性威脅（APT）的活動可能在 4 月 15 日的太陽節假日期間短暫減少，但朝鮮相關行動整個月仍持續活躍。像 MetaMask 的 Taylor Monahan 這樣積極捍衛安全的研究員，在揭露朝鮮戰術及發現惡意活動方面持續扮演關鍵角色。
Nick Franklin 曾在 Twitter 上以安全專家身份廣受尊崇，但據稱他一直秘密為北韓效力。他被認為參與了進階網路間諜行動及加密貨幣竊盜，包括去年秋天 Radiant Capital 5000 萬美元的駭客事件。
在超過一年的時間裡，Franklin 透過對重大漏洞事件提供即時分析，在加密社群中建立信任，最終卻被揭露以安全報告為幌子散布惡意應用程式檔案。在 Taylor Monahan 的協助下，對此事件的調查揭露了一個更廣泛的朝鮮特工網絡，從事從創建假協議到執行高知名度竊案等各種惡意活動，突顯了加密產業安全體系中重大的人為漏洞。
2025 年 2 月，北韓的 Lazarus Group 對加密貨幣交易所 Bybit 發動了 14 億美元的駭客攻擊，創下迄今最大規模的加密貨幣竊案紀錄。調查顯示，約 12 億美元的被盜資金透過 THORChain 進行洗白，THORChain 是一個無需中介即可促成加密貨幣兌換的去中心化跨鏈協議。儘管當局施壓，THORChain 的營運者以網路去中心化性質為由，拒絕封鎖與此次竊案相關的交易。
Taylor Monahan 批評了 THORChain 的立場，指出雖然該平台聲稱去中心化，但其開發者和驗證者——其中許多位於有嚴格反洗錢法規的司法管轄區——已從與洗白資金相關的交易手續費中獲取了可觀利潤。Monahan 強調了以去中心化為名促成此類活動的道德與法律責任。
安全研究員 Cookie Connoisseur 提供了這些 APT 對手的部分個人資料與行為模式，並附有照片。其他研究員也紛紛加入，交流研究心得。
根據 FBI 2024 年網路犯罪投訴中心（IC3）年度報告，美國加密貨幣相關詐騙損失攀升至超過 93 億美元，較 2023 年增加 66%。
這些損失來自各種詐騙手法，包括投資詐騙、勒索、性勒索，以及涉及加密 ATM 和自助服務機的詐騙活動。報告也指出，在所有年齡層中，60 歲以上的受害者在加密貨幣類別中遭受的財務損失最為嚴重，這進一步凸顯了加強教育、平台層級警示，以及針對年長用戶保護機制的必要性。
我們的夥伴 Forta 發現，在 28 天內部署於 Base 區塊鏈 Uniswap V2 流動池的代幣中，近 90% 為硬式 rug pull——即專門設計用來竊取投資者資金的惡意代幣。Base 上低廉的部署成本與簡便性，使其成為詐騙者採用「廣撒網」戰術的溫床：大量部署假代幣、模擬交易活動，並在用戶參與後迅速撤走流動性。
單一行為者就與超過 19,000 個詐騙代幣有關，突顯了問題的工業化規模。Forta 呼籲建立更強大的主動防禦機制，例如其 Forta Firewall，以協助保護用戶免受這些快速部署詐騙活動的侵害。
事件經過
威脅行為者植入了一個名為 pdf-to-office 的惡意套件，該套件偽裝成將 PDF 檔案轉換為 Microsoft Word 文件的工具，實際上卻針對 Atomic Wallet 和 Exodus 等加密貨幣錢包發動攻擊。
此套件於 2025 年 3 月 24 日首次發布，已多次更新且仍可下載，累計下載次數達 334 次。它會注入惡意程式碼，在交易過程中將收款方的錢包地址替換為攻擊者的地址。這種方式能確保惡意軟體在開發者系統上持續存在，對軟體供應鏈安全構成重大威脅。
用戶如何保護自己
為防範供應鏈攻擊，在安裝 npm 套件前請先驗證其真實性，並保持加密貨幣錢包軟體更新至最新版本。密切監控錢包活動，若懷疑遭到入侵，請從可信來源解除安裝並重新安裝。使用可靠且持續更新的安全軟體來偵測威脅，並保持資訊更新——與團隊分享知識，以強化整體意識與應變能力。
LavaMoat 等工具也能透過沙箱化 JavaScript 依賴項並執行安全政策，降低軟體供應鏈中惡意行為的風險。
事件經過
一個新識別的威脅行為者，被命名為 SLOVENLY COMET，利用 SMS 基礎設施中的漏洞攔截多因素驗證（MFA）碼，導致 Telegram 帳號遭到未授權存取，尤其影響阿根廷的加密社群。
攻擊者利用 Telegram 機器人系統性地收集含有 MFA 驗證碼的 SMS 訊息，影響多個服務的用戶，包括 Google、Microsoft、Apple、Telegram、Facebook、Mercadolibre、Amazon、Binance、Instagram、TikTok、Temu 和 Signal。此次入侵被追溯至一個遭入侵的 SMS 閘道供應商，突顯了基於 SMS 的驗證方式所帶來的風險。
用戶如何保護自己
Security Alliance 的 SEAL 團隊建議用戶和服務供應商停止使用基於 SMS 的 MFA，改用更安全的替代方案，例如驗證器應用程式或硬體安全金鑰。對於可能受到 SLOVENLY COMET 影響的用戶，建議立即採取行動保護帳號並檢查驗證設定。
事件經過
隨著 Zoom 詐騙事件日益增多，Trail of Bits 的安全研究員現已揭露 ELUSIVE COMET：一個針對加密社群發動精密社交工程攻擊的威脅行為者。
攻擊者利用偽造的「Bloomberg Crypto」系列節目邀請，透過 Zoom 遠端控制功能入侵加密錢包。此手法涉及在通話過程中以修復音訊或視訊問題為由，誘騙受害者安裝惡意軟體。此次發現突顯了網路威脅日益精密的趨勢，尤其是那些利用區塊鏈產業操作安全漏洞的攻擊。
用戶如何保護自己
為防範 ELUSIVE COMET 等社交工程攻擊，對於主動發來的邀請務必保持謹慎——尤其是那些提供看似不尋常的媒體機會或合作邀約。請務必透過官方管道驗證此類聯繫的真實性，例如確認的電子郵件地址或直接聯繫該組織。
此外，除非絕對必要，否則應限制或停用 Zoom 遠端控制存取等功能，並確保系統定期更新，並以嚴格的存取控制加以強化。強大的端點保護與即時監控至關重要，同時也需要持續對團隊進行常見攻擊手法的教育訓練。
有關 ELUSIVE COMET 的更多資訊，請參閱 Jake Gallen 的深度分析。
MetaMask 2025 年 4 月加密安全報告涵蓋了一位受信任的安全研究員被揭露為朝鮮特工、Bybit 駭客事件的 12 億美元透過 THORChain 洗白，以及針對加密用戶的精密 Zoom 和 SMS 攻擊。瀏覽 MetaMask 加密安全報告的往期內容，了解更多威脅、趨勢及在生態系統中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
