慢雾：2025年第三季度MistTrack被盗资金分析

自从 SlowMist 推出 MistTrack 被盗资金报告提交功能以来，我们每天都收到大量受害者的求助请求，寻求资金追踪和追回方面的支持。 其中包括涉及损失超过数千万美元的案件。

基于此，我们推出了这个季度系列，以收集我们收到的被盗资金报告的统计数据并进行分析，旨在通过真实（匿名化）的案例剖析常见和不常见的攻击方法。 目标是帮助行业参与者更好地了解和防范安全风险，并保护他们的资产。

根据统计，MistTrack 团队在 2025 年第三季度共收到 317 份被盗资金报告，其中 245 份来自国内，72 份来自海外。 我们为所有这些案例提供了免费的社区级评估服务。 （PS：此数据仅包括通过表格提交的案例，不包括通过电子邮件或其他渠道报告的案例。）

第三季度，MistTrack 团队协助 10 名受害者成功冻结或追回约 373 万美元的被盗资产。

盗窃原因

在 2025 年第三季度观察到的所有恶意策略中，私钥泄露成为资产被盗的首要原因。 接下来，我们将通过几个具有代表性的案例，帮助大家更好地避开陷阱，防止盗窃，保护自己的资产。

1. 假冒硬件钱包

本季度，我们再次遇到多起因受害者购买假冒硬件钱包而导致的盗窃案件。 一名受害者从名为“ConsenShop Studio”的非官方商家处以 618 元人民币的价格购买了一个“imToken Secure Cold Wallet”。 在将 4.35 BTC 转入钱包后不久，这些资产就被盗了。

(https://x.com/evilcos/status/1950008342187036698)

这些诈骗很简单但极其危险——不依赖于高级黑客技术，而是依赖于信息不对称和心理操纵。 诈骗者在受害者收到设备之前预先设置好助记词或 PIN 码，因此一旦资产被转移，就会直接进入攻击者的口袋。

典型的作案手法大致如下：诈骗者首先通过官方渠道购买一台正品设备，然后拆箱并激活它，记录生成的助记词。 接下来，他们更换说明书，插入伪造的助记词卡或刮刮卡，最后用专业工具重新密封包装，使其看起来“全新且未开封”，然后在社交媒体、直播电商或二手市场等非官方渠道以低价出售。 在某些情况下，他们只是将预先打印的助记词卡放入盒子中，引诱用户使用该助记词恢复他们的钱包；其他人则声称刮开卡片会显示唯一的 PIN 码或激活码，甚至断言“硬件钱包不需要助记词”。 无论采用何种方法，结果都是一样的：用户认为他们控制着钱包，但实际上私钥已经在诈骗者的手中，任何转移的资金本质上都是直接赠送给诈骗者。

(https://x.com/0xdizai/status/1949906538497528087)

以下是一些实用的建议，可帮助你保持安全：

• 仅通过官方渠道或授权经销商购买硬件钱包，切勿被非官方平台或二手市场上的廉价商品所诱惑。
• 收到设备时，请在离线环境下现场拆箱，并在设备上自行生成助记词。 切勿使用包装盒中包含的任何预先存在的助记词或打印卡。
• 如果你在包装盒中发现预先写好的助记词、带有暴露代码的刮刮卡或任何可疑的印刷材料，请立即停止使用该设备并联系制造商。 合法的制造商绝不会将预先设置的敏感信息包含在产品中。
• 购买后，务必先进行小额测试交易——将少量资产转移到新钱包，并在确认其安全性后才转移大额资金。
• 如果制造商提供验证工具或二维码，请务必使用官方网站或官方工具检查包装和固件的完整性，并验证固件版本以及设备指纹或序列号。
• 如果你怀疑自己被诈骗，请勿将任何资金转移到钱包中。 保留你的购买记录和包装证据，立即联系制造商的客户服务，并考虑寻求区块链追踪服务或安全公司的帮助。

硬件钱包的安全性最终取决于谁生成和持有助记词。 只有你在设备上亲自生成助记词并妥善保管，你才能真正控制自己的资产。

2. EIP-7702 钓鱼

在第三季度，我们还协助了几位用户的资金在一次 EIP-7702 利用交易中被耗尽。

(https://x.com/FUGUIHK/status/1962077664287813984)

