每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2025 年 6 月，無論是攻擊規模還是詐騙打擊力度，都達到了新的高度。國際刑警組織在一場全球性資訊竊取行動中，摧毀了 20,000 個惡意 IP 並逮捕了 32 人。美國司法部宣布了史上最大規模的「殺豬盤」資產追回行動，金額高達 2.25 億美元。然而，Lazarus Group 的攻勢同樣猛烈——透過 Tron 的低手續費基礎設施洗白數十億美元的竊取加密貨幣、入侵台灣交易所 BitoPro 竊取 1,100 萬美元，並持續以假冒 IT 工作者身份滲透美國企業。在更貼近我們的議題上，MetaMask Security 的 Taylor Monahan 深入分析了為何 EIP-7702 漏洞利用是私鑰安全問題，而非 Pectra 本身的問題。此外，我們的母公司 Consensys 收購了 Web3Auth，以簡化錢包恢復流程並進一步強化 MetaMask 的領先安全性。詳情請見下文，但首先……
Nergis Mavalvala 參與了 LIGO 計畫中重力波的探測工作，並在量子測量科學領域進行了深入研究。
在這些報告中，我們經常談到惡意攻擊，但您知道嗎？有 35% 的用戶未能妥善備份其秘密恢復短語，使他們面臨資金損失的風險。正如 MetaMask 共同創辦人 Dan Finlay 所說：「不要與任何人分享，但也不能遺失——這是一個非常難以拿捏的平衡。」
這正是我們很高興宣布的原因：MetaMask 的母公司 Consensys 已收購金鑰管理與嵌入式錢包基礎設施的領先供應商 Web3Auth。透過整合 Web3Auth 的功能，MetaMask 用戶將能夠使用熟悉的 Web2 驗證方式來建立和恢復錢包，例如社群登入和裝置驗證。此次收購也為開發者提供了嵌入式錢包 SDK 和金鑰管理基礎設施的存取權限，讓錢包管理更加便捷與流暢。
@lavamoat/webpack 發布 1.0 版
經過 OtterSec 的審計、支援動態載入區塊，以及為提升可維護性而進行的重構，我們的 Webpack 外掛已達到 1.0 版本，被視為穩定且可投入使用。接下來的計畫是推出可選擇啟用的安全性改進功能。
我們不僅成功讓 Hardened JavaScript 的 lockdown() 在 React Native 的 Hermes 引擎限制下運作，還找到了一種方式，透過 Metro 設定檔整合，以簡潔的套件形式提供給開發者使用。我們已發布了一個非常早期的版本，並正在尋求測試結果與回饋。歡迎試用並分享您的使用體驗。
如果您錯過了，我們還有其他進行中的專案：
@lavamoat/node
雖然仍在開發中，我們對 LavaMoat for Node.js 的完整重寫已具備基本功能。它引入了完整的 ESM 支援，並為從 npm 套件執行指令的用戶帶來了開發體驗改進。lavamoat-node 仍受支援且穩定，但最終將因缺乏 ESM 支援而被棄用。
隨著我們開發新功能，部分功能正被整合至 lavamoat-node。您現在可以對在其他地方標記為可寫入的全域變數進行更精確的存取控制。政策檔案排序改進已在所有 LavaMoat 工具中落地，允許生成 policy.json 檔案。Git diff 已最佳化，僅顯示實際變更，並在依賴樹更新時最小化資源重新排序的情況。
我們發布了一個新工具，作為一個具有明確立場的驗證器，用於防止直接從 git 儲存庫安裝依賴項（或 GitHub actions）時產生的安全問題。該工具發布後，PagedOut! 雜誌第 6 期隨即刊載了一篇相關文章。
