信任钱包（Trust Wallet）发布公告称，其谷歌浏览器扩展程序被入侵后，近 3000 个钱包地址内的加密货币资产被盗，涉案金额约 700 万美元。此次事件的诱因是攻击者发布了一款恶意版本的浏览器扩展，该扩展内置 JavaScript 脚本，专门用于窃取钱包敏感数据。信任钱包指出，黑客利用泄露的谷歌应用商店（Chrome Web Store）应用程序接口密钥，绕过了该公司内部的版本发布流程，还通过了谷歌的审核机制。
该公司建议用户立即更新扩展程序，同时已撤销所有版本发布接口的权限，并与域名注册商耐思尼克（NiceNIC）展开合作，关停了攻击者用于数据窃取的基础设施。但攻击者并未收手，后续又发起钓鱼攻击，伪造信任钱包的官方身份，试图诱骗用户泄露钱包恢复助记词。
目前，信任钱包已确认约 2600 个钱包地址受到此次事件波及，且已启动受害者资金赔付工作。该平台同时警示用户，务必远离虚假客服渠道、仔细核验链接真伪，切勿向任何人泄露私钥或助记词。
前 Coinbase 客服专员因数据泄露案在印度被捕
加密货币交易平台 Coinbase 首席执行官布莱恩・阿姆斯特朗表示，印度警方近日在海德拉巴逮捕了一名前客户服务专员，该人员涉嫌于今年年初协助黑客窃取平台客户的敏感数据。Coinbase 透露，相关调查仍在进行中，未来或将有更多人员被捕。
这起案件的源头可追溯至 2025 年 5 月曝光的一起数据泄露事件。当时 Coinbase 发布公告称，部分违规客服人员协助黑客非法访问了公司数据库。随后，攻击者以公开被盗数据为要挟，向 Coinbase 勒索 2000 万美元赎金。Coinbase 指出，此次泄露事件波及约 69500 名客户，泄露信息包括客户姓名、出生日期、联系方式、住址以及社保号码后四位，部分档案中还包含客户提交的 “了解你的客户”（KYC）流程相关扫描文件。
据报道，Coinbase 已证实此次数据泄露的源头是印度客服外包服务商 TaskUs，该公司部分员工收受黑客贿赂，违规为其开放数据库访问权限。科技媒体 Bleeping Computer 报道称，TaskUs 方面表示仅有两人牵涉其中，且已关停涉事部门。
美国证监会起诉加密货币平台及投资俱乐部，涉案 1400 万美元社交媒体诈骗案
美国证券交易委员会（SEC）对三家加密货币交易平台和四家投资俱乐部提起诉讼，指控其合谋策划线上投资诈骗，涉案金额超 1400 万美元，众多投资者因此蒙受损失。
美国证监会表示，该诈骗团伙自 2024 年 1 月起，开展了为期一年的诈骗活动。他们通过即时通讯软件 WhatsApp 搭建投资俱乐部群组，团伙成员伪装成金融专业人士潜伏其中。为骗取投资者信任、营造稳定盈利的假象，该团伙在群内分享所谓的人工智能生成投资建议。随后，他们诱导受害者在三家平台 ——Morocoin、Berge 和 Cirkor 开立交易账户，而美国证监会明确指出，这三家平台均为虚假平台，并未开展任何真实的交易业务。
美国证监会指控称，该团伙还进一步升级诈骗手段：一方面推销虚构的代币发行项目，另一方面在投资者尝试提现时收取额外费用。被盗资金最终通过银行账户和加密货币钱包被转移至海外。
波莉市场（Polymarket）账户被盗事件系第三方登录服务漏洞所致
去中心化预测市场波莉市场（Polymarket）发布公告称，近期多起用户账户被盗事件的根源，在于第三方身份验证服务商存在安全漏洞。此前，社交论坛 Reddit 上已有用户反馈账户被盗，称攻击者在未经授权的情况下登录其账户，平仓所有持仓头寸并转走账户余额。多名受害者表示，账户被盗前曾出现多次异常登录尝试，但他们的设备和邮箱账户并未发现任何被入侵的痕迹。
根据用户反馈，此次事件的受害者主要为通过第三方登录服务商 Magic Labs 注册账户的用户。Magic Labs 提供基于邮箱的登录服务，同时会自动为用户创建非托管以太坊钱包，这种便捷的注册方式深受尚未自行管理钱包的加密货币新手用户青睐。
