Cybersecurity

加密安全研究人员发现并成功阻止了针对数千份未初始化ERC-1967代理合约的重大漏洞攻击，避免了超1000万美元资产损失。攻击者通过抢先部署恶意合约植入后门，可随时接管漏洞合约。Venn Network联合多团队展开36小时紧急救援，转移风险资金。Berachain等协议已暂停受影响合约，研究人员怀疑朝鲜Lazarus组织可能参与此次全EVM链复杂攻击，但尚无确凿证据。用户资金未受实际损失。

GMX协议因V1流动性池遭攻击暂停交易，黑客利用设计缺陷操纵GLP价格窃取4000万美元。攻击仅影响V1版本及GLP池，团队已暂停Arbitrum和Avalanche的GLP铸造赎回功能。区块链安全公司SlowMist指出漏洞源于资产计算缺陷。2025年上半年加密货币黑客损失达25亿美元，包括Bybit和伊朗Nobitex交易所重大事件，凸显行业安全挑战。

区块链安全公司SlowMist曝光一个伪装成Solana交易机器人的恶意GitHub存储库(solana-pumpfun-bot)，该仓库通过伪造高星标和分叉数量诱骗用户，内含恶意NPM包crypto-layout-utils窃取钱包凭证。调查发现攻击者控制多个GitHub账户批量分发恶意软件变种，其中bs58-encrypt-utils-1.0.3包自6月12日起活跃。这是近期针对加密用户的软件供应链攻击新案例。

网络安全公司Koi Security报告披露，40余款伪装成Coinbase、MetaMask等主流钱包的Firefox恶意扩展程序正实施加密货币盗窃。这些扩展通过虚假评分、克隆官方界面等手段诱导用户，窃取凭据并上传至攻击者服务器。调查显示该行动自四月持续至今，代码中的俄语痕迹疑似指向俄语黑客组织。专家建议仅安装可信来源扩展并启用白名单防护机制。

美国司法部调查DigitalMint前员工涉嫌在勒索谈判中抽取赎金分成，该公司强调非调查对象并配合执法。数据显示2024年勒索支付率降至25%，较2019年85%显著下降，反映企业防护增强与监管趋严。同时美国制裁俄罗斯Aeza Group，2024年勒索赎金总额同比下降35%至8.15亿美元。专家指出部分谈判公司因佣金机制存在利益冲突。

主要观点 蜜罐骗局通过虚假流动性、价格波动和炒作吸引投资者，但合约被预先设定，无法退出，资金被永久锁定。 新型蜜罐包括经过篡改的冷钱包，通过TikTok等平台出售，钱包预装私钥，骗子可立即盗走资金。 高卖出税蜜罐、“蜜罐即服务”工具包等变体，使骗子更容易锁定甚至是有经验的用户。 在投入资金前先进行测试卖出，扫描智能合约，避免突然的炒作，并始终从官方渠道购买钱包，以防被骗。

区块链安全分析师ZachXBT披露，黑客近期伪装成IT员工渗透Web3项目，通过操纵NFT铸造机制盗取约100万美元加密货币，导致Favrr、Replicandy等项目地板价归零。赃款通过交易所和多层钱包转移，部分尚未动用。同期朝鲜黑客组织”Ruby Sleet”瞄准IT企业，Coinbase也因外包人员受贿泄露近7万用户数据，凸显全球企业面临的内外部安全威胁。

知名DeFi协议Resupply因价格操纵攻击损失960万美元，其wstUSR市场因与合成稳定币cvcrvUSD集成的价格机制缺陷遭利用。Cyvers安全团队调查发现，攻击者通过操纵ResupplyPair合约价格数据，以少量抵押品套取1000万美元reUSD稳定币，被盗资金已通过混币服务转移。Resupply已暂停受影响合约并承诺发布技术分析报告。安全专家Meir Dolev呼吁加强价格验证机制和实时监控。此事件再次凸显DeFi合成资产定价风险。据CertiK报告，2025年前五月加密货币行业因黑客攻击损失超21亿美元，攻击手段日趋复杂，包括社会工程学和内部作案，专家强调需完善智能合约审计和风控体系以应对专业化威胁。

区块链安全领域近期曝出重大内部威胁事件。智能合约审计公司Fuzzland调查报告显示，2024年9月导致Bedrock协议损失200万美元的UniBTC攻击，系其前员工精心策划。该员工通过社会工程学、供应链攻击及APT技术长期潜伏，利用内部讨论漏洞的关键时机发起攻击。Fuzzland已全额赔付损失，并联合ZeroShadow等机构展开调查，案件材料已提交中美执法部门。尽管事件造成财务损失，客户数据保持安全。Bedrock协议TVL在事件后逆势增长至5.35亿美元，展现市场信心。CertiK报告指出，2025年加密货币安全形势严峻，社交工程攻击占比上升，行业需加强内部风控。Fuzzland事件推动安全标准升级，有望提升行业整体防御能力。

知名硬件钱包商Trezor发布安全警报，揭露新型钓鱼攻击手段：诈骗者利用公司联系表单系统，向用户发送伪装成官方客服的欺诈邮件，企图窃取助记词等敏感信息。Trezor强调官方绝不会索要钱包备份，并确认事件系攻击者冒用身份触发自动回复，非系统数据泄露。近期加密货币领域钓鱼攻击频发，包括风投合伙人Mehdi Farooq在内多名受害者损失惨重，单笔最高达260万美元。行业平台安全形势严峻，CoinMarketCap、Cointelegraph等相继遭遇恶意弹窗和广告入侵事件，各平台已加强防护措施应对持续升级的网络威胁。（160字）