Cryptonews 近期評測了 MetaMask 錢包的安全性，我們對其評估深表感謝——「擁有超過 3,000 萬活躍用戶及八年的使用紀錄」，MetaMask 已鞏固其「具備眾多安全功能且開發團隊積極致力於提升安全等級的極佳選擇」的聲譽。該文章重點介紹了我們的安全功能，並提供了自我託管最佳實踐的建議。感謝 Cryptonews！
以太坊近期的 Pectra 升級引入了 EIP-7702，旨在透過允許錢包暫時像智能合約一樣運作來提升用戶體驗。然而，此功能已遭惡意行為者利用。Wintermute 的分析顯示，超過 80% 的 EIP-7702 委託與一個名為「CrimeEnjoyor」的單一惡意腳本有關，該腳本專門設計用於自動清空已洩露金鑰的錢包。其中一起值得關注的事件涉及一名用戶透過此腳本促成的網路釣魚攻擊，損失近 15 萬美元。
MetaMask Security 的 Taylor Monahan 強調，核心問題並非 EIP-7702 本身，而是用戶保護私鑰這一長期存在的挑戰。她指出，雖然 EIP-7702 提供了進階功能，但也為攻擊者提供了更有效率的手段來利用已洩露的金鑰。這一情況凸顯了在不斷演進的以太坊生態系統中，強健的私鑰管理與提高用戶警覺性的重要性。
從 6 月發布的三則相關報導中，我們可以看出來自北韓的進階持續性威脅絲毫沒有減緩的跡象。
美國司法部正尋求沒收 770 萬美元的加密貨幣，這些資金與北韓駭客有關，這些駭客偽裝成 IT 工作者滲透美國企業。他們使用假冒身份獲取遠端工作機會，以穩定幣收取報酬，並透過各種方式洗白資金後轉移至北韓政府。專家警告，此類行動通常使用 AI 生成的虛假人物和深偽技術，每年可能為該政權創造數億美元的收益。
台灣加密貨幣交易所 BitoPro 於 2025 年 5 月 8 日在熱錢包系統更新期間遭駭，損失 1,100 萬美元。此次攻擊被歸因於北韓的 Lazarus Group，他們使用惡意軟體和竊取的 AWS 令牌繞過安全措施，並在多條區塊鏈上清空資金。被盜的加密貨幣隨後透過混幣器和去中心化交易所進行洗白。BitoPro 已恢復錢包運作，並確認無內部人員涉案。
北韓的 Lazarus Group 一直透過去中心化金融平台洗白數十億美元的竊取加密貨幣，尤其利用 Tron 區塊鏈的低手續費基礎設施。根據鏈上分析師 ZachXBT 的說法，該組織在一個由經紀商組成的地下網路中運作，利用兌換池、新錢包和點對點交易方式，使估計達 50 億至 100 億美元的非法資金難以追蹤。
批評者指出，Tron 等平台缺乏有效的管控措施，助長了如此大規模的洗錢行動。儘管 TRON DAO 聲稱與 Tether 和 TRM Labs 等機構合作支持反犯罪工作，但許多人認為這些措施是被動且不足的。ZachXBT 強調，整個加密貨幣行業正在經歷一個「犯罪超級週期」，大規模駭客攻擊頻發，問責機制卻嚴重不足。
國際刑警組織的「Operation Secure」行動成功摧毀了超過 20,000 個與資訊竊取惡意軟體相關的惡意 IP 位址和網域。這項協調行動涉及來自 26 個國家的執法機構以及 Group-IB、卡巴斯基和趨勢科技等私人部門合作夥伴，最終查扣了 41 台伺服器，並逮捕了 32 名與網路犯罪活動相關的人員。資訊竊取軟體是一種惡意軟體，專門設計用於從受感染裝置中提取密碼、信用卡資訊和加密貨幣錢包資訊等敏感資料。此次行動還通知了超過 216,000 名受害者及潛在受害者，使他們能夠立即採取防護措施。
美國司法部宣布了史上最大規模的加密貨幣投資詐騙資金追回行動，此類詐騙被稱為「殺豬盤」——詐騙者長期操縱受害者以榨取最大價值。政府目前正致力於將沒收的資金盡可能歸還給超過 400 名受害者。
事件經過
