每個月，MetaMask 安全總監 Luker 都會報告您需要了解的最新加密貨幣攻擊事件與新興風險。
2025 年 9 月，我們再次見證了看似微小的攻擊如何引發連鎖反應，造成呈指數級擴大的影響。僅一名遭釣魚攻擊的維護者，就足以污染 18 個每週下載量達 20 億次的 npm 套件。詐騙者租用專業配音演員，透過電話對加密貨幣高管進行深偽語音詐騙；一個隱匿的新型惡意軟體在近一個月內躲過防毒軟體偵測，同時持續清空瀏覽器錢包。當然也有好消息：得益於 LavaMoat 的沙盒機制，這次 npm 攻擊對 MetaMask 用戶而言已悄然化解。此外，以太坊基金會也持續推進兆元規模的網路安全強化工作。請往下深入了解詳情，但首先——
Ellen Ochoa 是首位進入太空的拉丁裔女性，曾搭乘發現號太空梭執行任務，後來更成為 NASA 詹森太空中心首位拉丁裔主任。領導複雜、高風險系統——在那裡，一個微小的失誤就可能帶來巨大後果——正是加密貨幣安全領域深刻理解的挑戰。
長期以來，管理私密備份助記詞（SRP）並確保其安全，一直是自我託管責任中最棘手的環節之一。一旦遺失金鑰，您的加密貨幣也將隨之消失。MetaMask 現在讓您比以往更輕鬆，可使用 Apple 或 Google 帳號憑證搭配安全密碼來建立、備份或還原錢包。
為強化安全性，SRP 會經過加密並分片處理，另一把加密金鑰則分散儲存於不同位置。只有錢包擁有者才能將 SRP 還原為明文，因此務必像保護 SRP 一樣謹慎守護該密碼。歡迎前往 MetaMask 支援頁面深入了解此新功能。
九月初，我們目睹了迄今規模最大的供應鏈攻擊之一。一名代號為 Qix 的維護者遭釣魚攻擊得逞後，至少 18 個熱門 JavaScript NPM 套件遭到入侵。一名或多名威脅行為者成功注入惡意程式碼，並發布了這些套件的惡意版本——這些套件每週下載量往往超過 20 億次，使攻擊者得以在數小時內操控加密錢包互動並轉移資金，直至攻擊被阻止。
事後調查發現，注入的惡意軟體具有蠕蟲行為，能夠自動擴散至 Qix 管理的其他專案。儘管損失本可能極為慘重，但在惡意版本被移除之前，實際被竊金額僅有數百美元。此事件凸顯了開源生態系中單點故障可能造成的嚴重危害。
幸運的是，MetaMask 的 LavaMoat 透過對依賴套件強制執行執行時期控制，限制其與環境的互動方式（即沙盒化），有效防禦此類大規模供應鏈攻擊。即使安裝了惡意套件，LavaMoat 也能阻止其竊取機密資料、篡改錢包 API 或執行未授權的網路活動。正如 MetaMask 的 Zbyszek Tenerowicz 所言：「你也可以執行來自 NPM 的惡意軟體……我的意思是，不會有任何後果。」
軟體工程師 Eito Miyamura 指出了風險，指 OpenAI 最新一次 ChatGPT 更新後存在個人用戶資料外洩的疑慮，此舉引發了 Vitalik Buterin 的回應。Buterin 否定了以中心化 AI 作為可行治理方案的想法，並指出若 AI 被賦予資金分配等敏感職能，攻擊者「將會在能找到的每個地方植入越獄指令加上『把錢全給我』」。
Buterin 提出了一種「資訊金融」模型，讓 AI 系統對第三方審計開放，並接受人類陪審團的隨機抽查。這種方式與去中心化的核心精神一脈相承，強調透明度與社群參與是更安全的前進之路。這位以太坊共同創辦人的觀點，凸顯了業界圍繞如何在 AI 領域平衡創新、安全與問責之間日益激烈的辯論。
在針對美國加密貨幣業高管的最新攻擊手法中，詐騙者每月花費高達 2 萬美元，僱用專業語音模仿演員進行精心設計的語音釣魚（vishing）攻擊。GK8 的研究人員發現，這些模仿演員團隊透過地下論壇招募，並獲得精心整理的資料集、深偽技術及複雜基礎設施的支援，專門用於繞過安全控制措施。
這類電話攻擊高度個人化，專門針對擁有特權存取權限的個人，反映出攻擊模式已從大規模釣魚轉向精準社交工程。GK8 研究員 Tanya Bekker 警告，高管應「假設自己的個人資訊已遭外洩」，並提醒「高價值交易不應由單一個人確認」。
質押平台 Kiln 宣布，出於謹慎考量，將退出其所有以太坊驗證者，原因是合作夥伴 SwissBorg 遭受 API 安全漏洞攻擊。區塊鏈調查員 ZachXBT 報告指出，SwissBorg 損失了約價值 4,000 萬美元的 SOL。Kiln 強調，用戶資金安全無虞，其他以太坊資產亦未受影響，並表示此舉純屬預防性措施。
