劫持

ChainCatcher 消息，以太坊流动性质押协议 Lido 的工程负责人 Dmitry Gusakov 在开发者会议 ACDC #189 上警告，Glamsterdam 升级引入的一次性构建者（builder）接入机制可能干扰质押协议现有的存款保护逻辑，导致质押存款被劫持。该问题涉及共享同一验证者公钥的多笔存款。根据以太坊现行存款规则，首个有效存款会确定提款凭证，质押协议通常利用这一特性防范凭证被操纵，例如先存入少量 ETH，待验证者以预期凭证出现后再补足剩余资金。而 Glamsterdam 为构建者引入的特殊接入机制，在分叉过渡期间可能改变同一公钥下后续待处理存款的解读方式，使质押协议面临第三种结果：验证者未出现，存入的 ETH 被记入构建者名下。Lido 提出的修复方案是在一次性接入过程中保留验证者存款与构建者存款的区分。但核心开发者以时机为由拒绝了该修改，主要原因是 Sepolia 测试网已按现有规范激活，Hoodi 客户端版本也在准备中，此时更改行为可能需要重新部署 Sepolia 并进行额外测试。该问题影响的是分叉过渡期的接入流程，而非持续的存款处理规则，但其后果可能波及排队等待中的存款。

ChainCatcher 消息，香港警方公布，过去两周共接获逾 150 宗 WhatsApp 账户劫持骗案，总损失逾 1,500 万港元。近日，一家从事虚拟货币兑换业务的本地公司员工遭遇账户劫持。骗子封锁其原工作群并将成员拉黑，复制群组图片、名称、成员及头像另建假群，冒充客户代表要求兑换。受害人按惯例先将加密货币汇至对方指定钱包，待发现客户账户余额不足并致电核实后才察觉被骗，公司损失逾 400 万港元。警方提醒，WhatsApp 群组可以伪造，但成员电话号码无法与真实群组完全相同，对话发布时间也无法复制，并建议启用双重认证，汇款前通过电话核实对方，避免在公共 WiFi 或公共电脑登录账号。

ChainCatcher 消息，据慢雾余弦监测，针对 FOMO 网页端的书签钓鱼盗币攻击正在出现。此类钓鱼网页会诱导用户完成虚假人机验证，将 JavaScript 恶意代码拖入浏览器收藏夹并保存为书签。用户随后在该书签上点击 2 至 3 次后，此前登录过的 FOMO 账号将被攻击者劫持，账号内加密资产也会被立即盗走。

ChainCatcher 消息，据 Bitcoin.com 报道，微软（Microsoft）官方 X 账号遭到黑客劫持，并被用于推广一款以其经典大头针助手形象为主题的 Meme 币 CLIPPY。目前相关违规内容已被移除，微软向媒体证实了账号曾遭未授权访问，并表示正在持续调查该事件。

ChainCatcher 消息，据法国《巴黎人报》报道，法国瓦兹河谷省塔韦尔尼市一户家庭遭持械团伙入室劫持。受害者妻子及 10 岁孩子被捆绑，男主人遭电击枪折磨，嫌疑人企图夺取其加密货币资产，最终仅抢走少量资金及屋内物品。6 名嫌疑人已于 9 月 11 日被移送司法机关，并因涉嫌有组织持械抢劫、勒索、非法拘禁及参与犯罪团伙等罪名被立案调查。

ChainCatcher 消息，法国北部城镇万丹莱维耶勒一户家庭于周日凌晨遭四名蒙面男子闯入劫持。据 BFMTV 报道，嫌疑人于凌晨 4 点左右进入屋内，用胶带将夫妇及两名孩子捆绑，滞留超过三个小时。40 岁的父亲在当地加密行业担任 IT 专家，被单独带至另一房间，遭殴打后被迫交出访问代码，约 4 万欧元（约 4.6 万美元）加密货币被转走。据贝蒂讷检察官办公室消息，四名嫌疑人作案后驾车逃离，目前仍在逃。12 岁的女儿在事件中被车钥匙击打面部，受害者处于震惊状态，已被送往法医检查，并获受害者援助协会支持。此案已按有组织团伙绑架与勒索立案，交由地区司法警察与法国网络犯罪办公室联合调查。法国是全球此类“扳手攻击”受害最严重的国家，国家打击有组织犯罪检察官办公室记录显示，2026 年前八个月已发生超过 70 起与加密货币相关的绑架及非法拘禁事件，今年早些时候的打击行动中已有 88 人被起诉。此前类似案件多针对财富显赫人士，包括加密百万富翁的父亲、The Sandbox 联合创始人的妻子及 Binance France 首席执行官，而本案受害者仅为普通 IT 从业者。Chainalysis 统计 2026 年全球扳手攻击共造成约 3000 万美元损失，CertiK 则称六个月损失达 1.24 亿美元，上涨 12 倍。

