Each month, MetaMask 安全總監 Luker 報告最新的加密貨幣攻擊事件與新興風險，讓您掌握最重要的資安動態。
2025 年 7 月是充斥著各種冒充行為的一個月——冒充錢包、冒充已停止運營的專案，以及冒充瀏覽器擴充功能。超過 40 個偽裝成加密貨幣錢包的惡意擴充功能被發布至 Firefox。攻擊者重新註冊已失效的加密貨幣專案網域，利用這些專案過去建立的聲譽，趁不知情的用戶誤入時洗劫其資產。此外，兩行惡意程式碼透過一個暗藏陷阱的 pull request，悄悄滲入一個開源以太坊擴充功能。這個月也帶來了一些令人振奮的好消息。GMX 透過白帽賞金計畫，追回了 4,200 萬美元駭客攻擊中的大部分資金。美國多個政府機構聯手瓦解了一個規模龐大的北韓身份盜竊行動。希臘也完成了史上首次加密資產查扣。完整報告如下，但首先……
物理學家吳健雄，人稱「核子研究女王」，曾參與曼哈頓計畫，後來設計了一項實驗，推翻了宇稱守恆定律——這是物理學家長期以來視為理所當然的基本原則。拒絕盲目接受「已知」的假設，並建立精確的驗證方法來證明或推翻它，正是嚴謹資安工作所需的核心思維。
觀看 Patrick Collins 的精彩示範，了解他開發的 MetaMask Snap——Wise Signer——如何運用 AI 搜尋網路資訊，並根據可疑地址、呼叫資料與網路環境，判斷一筆交易是否存在風險。此 Snap 目前仍處於測試階段，您現在可以查看原始碼，並在我們的支援頁面閱讀更多關於 MetaMask Security Snaps 的資訊。感謝 Patrick 為守護生態系安全所做的貢獻。
MetaMask 持續蟬聯 Coinspect 最安全 Web3 錢包排行榜第一名，涵蓋行動裝置（iOS 與 Android）及 Chrome 平台。我們的瀏覽器擴充功能安全性也獲得 100% 的威脅防護評分。
說到 Coinspect，他們近期揭露了一個令人憂慮的趨勢：威脅行為者正在重新註冊已停止運營的加密貨幣專案網域，利用這些專案過去建立的聲譽繞過安全檢查，進而盜取用戶資產。Coinspect 已與多個 DeFi 平台及資安團隊合作，識別並通報了逾 100 個此類所謂的「殭屍 Dapp」。
7 月 9 日，GMX 部署於 Arbitrum 的 V1 GLP 流動性池遭受攻擊，損失4,200 萬美元。根據 GMX 的事後分析報告，駭客利用重入攻擊（re-entrancy attack）鑄造了超額的 GLP 代幣。GMX 在收到 Hexegate 的漏洞警報後，立即暫停交易，並透過鏈上活動追蹤，發現大部分被盜資金已被兌換為其他數位資產。GMX 隨即提出 10% 的白帽賞金，並承諾若資金於 48 小時內歸還，將不採取任何法律行動。攻擊者以輕描淡寫的一句話回應：「好，資金稍後歸還」，最終保留了約 450 萬美元，並將其餘資金返還給 GMX。
特勤局的全球調查行動中心（GIOC）專門追蹤數位金融犯罪，目前持有全球規模最大的冷錢包之一，存放大量已追回的加密資產。GIOC 調查人員通常運用開源工具、區塊鏈分析及網域註冊資訊進行調查。此外，特勤局已向全球 60 個國家的執法人員及檢察官提供專業培訓。
為防範惡意軟體及高風險權限所引發的供應鏈攻擊，Socket 正邀請開發者測試其新產品線，該產品採用即時掃描與分析技術。此工具設計輕量且注重隱私保護，同時提供 NPM、PyPI、Go、Maven 等套件目錄的風險指標。風險訊號包括混淆程式碼或安裝腳本、高熵值或可疑字串、仿冒名稱（typo-squatting），以及高風險 API。未來計畫將覆蓋範圍擴展至 Chrome 以外的平台。
ReversingLabs 的安全研究人員發現，兩行惡意程式碼透過一個 PR 被植入開源工具套件 forETHCode。雖然現有證據顯示這段程式碼尚未被用於竊取代幣或資料，但研究人員推測其意圖是「竊取受害者機器上儲存的加密資產」，或「破壞使用該擴充功能的用戶正在開發的以太坊智能合約」。
此事件再度引發外界對惡意及遭入侵擴充功能趨勢，以及供應鏈攻擊問題的高度關注。
6 月下旬，司法部宣布已主導一項協調一致的全國行動，導致多人被捕、遭起訴，並查扣逾 200 台筆記型電腦、29 個金融帳戶及 21 個詐騙網站。司法部發現北韓支持的惡意活動遍及 16 個州，包括身份盜竊，以及滲透逾 100 家美國企業（含加密貨幣公司）。
一週後，有報導指出財政部外國資產控制辦公室（OFAC）已制裁兩名涉案人員，這兩人涉嫌竊取並販售個人資料，用於就業詐騙。此類詐騙所得收益據悉被用於資助北韓的彈道飛彈計畫。