经过分析，我们得出结论，这是一个典型的 EIP-7702 钓鱼利用案例。 过程大致如下：受害者的帐户遭受私钥泄露，并且钓鱼团伙获得了对该帐户私钥的控制权。 然后，他们在与该私钥对应的钱包地址上设置了 EIP-7702 利用机制，将该地址委派给恶意合约，以准备后续的自动化和批量操作。 当其他帐户将资金转移到此受感染帐户时，或者当受害者试图通过提供 gas 来提取剩余的 token 时，资产将“自动”重定向到钓鱼接收者地址。

(https://etherscan.io/tx/0x1d25340ea83f11afa7c70e3aa8672736a197bedfd23bf55ec2c6ed3cf44b02c3)

许多人仍然不太了解 EIP-7702 的恶意利用。 根据 Wintermute 5 月 31 日的数据，97% 的 EIP-7702 授权指向恶意委托合约，这些合约旨在自动耗尽来自私钥被盗的 EOA 的资金。

(https://dune.com/wintermute_research/eip7702)

此类钓鱼攻击如此有效，其根本原因在于 EIP-7702 引入的委托机制——EOA 地址可以被授权给一个合约，其行为然后由该合约的逻辑决定。 无论用户是直接授权恶意合约，还是被钓鱼欺骗以授予对攻击者以后可以利用的合法合约的授权，还是遭受私钥泄露导致授权给恶意合约，所有情况都存在资金损失的风险。 因此，用户必须继续优先保护私钥。 此外，在签名之前，他们应该努力确保“所见即所签”，并仔细考虑“谁被授权以及他们可以执行什么操作”。 有关减轻 EIP-7702 风险的更多指导，请参阅我们之前发布的《EIP-7702 深度讨论与最佳实践》。

3. 恶意 GitHub 开源项目

在第三季度，我们收到了许多用户的请求，寻求帮助分析其钱包资产被盗的原因。 在审查这些案例后，我们发现了一个共同的模式：所有受害者都使用了托管在 GitHub 上的恶意开源项目，这些项目原来是资产盗窃的真正罪魁祸首。 攻击者将恶意代码隐藏在 GitHub 项目中，这些项目看起来“受欢迎且值得信赖”，诱使用户下载并运行它们，从而窃取私钥或其他敏感数据，最终耗尽他们的资产。

第一个案例 涉及一个用户，他在运行 zldp2002/solana-pumpfun-bot 存储库后，整个加密货币持有量都被耗尽了。 我们的分析发现，该存储库的 Stars 和 Forks 已经被攻击者人为地夸大了以吸引注意力，但是存储库中的所有提交都集中在最近几周，并且没有长期维护的迹象——典型的“人气提升”行为。 更重要的是，package-lock.json 指向一个由攻击者控制的 TGZ 链接； 下载的恶意包 crypto-layout-utils-1.3.1.tgz 被 jsjiami 大量混淆，并且在反混淆后，我们发现它扫描受害者的计算机以查找文件，并将任何发现的私钥类型文件上传到攻击者控制的域 (githubshadow.xyz)。 攻击者还使用多个关联的 GitHub 帐户来 fork 和分发该存储库，并夸大 Forks/Stars，从而增强了信任度和传播。 在某些 fork 中，我们还发现了另一个可疑的包 bs58-encrypt-utils-1.0.3，该包是在 2025 年 6 月 12 日创建的——我们认为攻击者那时已经开始分发恶意 NPM 包和恶意 Node.js 项目。 在 bs58-encrypt-utils 从 NPM 上删除后，攻击者转而通过替换 NPM 包下载链接进行分发。

第二个案例 涉及一个 Solana 开源机器人 audiofilter/pumpfun-pumpswap-sniper-copy-trading-bot。 该项目在 /src/common/config.rs 配置文件中隐藏了可疑代码，主要集中在 create_coingecko_proxy() 函数中。 该函数调用 import_wallet()，然后调用 import_env_var() 从 .env 文件中读取环境变量配置——其中存储了 PRIVATE_KEY 等敏感数据。 请注意，恶意功能隐藏在看起来与“价格代理”或初始化相关的代码中； 它被呈现为合法功能，并且仅在启动时触发，使其具有高度隐蔽性。

