每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2024 年 11 月帶來了讓人忍不住再三確認門鎖的頭條新聞。一位加密貨幣 CEO 在多倫多市中心遭到綁架，被勒索 100 萬美元贖金。ZachXBT 揭露了一起金額高達 650 萬美元的 Coinbase 客服冒充詐騙案。微軟在 CYBERWARCON 大會上詳細呈現了朝鮮（DPRK）長達十年的網路攻擊演進歷程。不過，AI 奶奶或許即將出手相救？英國電信公司 O2 決定以最獨特的方式對抗電話詐騙——派出一位 AI 老奶奶，喋喋不休地聊她的貓。
這個月同樣充滿了主動出擊的安全更新。MetaMask 推出了 Signature Insight Snaps，LavaMoat 在 GitNation 進行了全新示範，SEAL 發布了 DIY 兵棋推演演練範本，The Red Guild 也推出了 Phishing Dojo，協助用戶針對真實詐騙情境進行訓練。請繼續閱讀以下詳細內容，但首先……
Jude Milhon創造了「cypherpunk」這個詞，被譽為駭客的守護聖人。
2024 年 11 月於曼谷舉行的 Devcon 7 大會內容豐富、令人目不暇給。幸好，MetaMask 的 Taylor Monahan 從安全議題中精心挑選了她的最愛。備好爆米花吧，因為這條討論串內容相當豐富。
深入了解最新一類 MetaMask Snaps，協助用戶提升安全防護：Signature Insight Snaps。這些 Snaps 能分析簽名請求，向用戶說明其用途與潛在風險，從而協助防範釣魚攻擊與未授權存取。
目前提供的初始選項包括 Kleros Scout，可解碼簽名請求並識別相關合約，以警示用戶潛在威脅；以及 ZyFi Paymaster Insights，透過提供 paymaster 相關交易的詳細資訊，提升 zkSync 生態系中簽署交易的可讀性。用戶可透過 MetaMask Snaps Directory 安裝這些 Snaps，需使用 MetaMask Extension 12.4.2 或更新版本。
Drainer、交易模擬、殺豬盤……MetaMask 安全團隊 Ohm 在 Devcon 2024 閃電演講中，密集介紹了各種加密貨幣詐騙手法。
他又來了：Zbigniew 關於 LavaMoat 開源工具包如何降低使用惡意 NPM 套件風險的最新演講已在 GitNation 上線。LavaMoat 將每個套件隔離至獨立的沙箱環境，並提供工具以定義嚴格的存取政策，有效防範 Cookie 竊取及未授權存取敏感全域變數等威脅。在限定期間內，我們提供支援協助您將 LavaMoat 整合至專案中，讓您輕鬆保護應用程式的安全。如有任何問題，歡迎透過 [email protected] 聯繫 ZB。
歡迎參閱 Kelsie Nabben 撰寫的文章，了解 Security Alliance 兵棋推演演練情境範本。這個由 The Security Alliance 設計並發布的開源 GitHub 儲存庫，是協助協議團隊自行進行安全演練的範本。該範本提供全面的規劃與執行兵棋推演情境指引，包括：
組織與執行演練的逐步說明。
使用 Foundry 和 Hardhat 在本地分叉上進行開發與測試的設定。
在 Tenderly 上進行即時分叉的配置。
桌面演練範本，以及整合 Prometheus、Grafana 和 OpsGenie 的監控機器人服務。
此計畫著重於在區塊鏈生態系中培養主動積極的安全文化，鼓勵持續備戰以應對不斷演進的威脅。如需了解更多詳情及取得範本，請造訪 GitHub 儲存庫。
英國電信公司 O2 推出了 Daisy——一位由 AI 驅動的老奶奶，正以其人之道還治其人之身，讓電話詐騙者嘗到苦頭。Daisy 讓詐騙者深陷在關於編織、貓咪和她「珍貴舊回憶」的荒唐閒聊中無法脫身，既浪費他們的時間，也讓真正的受害者免於受騙。就在詐騙者試圖欺騙她的同時，她正在蒐集他們的作案手法情報，以最迷人的方式反將一軍。誰能想到，奶奶的嘮叨竟然是一件秘密武器？
