在神祕攻擊中，數百個 EVM 錢包被清空

一場自動化的漏洞利用攻擊針對與以太坊虛擬機（EVM）相容的錢包，從數百個地址各自提走不到 2,000 美元的資金，根據鏈上分析師 ZachXBT 的說法；此次攻擊規模廣泛，跨越多個網路，顯示部署了精密腳本，搜尋未鎖定的錢包與已授權的合約許可，從而快速提取價值；調查顯示，此次入侵可能與 Trust Wallet 瀏覽器擴充套件在十二月遭駭事件相關，此次攻擊向量涉及供應鏈事件，透過程式碼注入暴露私鑰；安全研究人員已將近期的提款與一場偽裝成官方 MetaMask 通訊的釣魚活動相連結，其目的是誘使使用者授予惡意合約權限；資安專家 Vladimir S. 指出，攻擊者可能利用內部知識或洩露的憑證，繞過標準安全檢查；一旦使用者接受授權提示，自動化機器程式便執行交易，將代幣轉移至攻擊者控制的地址；此類事件凸顯了在智慧合約授權未經常審核或使用後未撤銷的情況下，自我保管錢包所面臨的持久威脅；為降低風險，專家建議錢包持有人定期審核已授權的智慧合約清單，並對高價值資金使用硬體錢包或多簽解決方案；像 Revoke.cash 與 Etherscan 的授權檢查工具等平台，提供查看並撤銷不需要的授權的功能；同時，Trust Wallet 團隊承諾對受害者進行賠償，同時實施程式碼加固與供應鏈安全協議，以防止未來發生類似事件；此類漏洞說明，儘管去中心化與加密技術有所進展，但人為因素與採購實務仍然是關鍵的脆弱點；日益演變的威脅格局可能促使更廣泛採用最佳實務，包括鏈上分析以偵測異常、以及整合自動警示系統以偵測未經授權的交易；安全社群正努力縮短壞人作亂的窗口期。