加密貨幣價格追蹤網站 CoinMarketCap 遭受供應鏈攻擊，訪客因此暴露於錢包清空活動的威脅之下。駭客利用網站首頁塗鴉圖片中的漏洞注入惡意 JavaScript，觸發偽造的 Web3 錢包連接彈窗。毫無戒心的用戶在連接錢包後，加密貨幣遭到清空，110 名受害者共損失超過 43,000 美元。此次攻擊凸顯了錢包清空程式的日益嚴重威脅——這類攻擊利用平台的可信元素來針對加密貨幣用戶。雖然惡意程式碼已被迅速移除，但 CMC 表示調查仍在進行中。
用戶如何保護自己
為防範錢包清空攻擊，在連接錢包前，請務必驗證 Web3 彈窗的合法性。避免點擊可疑連結或與不熟悉網站上的彈窗互動，並考慮使用硬體錢包存放大量加密貨幣資產。所幸，此次事件的總損失因安全從業人員的迅速應對以及交易模擬器的預警而得到部分緩解，許多潛在受害者在損失資金前便收到了警告。
事件經過
CoinTelegraph 網站遭受前端漏洞攻擊，顯示了一個推廣不存在之 CTG 代幣的假空投彈窗。該彈窗虛假聲稱用戶連接錢包即可獲得 5,500 美元，並引用偽造的 CertiK 審計報告以顯得可信。
這家區塊鏈新聞媒體迅速警告用戶不要與這些彈窗互動，並移除了未經授權的程式碼。該媒體此後聲稱已「強化安全控制措施，以防止未來發生類似事件」。
用戶如何保護自己
用戶應對意外出現的彈窗或優惠保持警惕，尤其是那些承諾連接錢包即可獲得豐厚財務回報的內容。在與此類提示互動之前，用戶應透過官方來源驗證資訊的合法性。作為額外預防措施，用戶應比對該機構已驗證的社群媒體、官方網站及其他可信行銷活動中的訊息是否一致。
事件經過
硬體錢包製造商 Trezor 發出安全警報，攻擊者濫用其線上支援聯絡表單，發送偽裝成合法支援回覆的網路釣魚郵件。這些詐騙郵件旨在誘騙用戶分享其錢包備份——而錢包備份應始終保持私密且離線存放。Trezor 確認其系統或用戶資料均未遭到入侵，且網路釣魚活動已被遏制。該公司強調保持警覺的重要性，並已展開調查以防止未來遭到濫用。
用戶如何保護自己
為避免遭受網路釣魚詐騙，切勿分享您的錢包備份或私鑰，即使請求看似合法也不例外。請務必驗證通訊的真實性。對主動發來的郵件保持警惕，尤其是那些要求提供敏感資訊的郵件，並避免點擊連結或下載來自不明來源的附件。
事件經過
SparkKitty 透過官方應用程式商店中的惡意應用程式，以及假冒 TikTok 克隆版和賭博平台等側載應用程式，滲透 iOS 和 Android 裝置。安裝後，SparkKitty 會請求存取裝置相簿的權限，並使用光學字元辨識技術掃描圖片中的敏感資訊，尤其是加密貨幣錢包助記詞。一旦找到此類資料，便會將資訊傳送給攻擊者，危及用戶的數位資產。
Crocodilus 是一種新發現的 Android 銀行木馬程式，對全球用戶構成重大威脅。該惡意軟體偽裝成 Google Chrome 等合法應用程式來欺騙用戶。安裝後，它會請求無障礙功能權限，使其能夠執行擷取螢幕內容、記錄按鍵操作，以及覆蓋假冒登入畫面來竊取憑證等行為。它專門針對銀行和加密貨幣應用程式，旨在提取敏感資訊並清空用戶帳戶。
用戶如何保護自己
請僅從可信來源下載應用程式，並對任何請求存取相片、螢幕內容或無障礙功能的應用程式保持警惕。避免將助記詞等敏感資訊存放在相簿中，改用硬體錢包或加密密碼管理器等安全儲存方式。保持裝置和應用程式更新以修補漏洞，並考慮使用信譽良好的行動安全軟體來偵測和封鎖惡意軟體。持續了解新興威脅並養成良好的數位安全習慣，對保護您的加密貨幣和個人資料大有裨益。
MetaMask 2025 年 6 月加密貨幣安全報告涵蓋了朝鮮特工透過 Tron 洗白數十億美元、國際刑警組織打擊與資訊竊取軟體相關的 20,000 個惡意 IP，以及針對 iOS 和 Android 加密貨幣助記詞的行動裝置惡意軟體等議題。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及在整個生態系統中保持安全的建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
