加密貨幣安全報告：2025年8月

每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。

2025 年 8 月，一個共同主題持續浮現：即使是謹慎、經驗豐富的安全從業人員也可能遭到詐騙。一位擁有十年乾淨操作安全記錄的以太坊核心開發者，因為一個仿冒 AI 程式碼擴充套件而痛失錢包。AI 生成的惡意軟體悄悄滲入 npm，在被下架前已被下載超過 1,500 次。而 LastPass 資料外洩事件持續發酵，本月再度透過遭入侵的 Toptal GitHub 組織重新浮上檯面。威脅越來越多地潛藏在開發者工具與供應鏈中——而這些正是使用者可能預設信任的地方，這也正是 MetaMask 推出 Kipuka 的原因——這是一款全新的 LavaMoat 工具，專為抵禦此類威脅而生。請繼續閱讀詳細內容，但首先……

精選 STEM 先驅：Alonzo Church 與 lambda 演算的發展

數學家 Alonzo Church 發展了 lambda 演算，這是電腦科學的基礎框架。他與學生 Alan Turing 共同提出了 Church-Turing 論題，定義了一個問題「可計算」的真正含義。建立嚴謹推理系統能力與限制的形式化基礎，正是可證明、可驗證安全性背後的相同思維。

MetaMask 推出全新 LavaMoat 工具包 Kipuka

Kipuka 是 MetaMask 全新的 LavaMoat 安全工具包，專為保護開發者免受有害 npm 套件侵害而設計。具體而言，它旨在降低惡意 npm 套件在安裝時或開發過程中試圖危害開發者本機的攻擊成功率。隨著竊取型惡意軟體日益盛行，以及透過 npm 套件散布的針對桌面裝置的蠕蟲病毒不斷增加，Kipuka 的目標是讓這些攻擊即便不局限於安裝腳本，也能無法奏效。

將開發環境置於容器或虛擬機器（VM）中並非新鮮事。Kipuka 的獨特之處在於，一旦安裝完成，它會透明地在容器中執行您對 npm cli（或其他套件管理器）的呼叫，無需記得另行設定或啟動安全環境。

搶先體驗 Kipuka，在正式 beta 版本發布前，針對各種工作流程與設定進行相容性測試。

LavaMoat Webpack Plugin 推出相容性更新

MetaMask 的 LavaMoat Webpack Plugin 也於 2025 年 8 月進行了更新，提升了與 Webpack 功能、瀏覽器能力及生態系統的相容性。該外掛現已正式脫離 beta 階段。立即在您的 Web UI 專案中採用，並持續關注我們所有的最新 LavaMoat 版本發布。

Google 將全面下架非託管錢包的謠言純屬不實

八月中旬，CT 上開始流傳 Google 即將從其應用程式商店下架非託管錢包的謠言。事實並非如此，Google 本身已出面闢謠。簡而言之：MetaMask 不會消失。

Coinbase 在近 7 萬名客戶資料遭駭後，力推 ZK 技術驅動的反洗錢改革

就在遭受影響近 7 萬名客戶的重大資料外洩事件後幾個月，Coinbase 如今將密碼學隱私工具視為其所稱「陳舊」金融犯罪法規的潛在解方。Coinbase 首席法務長 Paul Grewal 解釋道，《銀行保密法》（BSA）「仍根植於數十年前的要求，反映的是以紙本為基礎的合規流程，以及資金需要數天而非數秒才能移動的金融體系」。

「除了客戶每次重複 KYC 流程時感到的不便，這些個人檔案對犯罪分子而言就是蜜罐。法律要求企業保存您的資料長達數年，並將這些資料提交給官僚機構。」雖然 Coinbase 並未直接將資料外洩歸咎於 BSA，但看來該公司正試圖將話題引導至關於 BSA 監管要求及其相關風險的更廣泛討論。我們將持續為您追蹤後續發展……

土耳其拘留加密貨幣研究員 Fede Intern，繼 Roman Storm 定罪事件之後

繼 Tornado Cash 開發者 Roman Storm 在土耳其受審定罪後，一位名為 Fede's Intern（本名 Federico Carrone）的研究員在試圖入境土耳其時，於機場遭土耳其當局拘留。他被拘留的原因是內政部長提起的一項指控，指控他協助他人濫用以太坊。表面上，他與此案的唯一關聯，是他撰寫的一篇探討 Tornado Cash 去匿名化技術的論文。Carrone 從未為 Tornado Cash 開發任何隱私功能。

Carrone 表示：「內政部長提起訴訟，指控我協助他人濫用以太坊，據稱與某隱私協議有關。撰寫讓交易私密化的程式碼，並不會讓你成為罪犯。罪犯是那些違法的人。」

MetaMask 的 Taylor Monahan 也發表看法：「美國對待加密貨幣的方式所帶來的一個更有趣且鮮少被報導的負面影響，是它對其他國家乃至全球的衝擊。這些國家往往介於無能、失能與徹底腐敗之間。」