第三个案例 是社交工程和技术利用的经典结合：在与来自乌克兰的假 Web3 团队进行的第一轮面试中，一位社区成员被要求在本地克隆一个 GitHub 存储库 (https://github.com/EvaCodes-Community/UltraX)。 攻击者在该存储库中引入了一个表面上无害但可疑的 npm 包 rtk-logger@1.11.5。 进一步的分析表明，该包包含复杂的加密/解密和动态执行逻辑：它从主流浏览器（Chrome，Brave，Opera，Firefox）、加密货币钱包文件和其他敏感用户数据中收集扩展数据，将任何发现上传到攻击者控制的服务器，可能下载并执行第二阶段有效负载（档案、Python 脚本等），甚至可以建立套接字连接以接收远程命令。 换句话说，如果面试者在包含真实敏感数据的机器上运行面试代码，他们可能会在不知不觉中完全受到攻击。 这些攻击通常将社交工程与技术方法相结合，导致用户在看似正常的操作中陷入陷阱。

总的来说，这些攻击在技术上并不复杂，但具有极强的欺骗性：它们经常利用“开源信任”、“人气效应”或“面试要求”来降低怀疑，并通过依赖项中毒、混淆的恶意包、隐藏的通信接口以及伪装成普通模块等方法来实现数据盗窃。

要识别此类欺诈性开源项目，需要注意以下几个直观的危险信号：

• 存储库的 Star/Fork 计数与其提交历史不匹配（例如，在短时间内人为地夸大）。
• 在 package-lock.json 中出现非官方 tarball URL 或 GitHub 发布链接。
• 引用已从 NPM 中删除或从未存在于官方注册表中的包。
• 代码包含大量混淆的字符、动态 eval、硬编码的加密密钥/IV 或读取敏感路径（例如 .env、浏览器扩展或密钥链）并通过网络报告它们的逻辑。
• 在面试或招聘过程中被迫在本地运行未经审查的存储库或脚本。

“方便执行”的 README，“复制粘贴即可运行”的安装命令或“面试要求”都可以用作攻击入口点。 防御建议很简单：不要假设“代码看起来没问题”。 相反，应养成一种常规习惯，即不要在包含敏感数据的环境中运行未经验证的代码。 将依赖项审计和隔离执行规范化为工作流程的一部分——这是最大限度地降低此类风险的最有效方法。

4. 社交工程攻击

社交工程攻击在本季度仍然很普遍——攻击者使用冒充、捏造可信的背景、紧迫感或从“共同熟人”那里获得的信任来逐步将受害者引入陷阱。

一些诈骗以看似正常的直接消息开始。 例如，一位用户在 Twitter 上分享了他第一次遭遇社交工程攻击的经历。 事件的起因是他收到了一条看似可信的招聘 DM，该 DM 来自一个拥有许多共同关注者的帐户，声称代表香港许可的数字银行 WeLab。 然后，攻击者提供了一个兼职研究/内容创建职位，并将受害者添加到一个 Telegram 群组。 在该群组中，成员分享了飞机起飞的视频，提供了看似合法的 Linktree 链接，甚至包括了拥有共同关注者的人——使设置看起来非常可信。 但是，职位描述很模糊，在 LinkedIn 上找不到关键人物，并且群组成员的个人资料相互矛盾，所有这些都是危险信号。 最终，当攻击者建议使用小众的会议工具 (KakaoVoice) 而不是 Zoom 或 Google Meet 等常见平台时，受害者变得可疑并成功退出。 在受害者提出他们的担忧后，整个群组陷入沉默，突然结束了诈骗。 事后审查显示，多个群组成员存在身份盗窃问题、个人资料矛盾或过去的欺诈记录。

(https://x.com/NEtripleO/status/1947646508465328155)

更危险的是将社交工程与技术有效负载相结合的复杂诈骗。 在一个涉及超过 100 万美元的案例中，我们协助 AnChain.AI 处理，攻击者在 LinkedIn 上冒充一家跨国公司的人力资源代表，构建完整的简历、工作经历和品牌代言，并在连续三个星期内进行了多轮面试，以获得受害者的信任。 在最后阶段，他们要求受害者安装所谓的“摄像头驱动程序”并运行兼容性测试。 实际上，这是一个 Windows 恶意软件安装程序：它可以窃取 wallet.dat 文件、MetaMask 扩展缓存和私钥，并植入剪贴板劫持逻辑（默默地将复制的地址替换为攻击者的地址）。

(https://x.com/AnChainAI/status/1965400820901429549)

