BlockThreat 2025年第25周周报
- blockthreat
- 发布于 6小时前
- 阅读 55
本周重点关注了加密货币领域中的安全事件，包括伊朗交易所Nobitex被亲以色列组织攻击，CoinMarketCap和Cointelegraph遭受网络钓鱼攻击，以及多个DeFi项目遭受的攻击和漏洞。文章还讨论了社区内部的争端和信任问题，以及各种恶意软件和诈骗活动。
加密货币行业可能刚刚经历了其“震网”时刻。6月18日，一个亲以色列的威胁行为者入侵了伊朗最大的加密货币交易所 Nobitex 的一个热钱包。这场攻击发生在以色列和伊朗之间冲突不断升级的背景下，具有明显的政治色彩，被盗的 9000 万美元资产被发送到地址如 1FuckiRGCTerroristsNoBiTEXXXaAovLX 的钱包中。正如“震网”利用代码破坏伊朗的核野心一样，这次入侵标志着一个转折点：加密基础设施不再仅仅是金融管道，而是战略性国家资产和地缘政治冲突中的合法目标。随着区块链系统进一步卷入全球权力结构，一种新的范式正在出现，即代码就是力量。哪里有力量，哪里就会有对手。Nobitex 可能是新领域中的第一个著名受害者，在这个新领域中，交易所、验证者，甚至整个链都将成为不断演变的非对称网络战中的代理战场。像 Coinbase、Kraken、Gemini 等西方平台如果认为自己可以幸免，那就太天真了。
本周还凸显了网络钓鱼和针对用户的攻击中一个令人不安的趋势。它始于 CoinMarketCap 遭到入侵，其中通过第三方依赖项注入了一个带有 drainer 的恶意 JavaScript payload。不久之后，Cointelegraph 也受到了入侵，向毫无戒心的用户显示了一个加密 drainer 弹出窗口。上周的版本重点关注了供应链入侵日益增长的威胁，令人沮丧的是，看到这种已经广为人知的攻击媒介再次被利用，直接针对最终用户。从用户那里窃取尤其具有破坏性，因为它会削弱我们生态系统的信任基础。没有信任，这个行业就无法增长。
说到用户信任，请务必查看本周赞助商 Coinspect 在提升钱包安全性方面所做的出色工作。
Coinspect 的钱包安全排名是对领先的加密货币钱包的客观、透明和定期更新的评估。它侧重于关键的安全功能，如反网络钓鱼防御、交易清晰度和防止盲签名的保护，帮助用户选择优先考虑其安全的钱包。
链接: https://www.coinspect.com/wallets/
blocksec 的每个人都会犯错。这是在一个快速发展、对抗性且仍在成熟的生态系统中构建的一部分。但最近，我注意到一个令人不安的趋势：社区的部分成员没有从彼此的失败中吸取教训，而是开始互相攻击。最近一场争吵爆发了，起因是一家安全公司对最近遭到攻击的协议的私有审计质量提出了合理的担忧。一场本可以是建设性的对话迅速演变成公开的指责，攻击者兴高采烈地通过链上嘲讽来煽风点火。随后又发生了两起冲突，其中一起涉及一家安全公司的私钥泄露，另一起涉及一名恶意内部人员利用了私下披露的漏洞。所有这些事件都引发了更多的指责、不信任和嘲讽。
这些事件提醒我们，没有人能免于犯错。但我们如何回应比谁搞砸了更重要。我们仍然是一个小型、年轻的行业，内讧只会削弱我们，同时让攻击者得偿所愿。真正的罪魁祸首不是有时本应更了解情况的审计公司，而是那些利用、窃取和摧毁信任的人。
我们不可避免地会继续犯错。但如果我们承认自己的错误，在困难时互相支持，并专注于保护生态系统的共同使命，我们就会变得更强大。
在我们深入探讨本周如潮水般的网络钓鱼攻击和 DeFi 黑客攻击之前，先简单介绍一下我们的赞助商——Oak Security，它是生态系统中一些最独特协议的值得信赖的审计机构，并且是本新闻通讯的长期支持者。
自 2017 年以来，Oak Security 一直在 Web3 安全领域运营，在项目的整个生命周期内提供安全服务。这包括审计、渗透测试、运营安全培训和咨询服务。我们的签名式盲审流程强调冗余：每一行代码都由多名具有多学科背景的审计师并行审查。
链接: https://www.oaksecurity.io/
让我们深入了解一下新闻！
新闻
-
