釣魚攻擊

ChainCatcher 消息，美股 BNB 加密財庫公司 Nano Labs 及董事長孔劍平表示，其 X 帳號此前遭遇釣魚攻擊，目前已成功恢復控制。孔劍平稱，攻擊者向其公開常用郵箱發送釣魚郵件，其 AI 助手誤將郵件中的虛假鏈接識別為 X 官方驗證頁面，導致其將 X 發送至綁定郵箱的驗證碼輸入至釣魚頁面，最終造成帳號被盜；期間帳號曾短暫發布數條詐騙信息。孔劍平提醒用戶不要點擊非官方鏈接，即使 AI 判斷鏈接可信也應保持警惕，並建議將 X 綁定郵箱設置為不易被外部知曉的郵箱，以降低帳號被盜風險。

ChainCatcher 消息，幣安錢包宣布上線針對高風險簽名場景的即時檢測與風險攔截功能，以防範利用 DeFi 項目授權機制實施的釣魚攻擊。幣安表示，部分攻擊僅需誘導用戶完成無需 Gas 費的離線簽名，即可能導致資產被盜。後續將繼續拓展風險識別場景及安全防護覆蓋範圍。

ChainCatcher 消息，据韓國聯合通訊社報導，釜山警察廳披露，有人非法入侵釜山沙上區一家複合購物中心行銷部門所使用的簡訊發送代理公司帳戶，向 26 萬餘名不特定人群批量發送詐騙簡訊，聲稱"加密貨幣錢包已更新"並誘導快速安裝。用戶一旦點擊附帶連結，即可能遭遇虛擬資產被盜的釣魚攻擊（Smishing）。目前警方已封鎖相關帳戶訪問權限，並對非法入侵者展開追蹤調查。

ChainCatcher 消息，近期 meme 幣行情火爆，鏈上交投越發活躍。然而伴隨行情轉暖，meme 幣展示頁卻頻繁出現偽裝度極高的釣魚鏈接，"新穎"的攻擊手法致使多位久經沙場的交易員中招。加密 KOL @insidecalls、@cladzsol 近日爆料稱，在日常掃鏈過程中點開 meme 幣首頁，結果彈出"cloudfare 驗證"提示，按照提示"完成驗證"後，事主鏈上資金被盜。其中 @cladzsol 被盜約 60 萬美元資產。據市場消息，在近期熱門的多個 meme 幣展示頁面，其首頁均會導流至"cloudfare 驗證"頁面，實際為釣魚鏈接，若用戶按照提示執行操作，電腦系統將會下載、執行惡意腳本，導致資產損失。該現象如此泛濫，或與 DexScreener 等主流交易聚合平台審核滯後有關。當前相關平台展示邏輯是：直接引用代幣元數據裡填寫的"官網"或社交媒體鏈接。這些字段可由代幣創建者或後續聲稱"社區接管"的人更新。黑客正是利用此審核漏洞將 meme 幣展示頁轉化為釣魚攻擊新"漁場"。用戶在掃鏈過程中或許難免點擊陌生鏈接，若出現"cloudfare 驗證"或其他高度可疑頁面，應直接關閉，避免與其交互，保護資產安全。

ChainCatcher 消息，比特幣硬體錢包製造商 Trezor 警告稱，其用於發送新聞通訊的第三方行銷平台 Brevo 發生資料洩漏，攻擊者利用該平台向 34.7 萬 Trezor 客戶發送了釣魚郵件。攻擊者藉助 Trezor 的域名發送郵件，使釣魚嘗試更具迷惑性，郵件內含惡意連結，誘導用戶下載應用並輸入錢包備份。Trezor 表示，已在 20 分鐘內於 DNS 層面關閉該域名，阻止連結繼續生效，但此前已有約 2500 人點擊。Trezor 已暫停 Brevo 帳戶以阻止郵件繼續發送，並強調除該行銷平台外，其他 Trezor 系統未受影響，同時提醒用戶 Trezor 從不要求客戶提供錢包備份。此次事件之前，Trezor 上月披露其第三方履約合作夥伴 ShipMonk 遭攻擊，導致 11742 名客戶資料洩漏；上週又表示另有 6.7 萬名美國客戶的姓名、郵箱、電話、收貨地址及訂單號在洩漏中曝光。今年以來，加密貨幣錢包 Ledger 的支付處理商 Global-e 及錢包提供商 SafePal 也相繼發生資料洩漏，SafePal 約 3.98 萬客戶的訂單資訊遭未授權訪問。

