每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2024 年 12 月清楚地說明了一件事：詐騙者不會在假期休息。駭客開始污染 AI 訓練資料，將惡意加密貨幣程式碼悄悄植入開發者的工作流程；Lazarus Group 持續將 LinkedIn 當成地獄版求職平台加以利用；Solana 的 @solana/web3.js 函式庫遭受供應鏈攻擊，目標直指私鑰。與此同時，LastPass 資料外洩事件的損失在原始事件發生兩年後已突破 2.5 億美元，而 WallStreetBets 的 X 帳號遭到入侵後，損失了價值 220 萬美元的迷因幣。在主動安全防護方面，Immunefi 推出了以太坊協議 Attackathon，獎金池高達 150 萬美元；Luker 也登上 Devcon SEA 的舞台，深入剖析社交工程在各個威脅層級的運作方式。完整細節請見下文，但首先……
Clifford Stoll，又稱 「那位撰寫了如何追蹤駭客指南的瘋狂科學家」， 攝於其位於加州的工作室。
如果您錯過了，Luker 概述了腳本小子、犯罪集團和進階持續性威脅如何運用社交工程手法。了解使用者如何遭到洗劫、加密貨幣公司和開發者如何被欺騙，並深入認識讓她夜不成眠的殺豬盤背後的惡意手法。歡迎收看！（附註——殺豬盤是一種長期存在的加密貨幣詐騙，攻擊者會在數週或數月內與受害者建立關係，贏得信任、製造親密感，甚至展示偽造的獲利紀錄，最終說服受害者將資金轉入詐騙者控制的平台。這個詞源自於「先養肥豬再宰殺」的概念。不涉及任何對豬隻的傷害，受害者是真實的人。）
同源 Realm 是一種讓瀏覽器安全執行腳本、並隔離來自相同來源的不同網頁的機制。在處理嵌入式內容（例如 iframe）或載入不受信任的腳本時，它們對於提升安全性特別有用。
Gal Weizman 的文章探討了開發者如何利用這些 Realm 建立更安全、更高效的網頁應用程式。他重點介紹了 Realms-Initialization-Control（RIC），這項機制可讓開發者控制腳本的初始化方式，增添額外的安全防護層。這有助於防範常見的網頁漏洞，使應用程式更加穩健。挑戰在於如何在安全性與開發便利性之間取得平衡，但這類進展正在為更安全的網路鋪路。
Taylor Monahan 近期揭露了 與北韓相關的 Lazarus Group 如何運用複雜的社交工程手法——包括透過社群媒體或通訊應用程式聯繫員工、以求職邀約或技術協助為由引導其前往 GitHub 儲存庫，並入侵個人裝置以取得公司基礎設施的存取權限。
在一個真實案例中，一名員工在 LinkedIn 上與虛假身份互動後，其裝置遭到入侵。攻擊者持續保持聯繫，甚至以加密貨幣補償該員工以建立信任，最終利用取得的存取權限竊取了超過 200 萬美元。
作為後續回應，MetaMask 分享了一份簡明易懂的清單，列出在網路上被人聯繫時需要注意的事項。
Evan Boehs 概述了暗網雖提供匿名性與合法用途，但同時充滿風險——詐騙、惡意軟體和信任問題是常態。匿名賣家可能在交易中途消失，惡意連結無處不在，一個失誤就可能暴露您的身份。
為了保持安全，請使用 Tor 等工具、養成良好的加密貨幣使用習慣，並保持零信任的思維模式。
Immunefi 的 Attackathon 已正式啟動。活動將持續至 2025 年 1 月 20 日，這場大規模的眾包安全審計競賽旨在強化以太坊協議的安全性。活動邀請從專業審計公司到獨立安全研究人員等各類參與者，角逐總額 1,500,000 美元的獎金池。
事件經過
Solana 遭受了一場供應鏈攻擊，目標是廣泛使用的 @solana/web3.js npm 函式庫，意圖竊取私鑰並盜取資金。惡意版本被識別為 1.95.6 和 1.95.7，於 2024 年 12 月 2 日短暫出現後，隨即被迅速下架。