Raymondip Bedi 與 Patrick Mavanga 因在 2017 年至 2019 年間向至少 65 人販售詐騙性加密貨幣諮詢服務，被定罪並合計判處 12 年有期徒刑。據 Crypto Times 報導：「兩人均承認多項罪名，包括詐騙、違反監管規定及洗錢等。此外，Mavanga 還被追加湮滅證據及持有偽造身份證件的罪名。」此次由英國金融行為監管局（FCA）主導的起訴，是該機構打擊加密貨幣犯罪更大規模行動的一部分，FCA 目前正積極追討被害資金。
希臘反洗錢局（HAMLA）完成了史上首次加密資金查扣。HAMLA 與 Chainalysis 及 Performance Technologies 合作，追蹤並凍結了 Bybit 15 億美元交易所駭客事件中部分被盜資產。這項全球追回行動的成功，有賴於「結合尖端區塊鏈分析工具、專業培訓與國際合作，共同打擊全球加密犯罪的強大力量」。如您尚未得知，Bybit 於今年稍早遭受駭客攻擊，損失高達 15 億美元，據稱為北韓 Lazarus Group 所為。
事件經過
Koi Security 的 Yuval Ronen 揭露了逾 40 個惡意 Firefox 擴充功能，這些擴充功能隸屬於同一攻擊活動，冒充包括 MetaMask 在內的多個加密貨幣錢包。此威脅自 2025 年 4 月起持續活躍，被用於從「目標網站竊取憑證並將其傳送至攻擊者控制的遠端伺服器」，同時也會傳輸外部 IP 位址。這些偽造擴充功能外觀逼真，並利用惡意正面評價欺騙用戶。現有證據指向一名俄語使用者為幕後主謀。
用戶如何保護自身安全
Ronen 在發布報告的同時，也分享了以下安全建議：
僅安裝來自已驗證發行者的擴充功能，即使評分很高也應保持謹慎。
將瀏覽器擴充功能視為完整的軟體資產，進行嚴格審查、持續監控及政策管理。
使用擴充功能白名單，僅允許安裝預先核准且經過驗證的擴充功能。4. 實施持續監控，而非僅進行一次性掃描。擴充功能可能自動更新，並在安裝後悄悄改變其行為。
事件經過
社群媒體持續是針對加密貨幣的社交工程攻擊溫床。Krebs on Security 揭露了外觀合法的「詐騙賭博」（scambling）網站如何透過廣告吸引用戶，以免費點數及 Mr. Beast 等名人的虛假代言為誘餌。用戶必須建立帳號才能領取「點數」，並可與精心設計的遊戲互動及下注。然而，這些詐騙賭博計畫與經典的「殺豬盤」詐騙如出一轍。用戶永遠無法提款，反而被要求繳納額外的「驗證保證金」或諮詢「資金追回專家」。
用戶如何保護自身安全
請對要求存款才能領取點數的遊戲網站保持警惕，尤其是那些要求存款才能提款的網站。請記住，絕大多數加密貨幣資金追回服務都是詐騙，合法服務通常設有高額最低門檻，往往達數萬美元以上。任何涉及網紅的推廣活動，都應透過已驗證的官方頻道進行核實。
事件經過
據 SentinelOne 率先報導，北韓攻擊者採用一種攻擊 Web3 公司的新型手法，使用一款名為 NimDoor 的全新 Nim 語言 macOS 後門程式，透過加密 WebSocket 竊取憑證並竊取資料。該惡意軟體同時運用 AppleScript 及程序注入技術。
作為更大規模 BabyShark 行動的一部分，攻擊者採用 ClickFix 風格的網路釣魚手法，以緊迫感誘騙目標點擊偽裝成無害連結的危險連結。這些活動已被歸因於進階持續性威脅組織 Kimsuky。
用戶如何保護自身安全
在被迫採取緊急行動之前，請務必先暫停並冷靜評估情況，並核實資訊來源。對於任何面試流程中要求下載檔案的情況，請保持高度警惕。停用遠端 AppleScript 執行功能，並保持所有系統與軟體（如瀏覽器、擴充功能及腳本執行環境）為最新版本。若您使用 macOS，請留意連線至未知網域的 WebSocket 連線、異常的程序注入或應用程式啟動時執行的腳本，以及透過啟動代理程式（launch agents）或訊號處理器（signal handlers）建立的持久化機制。
別讓自己被坑了，嗶嗶嗶嗶嗶嗶……
MetaMask 2025 年 7 月加密安全報告涵蓋了逾 40 個冒充加密貨幣錢包的假 Firefox 擴充功能、GMX 4,200 萬美元重入攻擊事件（透過白帽賞金計畫解決），以及殭屍 Dapp 復活已停止運營加密專案網域的問題。瀏覽 MetaMask 加密安全報告的往期內容，了解更多威脅、趨勢及生態系安全防護建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