ChainCatcher 消息，據 GoPlus 監測，某用戶因 922 天前簽署惡意 Permit 交易後，被釣魚者轉走 9.7 萬美元的 SYN 代幣，之後並未取消相關授權，再次導致價值 12.2 萬美元的 SYN 被盜。

ChainCatcher 消息，据安全公司 Salus 監測，一名用戶因點擊 Google 贊助廣告進入假冒 Hyperliquid 網站，損失約 55 萬 USDC。該案使用與 Inferno 體系關聯的專業"盜幣服務"基礎設施。相關服務通過 Telegram 帳號招攬客戶，提供惡意腳本、自動盜轉、跨鏈提款及自動分帳等功能。在本案中，釣魚團夥負責購買廣告、部署仿冒入口並提供最終收款地址；盜幣成功後，後台自動完成資金拆分。相關團夥累計涉案金額約 5,274 萬美元，已關聯多起重大釣魚事件，如 2025 年 9 月 23 日，UXLINK 原攻擊者遭遇二次授權釣魚，約 5.42 億枚 UXLINK；2026 年 4 月 15 日，CoW.fi 官方域名遭劫持，關聯損失為 31.6 萬 USDC；2026 年 7 月 9 日，假 DApp/假空投授權釣魚盜走約 100 萬 USDT。Salus 稱，相關證據與高風險地址已提交有關機構處置。

ChainCatcher 消息，据 PeckShieldAlert 監測，標記為 Bofur Capital 的地址在從 Compound 提款後，遭遇地址投毒攻擊，損失約 200 萬美元。釣魚者發送了一筆 0.0002 USDC 的粉塵交易，偽造相似地址。受害者複製貼上時誤用了錯誤地址，導致資金被盜。被盜資金已兌換成約 200 萬 DAI。

ChainCatcher 消息，据 CoinDesk 報導，美國國稅局（IRS）發布警告稱，一場針對美國加密貨幣持有者的高級郵件釣魚活動正在擴散，攻擊者通過偽造官方稅務信件，誘導用戶掃描惡意二維碼，以竊取加密錢包憑證和私鑰。據悉，攻擊者冒充 IRS 發送紙質信件，利用「稅務合規」「帳戶驗證」等名義製造緊迫感，並在信件中附帶二維碼。一旦用戶掃描，可能被引導至仿冒網站，進而洩露錢包登錄信息、助記詞或私鑰，導致數字資產被盜。IRS 提醒納稅人，官方機構不會通過非官方渠道要求用戶提供加密錢包私鑰、助記詞或進行類似「錢包驗證」操作。加密貨幣持有者應警惕任何要求掃描二維碼、連接錢包或提交敏感信息的可疑郵件和信件。隨著加密資產持有者規模擴大，針對數字錢包的社會工程攻擊持續增加，監管機構和安全機構正加強對相關詐騙活動的防範提醒。

ChainCatcher 消息，据 Cointelegraph 報導，網絡安全公司 Rapid7 披露名為 Operation Asterix 的加密釣魚行動，目標涉及多個國家約 88.5 萬個手機號碼，並將受害者引導至虛假錢包服務網站。已有 5576 個手機號碼與幣安用戶賬戶匹配，並被列入攻擊隊列。攻擊者通過冒充 Ledger、Trezor 和 Exodus 的虛假應用竊取助記詞，同時使用偽造客服郵件及電話聯繫受害者。Rapid7 還發現，德國逾 31.6 萬個手機號碼中有 43066 個與加密交易賬戶匹配，命中率約 13.6%。相關攻擊還包括針對 Kraken 賬戶的批量手機號碼驗證工具，調查發現 AI 工具在釣魚行動中被大量使用。區塊鏈安全公司 Hacken 數據顯示，今年第一季度釣魚攻擊和社會工程詐騙造成 3.06 億美元損失，占加密行業 4.82 億美元總損失的大部分。