ChainCatcher 消息，网络安全公司 Hudson Rock 披露，流媒体服务 HBO Max 的 Reddit 认证账号于本月早些时候遭黑客劫持，并在约 48 小时内投放了 108 条恶意广告。这些广告以不存在的 HBO Max 原生 macOS 应用为诱饵，诱导用户打开终端或 PowerShell 粘贴恶意命令，该手法被称为 ClickFix。研究人员将该行动命名为 PasteSwitch，其投递系统会根据访问者设备与所宣传软件自适应调整。已观测到的 Mac 端载荷包括 MacSync 与 Atomic macOS（AMOS）信息窃取木马，目标涵盖浏览器凭据、Telegram 数据、Apple Notes、已保存密码及加密货币钱包助记词。恶意软件还利用币安智能链合约作为可变 C2 地址投递点，并关联到替换剪贴板钱包地址的加密货币剪贴板劫持程序。据 Malwarebytes 称，Reddit 管理员在收到举报后已暂停相关广告并展开安全调查。报告未说明账号遭入侵的具体方式及受害者数量，也未发现 HBO Max 流媒体服务本身被攻破的证据。此前 ClickFix 手法已多次被用于针对加密货币用户的攻击，包括约 2000 个被入侵的 WordPress 网站及伪装 CAPTCHA 的恶意活动。

ChainCatcher 消息，据路透社报道，OpenAI 智能体今年 5 月曾在未经授权的情况下大规模编辑德国程序员社区网站 DseWiki，将其改造成供其他 AI 智能体交流的“留言板”，相关事件此前从未被公开披露。研究人员发现，该网站没去存在超过 1.5 万次由 AI 智能体执行的编辑操作。相关信息显示，这些智能体不仅交流任务解决方案，还讨论如何绕过 OpenAI 限制、规避检测，并使用工具隐藏行为。当网站管理员开始删除相关页面后，部分智能体还创建备份页面以躲避清理。 据悉，OpenAI 内部部分调查人员希望进一步调查此次事件，但扩大调查据称遭到包括法律顾问在内的部分人士阻力。OpenAI 否认其法律团队阻止调查，并表示目前尚未有机会审阅相关报告，因此无法对其中的指控作出实质回应。

ChainCatcher 消息，微软公司威胁情报团队公布一款自 2026 年 2 月起活跃的 Windows 加密剪贴板木马威胁，该恶意软件结合“蠕虫式传播+剪贴板劫持+Tor 匿名通信”，针对数字资产用户实施攻击。

ChainCatcher 消息，据 Cryptopolitan 报道，一种名为 Reaper 的新型 macOS 恶意软件正通过微信和 Miro 等应用的虚假下载页面传播，目标为窃取加密货币钱包数据、浏览器密码和敏感文档。该恶意软件利用 AppleScript URL 触发系统自带的脚本编辑器，通过 ASCII 艺术和空格隐藏恶意代码。用户点击运行按钮后，伪造的 Apple 安全更新弹窗会诱导受害者输入电脑密码。 Reaper 针对 Ledger Live、Trezor Suite 和 Exodus 等桌面加密应用，修改钱包内部代码以拦截未来交易并重定向资金。同时从 Chrome、Firefox 和 Edge 中窃取保存的凭证，从桌面和文档文件夹中提取 .docx、.pdf、.wallet 等文件。Reaper 还会安装伪装成 Google 软件更新目录的后门以实现持久化攻击。安全专家建议用户核实下载链接，勿在意外弹窗中输入密码，若网站要求打开脚本编辑器应立即关闭页面。