攻擊者據信透過網路釣魚手法取得存取權限，並成功將惡意程式碼注入函式庫。這段程式碼的設計目的是將私鑰外洩至攻擊者控制的伺服器，該伺服器被識別為 sol-rpc[.]xyz，值得注意的是，該網域在資料外洩事件發生前僅數天才完成註冊。雲端安全研究員 Christophe Tafani-Dereeper 在套件中發現了一個名為「addToQueue」的後門函式，專門針對涉及金鑰的敏感操作。
使用者如何保護自己
針對此次攻擊，Solana Labs 與安全專家共同向可能受到惡意函式庫版本影響的開發者發出建議。這些建議包括：徹底審查相依套件以找出任何使用惡意版本的情況、立即更新至安全版本 1.95.8，以及在懷疑遭到入侵的情況下輪換金鑰。
事件經過
詐騙者現在將目標鎖定 AI 訓練資料，嵌入惡意加密貨幣程式碼以剝削使用者。在這個案例中，程式碼涉及透過 @OpenAI 推薦的 API 傳送私鑰。詐騙行動執行迅速，使用者在使用該 API 後 30 分鐘內，資產便被轉入竊賊的錢包。
使用者如何保護自己
這起事件凸顯了在使用 AI 生成程式碼時保持謹慎的重要性，尤其是在加密貨幣領域。請務必仔細核查 AI 的建議，驗證 AI 服務所推薦的網站和 API 的合法性。在試驗新工具或程式碼時，請使用僅存放少量資金的測試錢包，以降低發生錯誤或漏洞時的潛在損失。此外，請持續關注加密貨幣社群中的常見詐騙手法和已知惡意網站，保持資訊更新。
事件經過
在 WallStreetBets X 帳號遭受的重大入侵事件中，駭客盜走了 Solana 區塊鏈上價值超過 220 萬美元的迷因幣。這起漏洞利用事件由區塊鏈偵探 ZachXBT 識別，追溯至 X 行動應用程式中的一個漏洞。被盜資產包括 1,430,000 枚 PNUT 代幣、400,000 枚 ZEREBRO 代幣和 130,000 枚 ALCH 代幣。駭客加入了通行密鑰，即使在 WallStreetBets 撤銷其存取權限後，仍能持續控制該帳號。
使用者如何保護自己
如果您在社群媒體上看到任何大力宣傳某種新代幣投資的連結，請在點擊前先評估其合法性。這些連結可能非常誘人，承諾豐厚回報和搶先入場的獨家機會，但這正是人們上當受騙的方式。請仔細確認這些連結的導向，並進行盡職調查以核實所承諾內容的真實性。
事件經過
ZachXBT 揭露了一起重大加密貨幣竊盜事件，由「LastPass 威脅行為者」策劃，導致超過 40 個受害者地址損失約 536 萬美元。這起資料外洩事件與 2022 年 12 月 LastPass 通報的未授權存取加密保險庫資料事件相關聯，目前已造成超過 2.5 億美元的加密貨幣總損失。攻擊者專門針對曾在 LastPass 保險庫中儲存私鑰或秘密恢復短語（SRP）的使用者，利用集中式儲存的漏洞發動攻擊。
使用者如何保護自己
定期審查：定期檢視您的數位資產儲存位置與方式，確保您使用的任何儲存方案都符合最高安全標準。
安全儲存：避免將私鑰或 SRP 儲存在集中式密碼管理器中。請考慮使用硬體錢包或其他安全的離線儲存方式來保管敏感資訊。
立即行動：如果您曾使用 LastPass 儲存任何與加密貨幣相關的資料，請考慮將資產轉移至新錢包，並作為預防措施更換任何合約或多簽錢包的所有權。
保持資訊更新：追蹤知名的網路安全專家和平台，掌握最新的安全威脅資訊及保護資產的最佳實踐。
MetaMask 2024 年 12 月加密貨幣安全報告涵蓋了以下主題：透過操縱訓練資料針對加密貨幣開發者的 AI 程式碼投毒攻擊、Lazarus Group 利用虛假 LinkedIn 求職邀約竊取 200 萬美元、Solana @solana/web3.js 函式庫遭受供應鏈攻擊，以及 LastPass 資料外洩損失突破 2.5 億美元。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在整個生態系統中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