安全研究與教育團體 The Red Guild 推出了 Phishing Dojo——一個互動式平台，旨在協助用戶識別並避免加密貨幣領域中的釣魚詐騙。這個教育工具呈現了詐騙電子郵件、虛假空投網站及惡意交易授權等情境，讓用戶練習識別並應對常見威脅。此計畫旨在提升社群對日益精密的網路攻擊的認知與防禦能力，這些攻擊正不斷針對加密貨幣生態系發動。
微軟威脅情報分析師在 CYBERWARCON 2024 大會上發表了深入研究，聚焦於朝鮮與中國的網路威脅行為者。題為「DPRK——羽翼已豐」的議程，重點介紹了朝鮮長達十年的先進網路能力發展歷程，使其得以實施大規模加密貨幣竊盜，並鎖定與衛星及武器系統相關的組織。此外，另一場題為「中國網路行動的演進」的演講，探討了中國採用新戰術以強化行動安全的方式，包括利用存在漏洞的小型辦公室／家庭辦公室（SOHO）設備來掩蓋其活動蹤跡。這些洞察凸顯了來自這些國家的網路威脅日益精密且適應力不斷增強的趨勢。
事件經過
加密貨幣調查員、SEAL 成員，同時也是個十足的hoopy frood，ZachXBT 揭露了一起由詐騙者 Ronald Spektor 主導的精密釣魚行動。Spektor 冒充 Coinbase 客服，於 2024 年 10 月竊取了超過 650 萬美元。他以官方客服身份誘騙受害者，隨後透過與 TON 相關的錢包洗錢，並刪除其社群媒體帳號以逃避追查。儘管如此，ZachXBT 的調查已識別出尚未追蹤的資金及潛在共犯，讓外界對後續線索的出現抱持希望，期待能協助受害者與當局追回被盜資產。
用戶如何保護自身安全
在加密貨幣領域，防範冒充客服的詐騙者需要保持警覺並採取主動的安全措施。以下是一些關鍵策略：
核實來源：僅透過官方網站或應用程式聯繫客服，避免點擊電子郵件或社群媒體中的連結。
忽略主動聯繫：合法公司不會主動聯繫您，也不會要求您採取緊急行動。
保護敏感資訊：切勿分享私鑰、助記詞或密碼，避免螢幕共享。
持續學習：了解常見詐騙手法，並追蹤可信賴的安全專家。
加強安全防護：在可用的情況下啟用雙重驗證（2FA）及防釣魚工具。
再三確認請求：在採取行動前，透過官方管道確認客服聲明的真實性。
2024 年 11 月初，多倫多加密貨幣公司 WonderFi 的 CEO Dean Skurka 在多倫多市中心遭到綁架，被勒索 100 萬美元贖金。事件發生在下午 6 點前，地點位於大學大道與列治文街西交叉口附近。綁架者強行將 Skurka 押入車內並要求支付贖金，贖金最終以電子方式支付。Skurka 其後在 Etobicoke 的百年公園被發現，身體並無大礙。他向公眾保證，WonderFi 的客戶資金與資料均安全無虞，未受此事件影響。專家指出，此類攻擊雖屬罕見，但可能與加密貨幣價值飆升同步發生，因為犯罪分子可能將加密貨幣行業的知名人士視為高價值目標。
用戶如何保護自身安全
切勿輕忽五美元扳手攻擊——即透過人身脅迫（如威脅或暴力）強迫他人透露私鑰或存取其加密貨幣資產。在可能的情況下，盡量保持低調，避免在公開場合炫耀您的持倉。透過將資金分散至多個軟體和硬體錢包來分散儲存風險，並將大部分持倉保存於冷儲存中。考慮使用多重簽名錢包和時間鎖定交易。同時請記住，若您真的面臨此類情境，您的生命遠比您的加密貨幣更重要。
MetaMask 2024 年 11 月加密貨幣安全報告涵蓋了 WonderFi CEO 遭綁架勒索 100 萬美元加密貨幣贖金、ZachXBT 揭露 650 萬美元 Coinbase 客服冒充詐騙案、微軟在 CYBERWARCON 揭露朝鮮與中國網路能力，以及 MetaMask 推出 Signature Insight Snaps 等重要事件。瀏覽 MetaMask 加密貨幣安全報告的往期內容，獲取更多威脅資訊、趨勢分析及生態系安全防護建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