波莉市场已在其 Discord 社区频道就此事发布声明，称受影响用户数量较少，且该安全问题目前已得到解决。该平台表示，当前不存在持续风险，并将主动联系受影响用户，但未披露具体的被盗账户数量及资金损失总额。
前阿拉米达研究公司首席执行官卡罗琳・埃里森将于 2026 年提前获释
加密货币交易公司阿拉米达研究（Alameda Research）前联合首席执行官卡罗琳・埃里森，将于明年 1 月 2 日从联邦监管机构的羁押中提前获释。现年 31 岁的埃里森，此前被关押在康涅狄格州一所联邦监狱，自去年 10 月起被转为社区监禁。
2022 年 12 月，埃里森就加密货币交易所 FTX 崩盘引发的欺诈及共谋指控认罪。此后，她选择与检方合作，出庭指证 FTX 创始人萨姆・班克曼 – 弗里德。最终，萨姆・班克曼 – 弗里德被判罪名成立，判处 25 年监禁（详见报道《加密黑客事件周报：萨姆・班克曼 – 弗里德获刑 25 年》）。
2024 年 9 月，联邦法院判处埃里森两年监禁，并处以 110 亿美元资产没收处罚。此次提前获释意味着她的实际服刑时间比原判缩短了约 10 个月。FTX 破产财产管理人表示，埃里森在协助债权人追回数亿美元资产的过程中发挥了重要作用。此外，埃里森已同意在未来 10 年内，不再担任上市公司或加密货币交易所的管理人员或董事，且获释后将处于监管释放状态。
流动区块链（Flow）390 万美元被盗，回滚方案引发强烈反对
区块链平台流动区块链（Flow）于 12 月 27 日披露一起金额达 390 万美元的黑客攻击事件，随后该平台计划将交易记录回滚至攻击发生前的某个检查点，之后重启网络运营。这一决定遭到跨链桥运营商及其他生态合作伙伴的强烈反对。据悉，此次攻击的根源是流动区块链执行层存在漏洞，攻击者利用该漏洞无限铸造流动币（Flow）以及 “包装比特币”（WBTC）、“包装以太坊”（WETH）等跨链资产。
跨链桥服务商 deBridge 联合创始人亚历克斯・斯米尔诺夫表示，流动区块链在做出交易回滚决定前，未与包括主要跨链桥、流动币交易中心化交易所在内的核心合作伙伴进行沟通。他指出，交易回滚并不会对攻击者造成任何影响，因为被盗资金早已被转移至链下；相反，这一操作会损害在受影响时间段内进行合规交易的用户、流动性提供者及合作伙伴的利益。
deBridge 方面呼吁流动区块链放弃回滚方案，转而采取定向硬分叉：一方面修复安全漏洞，另一方面将攻击者的非法地址列入黑名单。对此，流动区块链回应称，在推进网络恢复工作的同时，正扩大与合作伙伴的沟通协调范围，并对各方反馈意见进行评估。
外卖平台 Grubhub 邮箱系统遭入侵，助力假日比特币诈骗活动
据报道，外卖平台 Grubhub 的用户及商家合作伙伴在圣诞节期间，收到了大量诈骗邮件。该邮件以 “假日加密货币促销活动” 为噱头，声称用户只需向指定加密货币钱包转账，即可获得十倍比特币返利。这些诈骗邮件的迷惑性极强，原因在于其发送邮箱地址均来自 Grubhub 的合法子域名b.grubhub.com，该子域名原本用于平台与商家的官方沟通。科技媒体 Bleeping Computer 报道称，部分诈骗邮件中还包含收件人的姓名信息。
邮件内容刻意营造紧迫感，声称活动仅剩最后几分钟报名时间，这是典型的比特币返利诈骗套路 —— 以高额回报为诱饵，骗取用户转账资金。部分收件人推测，此次事件可能与域名系统（DNS）或邮箱基础设施遭入侵有关，但 Grubhub 尚未披露该事件的具体技术成因。
据报道，Grubhub 已确认有未经授权的诈骗邮件发送给部分商家合作伙伴，并表示已迅速控制事态，正采取措施防止类似事件再次发生。
发表评论
您还未登录，请先登录。
登录