ChainCatcher 消息，鏈上偵探 Specter 在 X 平台發文表示，考慮到被盜數據所涵蓋的時間段，這可能意味著數據洩露早在 4 月已經發生，最晚不遲於 5 月初，但相關方直到近期、與 Trezor 宣布自身數據洩露大致同時才選擇保持沉默。部分用戶當時已收到釣魚攻擊並遭受資產損失，但相關方沒有保持透明、提醒用戶或進行風險提示，而是否認了數據洩露。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Trezor 稱其客戶數據因物流服務商 ShipMonk 發生安全漏洞而暴露。在過去 90 天內在美國、英國、瑞典、哥倫比亞、巴西、義大利或葡萄牙收到訂單的客戶可能受到影響。暴露的數據包括全名、收貨地址、電話號碼、電子郵件地址和訂單號。Trezor 表示其系統未遭入侵，設備仍然安全，但提醒受影響客戶防範利用洩露信息實施的精心設計的釣魚攻擊。

ChainCatcher 消息，据 Cryptopolitan 报道，網絡安全公司 Malwarebytes 發現，一名網絡犯罪論壇用戶以 500 美元出售"詐騙工具包"，可搭建假冒特斯拉的 $TSLA 代幣預售網站，幾乎無需技術背景即可操作。詐騙流程為：訪客輸入 X 用戶名後頁面顯示其真實頭像製造"定向邀請"假象，配合倒計時和漲價警告製造緊迫感。受害者若選擇"15% 獎勵鏈接錢包"選項，則會被要求輸入 12 詞恢復短語導致錢包被清空；若選擇直接"投資"，則需向詐騙方控制的地址發送加密資產，隨後在虛假儀表盤看到偽造餘額。該工具包的控制面板允許操作者實時追蹤受害者、收集恢復短語，並可預先檢查錢包餘額決定是否下手。Malwarebytes 於 5 月 16 日發現該工具，近期 IRS 和 Ledger 用戶也曾遭遇類似釣魚攻擊。

ChainCatcher 消息，据 Cyvers Alert 監測，發現一起地址投毒攻擊事件，導致受害者損失約 10 萬美元 USDT。攻擊者約 66 天前向受害者錢包實施地址投毒，通過發送交易製造一個與正常互動地址相似的惡意地址記錄。受害者未核對完整錢包地址，誤將資金轉入攻擊者地址。事件發生後，攻擊者為規避潛在凍結風險，已將盜取的 USDT 兌換為 ETH，目前錢包中持有約 52.8 枚 ETH。Cyvers 提醒用戶，在進行鏈上轉帳時應始終完整核對錢包地址，避免僅依賴交易歷史中的地址記錄。同時，安全機構建議採用基於 AI 的鏈上安全工具，對異常交易行為進行實時檢測，以降低地址投毒、釣魚攻擊等風險。地址投毒攻擊近年來成為加密資產領域常見詐騙方式之一，攻擊者通常利用用戶複製歷史交易地址的習慣，通過偽造相似地址誘導用戶誤轉資產。

ChainCatcher 消息，鏈上偵探 ZachXBT 發帖稱，美國威脅行為人 Tiffany Milanovich 透過冒充硬體錢包和中心化交易所客服，參與至少約 500 萬美元加密資產盜竊。其作案手法包括偽裝為 Bitcoin IRA 郵件支援，在一次攻擊中從受害者 Trezor 錢包中轉走約 120 萬美元 BTC 和 ETH，另一起案件中從 Coinbase 帳戶盜走約 50 萬美元 BTC。Tiffany 負責以"客服來電"身份誘導受害者交出資金訪問權，事後在社交媒體和 Telegram 群炫耀贓款、錄音嘲諷受害者，並與其他威脅行為人合作利用釣魚面板和即時兌換服務洗錢，部分被盜資金至今仍在鏈上休眠。代號 "Tiffany" 的威脅行為者涉嫌參與多起加密資產盜竊，將受害者被盜資金在加密賭場進行賭博。平台 Shuffle 依據 ZachXBT 提交證據已凍結相關帳戶；Tiffany 此前曾分享一份康涅狄格州搜查扣押令，文書日期早於本次部分涉案事件。ZachXBT 已掌握聊天記錄、錄音及鏈上證據，預判該人員或將面臨進一步法律後果。該威脅行為者還和 John Daghita（Lick）案件存在關聯，後者涉嫌從美國政府扣押錢包盜取超 4600 萬美元加密資產。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，一名 Trezor 使用者稱，其點擊了一個冒充 Trezor 的 Google 贊助搜索結果後，畢生積蓄被盜。該釣魚頁面托管在 Google Sites 上，據稱誘導受害者輸入錢包恢復種子。Trezor 表示，正在升級處理該報告，推進移除該網站，並提醒使用者切勿在任何網站或在線表單中輸入錢包備份或助記詞。Google 贊助釣魚廣告仍是加密使用者面臨的持續攻擊途徑。

