自动化漏洞利用攻击针对与以太坊虚拟机（EVM）兼容的钱包，从数百个地址中每个地址窃取不到2000美元。据链上分析师 ZachXBT 表示。此次攻击范围广泛，跨越多个网络，表明部署了复杂脚本以搜索未锁定的钱包和授权的合约批准，从而实现快速价值提取。
调查显示，此次入侵可能与 Trust Wallet 浏览器扩展在12月发生的安全事件相关，该攻击向量涉及供应链事件，通过代码注入暴露私钥。安全研究人员将最近的资金外流与伪装成官方 MetaMask 通讯的钓鱼邮件活动联系起来，旨在诱使用户授予恶意合约权限。
网络安全专家 Vladimir S. 指出，攻击者很可能利用内部知识或泄露的凭据来绕过标准安全检查。一旦用户接受授权提示，自动化机器人就执行交易，将代币转移到攻击地址。此类事件凸显了在智能合约授权未经常审计或使用后未撤销时，自托管钱包所面临的持续威胁。
作为缓解措施，专家建议钱包持有者定期审计其已授权的智能合约列表，并对高价值资金使用硬件设备或多签解决方案。Revoke.cash 和 Etherscan 的授权检查工具等平台提供查看并撤销不需要的权限的工具。与此同时，Trust Wallet 团队承诺向受害者赔偿，并实施代码加固措施与供应链安全协议，以防止未来事件。
该漏洞说明，尽管去中心化和加密技术取得了进展，人为因素和采购实践仍然是关键的脆弱点。日益演变的威胁格局可能促使更广泛采用最佳实践，包括链上分析用于异常检测，以及整合自动警报系统以监控未授权交易，安全社区在努力缩短不法分子可乘之机的窗口期。
评论 (0)