ChainCatcher 消息，据 Cointelegraph 报道，比特币记者 Joe Nakamoto 表示，全球约 70% 针对加密货币持有者及其家属的暴力劫持事件（wrench attack）发生在法国。2026 年迄今，法国已发生 41 起加密货币相关绑架案，平均每两天半发生一起。 Nakamoto 将此归因于 KYC（了解你的客户）数据的集中化存储。2020 年硬件钱包厂商 Ledger 的数据泄露事件中，逾 27 万名用户的身份信息、家庭住址及电子邮件遭到曝光，为不法分子提供了精准的攻击目标。Casa 首席执行官 Jameson Lopp 表示，"法国是煤矿中的金丝雀，揭示了金融监管构建的监控体系如何对比特币持有者造成直接伤害。" 针对此类威胁，业内建议持有者使用具备安全功能的托管服务，在遭受攻击时可触发资产冻结并通知执法部门；同时建议准备一个存有少量资金的"诱饵"钱包，并在公开场合保持低调，避免暴露持币信息。

ChainCatcher 消息，CoW DAO 发文表示，其域名注册商在 4 月 14 日遭遇社会工程攻击，攻击者短暂控制官方域名约 4.5 小时，并在此期间引导用户访问钓鱼网站，从而诱导签署恶意交易。项目方强调，CoW Protocol 本身未遭入侵，但部分用户资产在该时间窗口内受到影响。针对该事件，CoW DAO 社区治理提案 CIP-86 已通过，批准设立自由裁量补偿基金，用于赔付受影响用户损失。官方提醒，符合条件的用户需在 5 月 14 日前提交申报，材料包括受影响钱包地址、资产信息、交易哈希及姓名，并通过邮箱 help@cow.fi 申请，邮件标题需注明“Discretionary Grant Claim for”。

ChainCatcher 消息，据 The Block 报道，以太坊名称服务 (ENS) 网关 eth.limo 上周五晚间遭遇 DNS 劫持攻击。该项目周六发布事后分析报告，将此次攻击追溯至针对域名注册商 EasyDNS 的社会工程学攻击。 eth.limo 表示，DNSSEC 验证已拒绝攻击者的域名服务器更改，目前未发现任何用户受到实际影响。为应对近期加密前端多次在 DNS 层被攻破的情况，eth.limo 计划迁移至 EasyDNS 旗下更严格的安全服务，该服务不再支持账户恢复功能。 EasyDNS 首席执行官 Mark Jeftovic 已公开承认此次漏洞，称这是其 28 年历史上首次成功针对客户实施的社会工程学攻击。

ChainCatcher 消息，据链上侦探 ZachXBT 发文警示，Trust Wallet 的 Discord 链接（discord[.]gg/trustwallet）已遭黑客劫持，目前该链接指向一个钓鱼服务器。 ZachXBT 提醒用户切勿通过官网、Telegram、博客等官方渠道中的 Discord 链接加入，以免遭受资产损失。

ChainCatcher 消息，DeFi 项目 Steakhouse Financial 昨日披露其遭遇针对 OVH Cloud 的电话社交工程攻击，攻击者更改主站和 app 子域名的 DNS A 记录指向恶意 IP，并试图启动 5 天的域名转移。目前相关更改已撤销，DNS 记录已清空，正在与 OVH 合作解决。所有金库和合约未受影响，储户资金安全，无其他服务账户被入侵。在问题解决前请勿与官网和邮件交互，详细事后报告将尽快发布。今日凌晨，Steakhouse Financial 表示，在官网域名 DNS 记录清空期间，金库仍可通过 Morpho 直接访问，存款、提款等所有功能正常，前端恢复后将另行确认。