社交工程通常发生在“匆忙的情况下”。 最近，一名社区用户成为了伪装成商务会议的攻击的受害者，导致损失约 1300 万美元。 攻击者通过 Telegram 发送了一个假的 Zoom 会议链接； 当时，由于与另一个电话会议的日程安排冲突，受害者匆忙加入了会议，并没有仔细验证浏览器域是否属于 Zoom 官方网站。 与此同时，攻击者冒充为商务会议主持人，在会议期间不断向受害者施加压力，阻止他们辨别网站上的升级提示是否恶意。 在获得对受害者计算机的控制权后，攻击者利用 Chrome 开发者模式的功能来操纵受害者浏览器扩展中的钱包代码，从而劫持并替换受害者的原始交易数据。 受害者使用的硬件钱包缺乏强大的“所见即所签”验证机制，最终导致受害者签署了被篡改的交易。 幸运的是，快速的多方响应阻止了更大的损失，但是该事件再次强调，人们在紧急或受压的情况下最容易犯错。 有关计算机是如何被入侵的详细信息，请参阅 Web3 钓鱼培训平台 Unphishable (#NO.0x0036) 在 https://unphishable.io/ 中提供的完整练习挑战。

(https://x.com/evilcos/status/1947852713309704687)

此外，社交工程并不总是通过假的会议链接发生。 正如在以前的案例中提到的那样，攻击者可能会将恶意存储库、篡改的 NPM 包或“面试问题库”嵌入到面试过程中，诱使候选人在本地运行恶意代码。

(https://x.com/sanqing_rx/status/1963448128134418585)

总而言之，社交工程攻击的本质在于“让受害者自愿合作”。 无论是在招聘、商务合作还是面试场景中，攻击者都会通过伪造身份、提供捏造的细节和制造时间压力来逐步建立信任并夺取控制权。 与传统的漏洞利用相比，这些攻击更隐蔽和高效。 防御的关键不在于技术壁垒，而在于培养风险意识：保持怀疑态度、验证身份、独立确认沟通渠道，并在安装软件、提供私钥或加入不熟悉的会议时保持高度警惕。

5. 钓鱼网站

在第三季度，我们收到了多起因钓鱼网站导致的资产损失报告——它们通常看起来几乎与官方页面相同，但其唯一目的是诱骗你进行危险的签名或授权，从而将你的资产交给攻击者。

例如，一位用户报告说，攻击者在 Google 上投放了广告，将流量导向一个假页面 misttrack[.]tools（与 misttrack.io 官方网站非常相似），该页面提示用户签署授权。 这种“付费广告+欺骗性域名”的组合尤其危险，因为这些广告会产生很高的流量，从而增加了受害者被盯上的可能性。

(https://x.com/im23pds/status/1949280634737950780)

另一位损失了 123 万美元的用户联系我们，报告说他们在 Google 上搜索 Aave 时，点击了排名最高的链接，并被定向到钓鱼网站 app.avaea[.]eu[.]com/dashboard，导致他们的资金被盗。 我们的分析显示，在互动过程中，用户被诱骗将其 LP NFT 授权给恶意合约，最终导致损失约 123 万美元。 这里的关键因素是，钓鱼团伙利用了 Uniswap 的 Multicall 机制——该交易表面上看起来是合法的，但实际上包含了对钓鱼合约地址的 setApprovalForAll 授权，从而将受害者的 LP NFT 的控制权授予攻击者。 然后，攻击者使用 batchTransferERC721 以及对 Collect 和 Multicall 的调用，从受害者那里耗尽了本金和应计奖励。

(https://x.com/evilcos/status/1947290813874258343)

另一种更系统的攻击方法涉及劫持邀请链接或文档。 几个项目（例如 KiloEx, Verisense Network 等）的 Discord 邀请链接已过期，随后被诈骗者接管。 这些过期的链接通常出现在项目文档，CoinGecko/CoinMarketCap 页面或历史推文中——所有这些都是用户可信的入口点。 一旦用户通过被劫持的邀请加入“假群组”或点击其中的链接，他们很容易被引导进行签名授权，从而导致资产损失。

(https://x.com/realScamSniffer/status/1970426715542581713)

在第三季度，我们还发现了一种钓鱼攻击——通常被称为 Clickfix（假 CAPTCHA + 剪贴板劫持）——值得高度警惕。 恶意页面模仿常见的“我是人类/验证”互动，诱使用户执行看似无害的点击或击键； 一旦用户确认，该页面会悄悄地将恶意命令放到剪贴板上，并提示用户粘贴并执行它。 这会导致在受害者的设备上下载和执行恶意软件，最终窃取钱包信息或敏感数据。 这种攻击的危险在于，该接口与合法流程非常相似，并且用户只需简单地“点击”一下就可以触发一系列灾难性后果； 此外，该攻击通常结合了社交工程策略，从而增加了误判的可能性。