LastPass 資料外洩風波延燒，Toptal GitHub 遭入侵

軟體公司 Toptal 的 GitHub 組織遭到入侵，部分套件在發布時被植入惡意腳本。這反映出惡意軟體被悄悄混入知名套件的更廣泛詐騙趨勢。

消息曝光後，Toptal 也透露 Picasso 和 Xene 套件在 2025 年 6 月 20 日曾遭入侵數小時。Toptal 認為此事件與 LastPass 資料外洩所導致的憑證洩露有關。

如果您以為我們已經從這場 LastPass 大規模資料外洩的後續影響中脫身，請再想想！加密貨幣曾是、現在也仍是最早的攻擊目標之一。請更新您在資料外洩前存放於 LastPass 中的所有內容。

加拿大主導的全球網路聯盟「Project Atlas」揭露逾 7,000 萬美元被盜加密貨幣

Project Atlas 是一項以受害者為中心的計畫，由安大略省警察局網路詐欺小組（CEFT）主導，專注於識別並打擊投資詐騙。由加拿大領導、具全球規模，匯集了國際執法機構與私部門利害關係人組成的聯盟。迄今為止，該計畫已從逾 2,000 個錢包中揭露超過 7,000 萬美元的被盜加密資產，並凍結了 5,000 萬美元。

惡意 AI 擴充套件掏空以太坊核心開發者錢包

事件經過

Coin Telegraph 報導，以太坊核心開發者 Zak Cole 儘管具備良好的操作安全習慣，仍遭一款惡意 AI cursor 擴充套件洗劫一空。Cole 解釋道：「超過 10 年來，我從未因駭客而損失過一個 wei。然後上週我急著要部署一份合約。」

此次攻擊透過建立一個惡意擴充套件，利用仿冒域名（typosquatting）手法模仿合法擴充套件。在這個案例中，攻擊者冒充知名發布者 Juan Blanco，偽裝成合法的 Solidity 擴充套件。該惡意擴充套件的發布者名稱為「Juan Bianco」，而非「Juan Blanco」。

使用者如何保持安全

即使您正趕著快速交付，也請務必仔細閱讀細節。請記住：由於字型排版的關係，惡意擴充套件的某些字元和設計元素可能看起來完全相同，這可能成為被利用的漏洞。

詐騙者甚至能在應用程式商店中為其假冒擴充套件投放廣告。為保護自己，請記得在將擴充套件加入 IDE 前，先確認其發布日期。Cole 也指出，儘管該擴充套件僅發布了幾天，下載量卻異常龐大。這極不尋常，因為擴充套件不可能在如此短的時間內累積如此高的下載次數。請留意網站描述中奇怪的詞語組合，以及開發者位於不尋常地點的情況。

破解朝鮮駭客裝置，揭露北韓滲透加密貨幣專案的策略

事件經過

一位身分不明的安全研究員入侵了一名朝鮮 IT 駭客的裝置，揭露了一個小型北韓團隊如何管理大量假冒身份、應徵軟體職位的手法。ZachXBT 揭露，這個朝鮮 IT 團隊已深度滲透五家加密貨幣公司。駭客透過購買假身份、LinkedIn 帳號及 Upwork 帳號來獲取工作機會，藉此建立可信開發者的聲譽。

使用者如何保持安全

如果您是加密貨幣公司，且懷疑自己已遭入侵：首先，應確認朝鮮工作者曝光的 LinkedIn、GitHub 及電子郵件帳號是否存在於您的組織中。接著，應修改招募流程，加入驗證應徵者所在地點的機制。

AI 生成惡意軟體在下架前已累積逾 1,500 次下載

事件經過

AI 生成的惡意軟體被上傳至 NPM，在被移除前已有超過 1,500 人下載。此套件利用 postinstall 腳本竊取受害者的私鑰。這些 postinstall 腳本被設計為隱藏於 Windows、Mac 及 Linux 裝置中。一旦安裝完成，惡意軟體便會掃描儲存私鑰的檔案。

使用者如何保持安全

開發者可透過使用 LavaMoat 提供的安全控制機制來保護自己。善用 @lavamoat/allow-scripts 和 Kipuka 可防止惡意 postinstall 腳本滲入您的應用程式。此外，請務必確保只下載並執行由可信來源發布的專案。如果必須下載未經驗證或知名度較低的套件，最好使用一次性虛擬機器來下載並執行這些專案。如此一來，即便虛擬機器遭到入侵，您個人電腦中的機密資料仍可受到保護。

MetaMask 2025 年 8 月加密貨幣安全報告涵蓋了全新 LavaMoat 工具 Kipuka 的發布、Coinbase 力推 ZK 技術驅動的反洗錢改革、朝鮮 IT 滲透策略遭破解曝光、以太坊核心開發者遭惡意 AI 擴充套件洗劫，以及土耳其拘留加密貨幣研究員 Fede Intern 等事件。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在生態系統中保持安全的建議。