ChainCatcher 消息，据 GoPlus 監測，Base 鏈上一名用戶因釣魚攻擊損失 50 萬枚 USDC，攻擊者將贓款兌換 WETH 時因腳本未設滑點保護，路由至幾乎無流動性的 Uniswap V4 WETH/USDC 池，導致 50 萬 USDC 僅兌換到 67.9 枚 ETH（價值 12.9 萬美元），其中 37 萬美元被 MEV 機器人賺走。該 MEV 機器人僅支付 0.03 枚 USDC 即搶跑該交易，但為此支付了 3.5 枚 ETH 的 Gas 費。隨後受害者向攻擊者和 MEV 地址發送鏈上消息，稱已定位到攻擊者身份，願支付 10% 賞金請求退款。

ChainCatcher 消息，据官方消息，以太坊基金會旗下"萬億美元安全計劃"（Trillion Dollar Security，1TS）宣布向自由新聞基金會（Freedom of the Press Foundation，FPF）提供專項資助，支持開源工具 WEBCAT 持續開發，以解決以太坊錢包和去中心化應用（DApp）長期存在的前端代碼驗證安全缺口。WEBCAT（Web-based Code Assurance and Transparency）是一款開源工具，旨在幫助瀏覽器驗證網站所加載的代碼是否與開發者公開發布的版本一致。此次資助將推動 WEBCAT 向以太坊錢包和應用場景擴展，使用戶能夠驗證訪問的前端頁面是否被篡改。以太坊基金會表示，當前 HTTPS 雖然能夠驗證用戶連接的網站並加密通信，但無法證明網站實際運行的前端代碼是否就是開發者發布的版本。攻擊者若控制網站前端代碼，可能在用戶不知情的情況下修改交易接收地址，或誘導用戶簽署與頁面顯示內容不一致的交易。以太坊基金會表示，前端攻擊已成為區塊鏈基礎設施的重要安全風險，惡意修改網頁界面可能導致供應鏈攻擊、DNS 劫持後續攻擊以及用戶界面欺騙等問題。WEBCAT 最初由 Freedom of the Press Foundation 開發，用於提升 SecureDrop 等安全通信系統的代碼可信度。此次擴展至以太坊生態後，將與 1TS 計劃中的"清晰簽名（Clear Signing）"等安全措施形成互補：前者幫助錢包確認應用前端未被篡改，後者幫助用戶理解自己正在批准的交易內容。

ChainCatcher 消息，GoPlus Security 發布安全預警稱，一名用戶曾於 183 天前簽署惡意 Permit 交易，導致約 1,625 美元的 USDC 被釣魚攻擊者轉走。由於該用戶此後未撤銷相關授權，攻擊者再次利用該授權轉移約 7.578 萬美元的 USDC。

ChainCatcher 消息，據 Scam Sniffer 監測，一名用戶在以太坊上簽署釣魚代幣授權後，損失約 999,999 枚 USDT。攻擊者首次嘗試提取 100 萬美元（比錢包餘額多 631 美元）失敗，36 秒後重新計算並成功提取了全部剩餘餘額。Scam Sniffer 提醒用戶核對所有簽名請求，切勿匆忙簽署交易。