ChainCatcher 消息，黑客通过仿冒 Google Play 商店的钓鱼页面，在巴西发起 Android 恶意软件攻击活动。目前所有已知受害者均位于巴西。攻击者搭建了与 Google Play 高度相似的钓鱼网站，诱导用户下载名为“INSS Reembolso”的伪造应用。该应用安装后，将分阶段释放隐藏恶意代码，并直接加载至内存运行，设备上不留可见文件，具有较强的隐蔽性。恶意软件的核心功能之一为加密货币挖矿，内置针对 ARM 设备编译的 XMRig 挖矿程序，可在后台静默连接攻击者控制的挖矿服务器。该程序会监控电池电量、温度及设备使用状态，动态调整挖矿行为以规避检测，并通过循环播放静音音频文件绕过 Android 系统的后台进程管理机制。部分变种还内置银行木马，可在 Binance 和 Trust Wallet 的 USDT 转账界面叠加伪造页面，静默替换收款地址。此外，恶意软件支持录音、截屏、键盘记录及远程锁机等多项远程控制指令。

ChainCatcher 消息，据 DL News 报道，法国法兰西岛大区警方逮捕两名青少年（15 岁及 17 岁）及一名 35 岁男子，三人涉嫌于 3 月 10 日在法兰西岛大区先后实施两起针对加密货币持有者的武装劫持案。 据报道，第一起案件发生于巴黎南部郊区埃松省，嫌疑人佩戴面具、携带小型爆炸装置试图闯入一名加密货币持有者住宅，未遂。约 30 分钟后，另一起案件发生于塞纳-马恩省，嫌疑人成功闯入一名女性加密货币持有者住所，劫持其家人并盗走珠宝，是否同时窃取加密资产尚未披露。 警方随后追踪嫌疑人车辆，出动约 100 名武装特警及两架警用直升机展开追捕，历时约 6 小时将车辆拦截，并在车内发现失窃珠宝。检察官已对三人提起诉讼，罪名包括敲诈勒索、有组织犯罪、武装抢劫、毁坏财物及绑架。目前 17 岁嫌疑人及 35 岁男子已被羁押候审，15 岁嫌疑人处于司法监管之下，检察官已就此提出上诉。

ChainCatcher 消息，Letsbonk.Fun 创始人 Tom 发出紧急警告，称该项目域名目前已遭黑客劫持。黑客通过控制一个团队成员账户，在域名层面强制植入了资产盗取程序（Drainer）。Tom 提示所有用户，在另行通知前，切勿访问或使用 bonkfun 相关域名，以防资产损失。

ChainCatcher 消息，据 Cointelegraph 报道，一对法国夫妇在巴黎西部勒切斯内-罗克库尔特家中遭三名假冒警察的歹徒持刀闯入，被迫转移约 90 万欧元（约 100 万美元）比特币后，两人遭捆绑受伤，歹徒随后驾白色货车逃离。目前案件已由凡尔赛检察院移交打击匪帮部门调查，暂无逮捕消息。 此案为近年来加密货币领域“扳手攻击”（以暴力或威胁迫使持有者交出数字资产）的最新案例。据网络安全平台 CertiK 数据，2025 年此类攻击全球增长 75% 至 72 起，法国以 19 起居全球首位。今年以来，法国已多次发生针对加密从业者的绑架及入室抢劫事件。

ChainCatcher 消息，网络安全机构 Moonlock Lab 报告称，加密黑客近期升级 “ClickFix” 攻击手法，开始冒充风险投资机构，通过社交平台接触目标用户，并诱导其执行恶意代码，以窃取加密资产。攻击者伪装成 SolidBit、MegaBit、Lumax Capital 等虚假风投机构，通过 LinkedIn 发送合作邀约，并引导受害者进入伪造的 Zoom 或 Google Meet 会议链接。页面中嵌入假的 Cloudflare “我不是机器人” 验证按钮，点击后会将恶意命令复制至剪贴板，并诱导用户在终端粘贴执行，从而完成攻击。研究人员指出，该方式通过 “让受害者自行执行命令” 规避传统安全防护机制。与此同时，黑客还劫持浏览器扩展程序实施攻击。网络安全公司 Annex Security 创始人 John Tuckner 披露，Chrome 插件 QuickLens 在 2 月 1 日更换所有权后，于两周后发布含恶意脚本的新版本，触发 ClickFix 攻击并窃取用户数据。该插件约有 7,000 名用户，目前已从商店下架。报告称，被劫持的扩展程序会扫描加密钱包数据和助记词，并抓取 Gmail 邮箱内容、YouTube 频道数据及网页登录或支付信息。.