神秘攻擊盜取百個EVM錢包資金

zero comment

crypto

神秘攻擊導致「數百」EVM錢包資金被盜：ZachXBT揭露事件真相

近日，一名鏈上調查員ZachXBT披露，有黑客對以太坊虛擬機（Ethereum Virtual Machine，簡稱EVM）兼容的多條區塊鏈網絡發動攻擊，從「數百」個加密貨幣錢包中竊取資金。雖然每個錢包損失的金額不大，均低於2,000美元，但這次攻擊覆蓋範圍廣泛，顯示並非單一區塊鏈的孤立事件。

據悉，攻擊手法可能源於一封偽裝成MetaMask官方的釣魚郵件，誘使用戶授權惡意智能合約。網絡安全研究員Vladimir S.指出，這封偽郵件是此次攻擊的主要入口之一，並且有其他匿名用戶提供的線索支持這一說法。安全服務提供商Hackless形容這次事件是「自動化、廣泛的網絡利用」，並提醒用戶盡快撤銷智能合約授權，密切監控錢包狀況。

Vladimir S.更指出，這次大規模錢包資金被盜事件，或與去年12月聖誕節期間發生的Trust Wallet被黑事件有關聯。當時Trust Wallet遭遇供應鏈攻擊，導致約2,596個錢包損失總額達700萬美元。該事件起因於11月名為「Sha1-Hulud」的供應鏈攻擊，攻擊者入侵了npm軟件包，這些包被多個區塊鏈項目用於開發應用。Trust Wallet的GitHub代碼庫中開發者的「秘密」被洩露，令黑客得以修改並上傳帶有惡意代碼的瀏覽器擴展至Chrome網上應用店，偽裝成官方版本。

業內專家Anndy Lian及幣安創辦人兼前CEO趙長鵬（CZ）均認為，這類攻擊極可能涉及內部人員，因為攻擊者對Trust Wallet源代碼有深度了解。此次攻擊僅針對Trust Wallet的Chrome瀏覽器擴展，手機應用未受影響。幣安已承諾賠償用戶損失。

此事件再次提醒加密貨幣持有者，必須提高網絡安全意識，定期檢查和撤銷智能合約授權，謹防釣魚郵件及供應鏈攻擊，保護自己的資產安全。

—

評論與啟示

這次「數百錢包被盜」事件，雖然單筆損失不大，但其規模和手法卻令人警醒。首先，攻擊者利用偽裝成知名錢包MetaMask的釣魚郵件，成功欺騙大量用戶，反映出用戶對網絡安全防範意識仍有不足。其次，這次事件與去年底的Trust Wallet供應鏈攻擊可能存在關聯，揭示出區塊鏈生態系統中供應鏈安全的脆弱性。供應鏈攻擊一旦成功，影響範圍極廣，且難以被用戶察覺，這是加密行業亟需重視的安全漏洞。

此外，內部人員涉及的可能性更是令人擔憂，這說明即使是被視為安全的知名錢包和交易所，也不能忽視內部安全管理和代碼審查的重要性。幣安和Trust Wallet的快速回應及賠償措施值得肯定，但更關鍵的是如何從根本上防止類似事件重演。

對香港及全球加密貨幣用戶而言，這些事件提醒大家切勿掉以輕心，必須加強自身的安全防護措施，包括謹慎點擊郵件鏈接、定期更新密碼和撤銷不必要的智能合約授權，以及選擇信譽良好的錢包和交易平台。同時，行業內也應加強合作，推動更嚴格的安全標準和監管，保護用戶資產免受日益複雜的網絡攻擊威脅。

以上文章由GPT 所翻譯及撰寫。圖片由Gemini 根據內容自動生成。