总的来说，钓鱼攻击的核心在于“模糊真假之间的界限”，从而在看似正常的流程中伪装危险的操作。 攻击者通常首先创建一个值得信赖的外观（模仿官方网站、投放广告、发送会议链接），然后使用心理操纵（紧急性、习惯性点击）来降低用户的警惕性，最终引导他们执行高风险行为（恶意授权、执行代码）。 对于用户来说，最简单有效的方法是：不要通过搜索广告或社交媒体历史记录中的链接访问关键服务； 建立官方书签/收藏夹，并养成检查签名内容的习惯； 理想情况下，安装 ScamSniffer 等反诈骗工具来协助检测。

结语

回顾第三季度，很明显攻击方法在不断演变：从传统的假冒硬件钱包，到伪装成开源项目的恶意软件包，再到招聘/面试诈骗和钓鱼网站，攻击者越来越善于利用人们的日常习惯和信任的场景。 它们的共同特征通常是表面上看起来正常——甚至合理——但是在下面隐藏着高风险的操作； 一旦用户放松警惕，损失通常是无法挽回的。

这些案例提醒我们，Web3 安全风险不仅来自复杂的技术漏洞； 很多时候，它们来自人为的疏忽和被利用的信任。 提高安全意识、保持基本的怀疑态度并验证行动是抵御不断变化的攻击场景的第一道防线。 我们建议反复阅读《区块链黑暗森林自救手册》，它不仅教授生存技能，还传授避免成为“黑暗森林”中猎物的基本知识。 同时，我们建议在 Web3 钓鱼模拟平台 Unphishable 上进行练习，以获得实践经验并提高你判断“所见即所签”的能力。

如果你成为加密货币盗窃的受害者，我们会提供免费的社区帮助来评估你的案件。 只需根据事件类型（被盗资金，诈骗或勒索）提交相应的表格。 你提供的黑客地址也将与 SlowMist InMist Lab 的威胁情报网络共享，以采取进一步的风险控制措施。

• 在此处提交中文表格：https://aml.slowmist.com/cn/recovery-funds.html

• 在此处提交英文表格：https://aml.slowmist.com/recovery-funds.html

SlowMist 多年来一直深入参与反洗钱（AML）领域，开发了一套涵盖合规性、调查和审计的全面而高效的解决方案。 我们致力于建立健康的加密货币生态系统，并为 Web3 行业、金融机构、监管机构和合规部门提供专业的服务。 我们的 MistTrack 平台提供合规调查服务，包括钱包地址分析、资金监控和追踪。 迄今为止，MistTrack 已积累了超过 4 亿个地址标签、1,000 多个地址实体、500,000 多个威胁情报数据点和 9,000 万多个风险地址，从而为反洗钱提供了强大的保护，并确保了数字资产的安全性。

关于 SlowMist

SlowMist 是一家区块链安全公司，成立于 2018 年 1 月。该公司由一个拥有超过十年网络安全经验的团队创立，旨在成为全球力量。 我们的目标是使区块链生态系统对每个人都尽可能安全。 我们现在是一家著名的国际区块链安全公司，曾参与过各种知名项目，例如 HashKey Exchange、OSL、MEEX、BGE、BTCBOX、Bitget、BHEX.SG、OKX、Binance、HTX、Amber Group、Crypto.com 等。

SlowMist 提供各种服务，包括但不限于安全审计、威胁信息、防御部署、安全顾问和其他与安全相关的服务。 我们还提供 AML（反洗钱）软件、MistEye（安全监控）、SlowMist Hacked（加密黑客档案）、FireWall.x（智能合约防火墙）和其他 SaaS 产品。 我们与国内外公司建立了合作伙伴关系，例如 Akamai、BitDefender、RC²、天际伙伴、IPIP 等。 国际组织和政府机构（包括联合国安全理事会和联合国毒品和犯罪问题办公室）都引用了我们在加密货币犯罪调查方面的大量工作。

通过提供针对个人项目定制的全面安全解决方案，我们可以识别风险并防止它们发生。 我们的团队能够发现并发布几个高风险的区块链安全漏洞。 通过这样做，我们可以传播意识并提高区块链生态系统中的安全标准。

• 原文链接： slowmist.medium.com/slow...
• 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～