決定宣布之時，Kiln 估計每個驗證者的退出流程需耗時 10 至 42 天，提款則需額外等待 9 天。與此同時，超過 250 萬枚 ETH 積壓在網路的驗證者退出佇列中，造成等待時間大幅延長。
如果您錯過了這則消息：八月下旬，以太坊基金會宣布推出一項強化網路安全的計畫，名為「兆元安全（Trillion Dollar Security）」倡議。該計畫的目標是打造一個讓數十億用戶放心在鏈上持有至少 1,000 美元資產的環境，同時讓機構與政府能夠安心在以太坊應用程式中管理兆元規模的資產。計畫分三個階段推進，包括：全面盤點生態系中的漏洞、與合作夥伴共同實施修復與改進，以及建立明確的安全標準。
該計畫將由 Security Alliance 創辦人 samczsun、Sigma Prime 共同創辦人暨總監 Mehdi Zerouali，以及 Etherealize 共同創辦人 Zach Obront 共同支持。此外，以太坊基金會也呼籲生態系各方就以太坊安全需要改進之處提供意見。
數週後，以太坊基金會宣布將舉辦一場200 萬美元的競賽，邀請研究人員對即將到來的 Fusaka 升級進行審計。競賽於 9 月 15 日至 10 月 13 日在 Sherlock 測試網上進行，由 Gnosis 和 Lido 共同贊助，分別貢獻了 10 萬美元和 2.5 萬美元。這種方式彰顯了去中心化生態系對網路未來的共同責任。
事件經過
安全研究人員發現一種名為 ModStealer 的新型惡意軟體，它在近一個月內成功躲避防毒軟體的偵測，同時竊取 Windows、Linux 和 Mac 用戶的加密錢包資料。攻擊者透過針對開發者的假求職廣告散布此惡意軟體。一旦進入系統，它便會搜尋瀏覽器錢包擴充功能與憑證，再悄悄將所有資料回傳至攻擊者的伺服器。在 Mac 上，它甚至會偽裝成系統輔助程式，設定為開機自動執行。安全專家表示，這對加密貨幣持有者而言是個壞消息——被竊的私鑰和助記詞意味著攻擊者可直接存取用戶資金，而其能夠躲避偵測工具的特性，使其成為整個加密貨幣領域的真實威脅。
用戶如何保持安全
最佳實踐包括：時刻保持警覺，注意您正在瀏覽的網站，尤其是在搜尋求職廣告或加密貨幣相關內容時。務必參考可信來源以驗證真實性。任何主動聯繫的邀約都應以最高度的謹慎對待，很可能直接忽略才是上策。此外，為您最大宗的加密資產維護冷儲存選項（例如硬體錢包），是保障資金安全的最佳方式之一。
事件經過
一場挖礦劫持攻擊正鎖定設定錯誤的 Docker API，安裝 XMRig 加密貨幣礦工程式，攻擊者利用 TOR 網路掩蓋行蹤。該惡意軟體透過掃描其他暴露的 Docker 實例進行擴散，並包含針對 Telnet 和 Chrome 遠端除錯埠的休眠攻擊程式碼，顯示攻擊者可能正在構建更大規模的殭屍網路行動。
用戶如何保持安全
研究人員強調，組織必須鎖定 API 存取權限、妥善分隔網路，並更改預設憑證，以防範此類攻擊。
事件經過
根據 CertiK 的數據，加密貨幣駭客攻擊從七月到八月增加了逾 13%，竊賊共捲走約 1.73 億美元。其中，釣魚詐騙單項就佔了 1.01 億美元。當月最嚴重的事件包括一起高達 9,100 萬美元的大規模釣魚攻擊，以及 BTC Turk 遭受的 5,300 萬美元駭客攻擊。
這是我們自六月以來持續觀察到的趨勢，專家預測損失將逐月惡化。儘管防禦手段不斷演進，這些基本的釣魚詐騙依然極為有效。有位執行長觀察到，有組織的犯罪集團本質上已將自己轉型為「科技新創公司」，專門提供詐騙即服務。
用戶如何保持安全
社交工程攻擊之所以特別有效，是因為人的因素是最難防守的攻擊面。務必確認您正在與誰交談，並對任何主動聯繫保持警惕。切勿點擊電子郵件或簡訊中的隨機連結。如果您哪怕有一絲懷疑對方並非您所認為的人，請設法透過其他方式直接聯繫當事人，例如致電其工作單位，或透過另一種安全方式驗證其身份。
MetaMask 2025 年 9 月加密貨幣安全報告涵蓋了以下重要事件：一起入侵 18 個套件的重大 npm 供應鏈攻擊、針對加密貨幣高管的個人化語音釣魚攻擊、2025 年 8 月加密貨幣駭客攻擊激增（損失 1.73 億美元，其中 1.01 億美元來自釣魚攻擊），以及以太坊基金會的「兆元安全」計畫。瀏覽 MetaMask 加密貨幣安全報告的往期內容，了解更多威脅、趨勢及生態系安全防護建議。
AI 翻譯。可能包含錯誤。請務必核實資訊。