不，160 亿条凭据泄露不是新的数据泄露. 大规模泄露 可能是多个密码转储的汇编。
-
“Sherlock 错过了它”：Cork 黑客在链上消息中抨击审计公司。关于 Cork 协议漏洞的更多 闹剧，攻击者 加入 了针对审计公司的 口水战。
-
Fuzzland 安全事件披露和社区公告。揭示了 Fuzzland 的一名恶意内部人员执行了 2024 年的 200 万美元 UniBTC 黑客攻击。
-
Asymmetry 团队 关闭了他们的 tBTC 预言机 以解决一个漏洞。
犯罪
-
美国利用民事资产没收追回超过 680,000 美元的被盗加密货币. 被盗资金来自 2023 年的 Safemoon 漏洞，其中 890 万美元被盗。提醒一下，MEV 机器人运营商抢先执行了漏洞利用交易，并提出以“赏金”的形式归还被盗资金。这 68 万美元约占明确称为勒索赎金的一半。
-
Monero：为什么它可能不适合作为洗钱工具，作者：Nefture Security。
网络钓鱼
-
Feeling Blue(Noroff)：深入了解朝鲜 Web3 的复杂入侵，作者：Huntress。
-
被劫持用于攻击的 Discord 邀请漏洞，作者：CheckPoint Research
-
Web3 安全入门指南：常见的硬件钱包陷阱，作者：Liz (SlowMist)。
-
最新的物理账本网络钓鱼活动报告，作者：PixOnChain。
-
诱骗 Neo Tokyo 黑客归还被盗 NFT，作者：Firestorm。这是恢复中使用的 后门合约。干得漂亮！
诈骗
-
无人谈论的 5000 万美元加密货币诈骗，作者：darwizznft。
-
加密货币赌场 Luckio 因可疑代码和 50 万美元的网红交易而受到抨击。多家指控称 赌场的 Proov 协议不公平。
恶意软件
-
著名的千里马部署了 Python 版本的 GolangGhost RAT，作者：Vanja Svajcer (Cisco Talos)。在针对加密货币行业的虚假工作面试中使用的新恶意软件变种。
-
与朝鲜 IT 工作者相关的帐户接管，作者：blackbigswan (Ketman)。深入了解 Keeper-Wallet (Waves Wallet) 的接管。
-
Prometei 僵尸网络死灰复燃，作者：Unit 42 Palo Alto。又一次加密劫持活动。
媒体
-
bountyhunt3rz - Epsiode 17 - lonelysloth。
-
Offbeat - 0xProfiles - Riley Holterhus.
研究
-
历史 web3 竞赛支出分析，作者：wellbyt3。
-
高级 Foundry Cheatcodes 系列 第 1 部分 第 2 部分 第 3 部分 第 4 部分，作者：Three Sigma。
-
Movement Full Node 中的永久链分裂：需要硬分叉的 6,710 美元严重漏洞的剖析，作者：Yunus Emre Sarıtoprak。
-
zk-Proofs 和现实世界漏洞中的子群陷阱，作者：Hexens。
-
什么是 BLS 签名以及它们如何工作？，作者：Sylvain Pelissier (Zellic)。
-
揭秘基于配对的密码学：深入了解椭圆曲线，作者：Fuzzing Labs。
-
Go 解析器中意想不到的安全隐患，作者：Vasco Franco (Trail of Bits)。
工具
-
Quimera，作者：Gustavo Grieco。用于使用 LLM 和 Foundry 驱动数据的以太坊智能合约漏洞利用生成
-
Solodit MCP 服务器，作者：Lyuboslav Lyubenov。用于搜索和检索 Solodit 漏洞报告的模型上下文协议 (MCP) 服务器。
-
以太坊代理合约分析和漏洞利用管道的 PoC，作者：Thomas EDET。检测 EIP1967 透明代理初始化中的常见问题。
-
- *
- 原文链接： newsletter.blockthreat.i...
- 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～
