社会工程攻击成为加密资产领域重大安全威胁

近年来，针对加密货币交易平台用户的社会工程攻击事件频发，引发了业界广泛关注。这类攻击并非孤立个案，而是呈现出持续性和组织化的特征。

5月15日，某知名交易平台发布公告，确认了平台内部确实存在数据泄露问题。美国司法部已对此事展开调查。

历史回顾

据链上分析专家统计，仅过去一周就有超4,500万美元因社会工程诈骗从用户处被盗。过去一年中,多次曝出用户被盗事件,个别案例损失高达上千万美元。有研究报告指出,2024年12月至2025年1月期间,此类骗局造成的资金损失已超6,500万美元。专家估计,此类攻击每年造成的损失可能高达3亿美元。

主导这类诈骗的团伙主要分为两类:一类是来自特定圈子的低级攻击者,另一类则是位于南亚地区的网络犯罪组织。他们主要针对美国用户实施攻击,手法标准化、话术成熟。实际损失金额可能远高于可见统计,因为还有大量未公开的案例。

骗局手法

在此次事件中,平台的技术系统并未被攻破,诈骗者是利用了内部员工的权限,获取了部分用户的敏感信息,包括姓名、地址、联系方式、账户数据、身份证照片等。诈骗者最终目的是利用社会工程手段引导用户转账。

这类攻击改变了传统"撒网式"的钓鱼手段,转向"精准打击",堪称"量身定制"的社工诈骗。典型作案路径如下:

1. 以"官方客服"身份联系用户
2. 引导用户下载特定钱包
3. 诱导用户使用诈骗者提供的助记词
4. 诈骗者进行资金盗取

此外,有的钓鱼邮件声称"因集体诉讼裁定,平台将全面迁移至自托管钱包",并要求用户在短期内完成资产迁移。用户在紧迫的时间压力和"官方指令"的心理暗示下,更容易配合操作。

据业内人士表示,这些攻击往往组织化地进行策划与实施:

• 诈骗工具链完善:骗子使用PBX系统伪造来电号码,模拟官方客服来电。发送钓鱼邮件时会借助第三方工具仿冒官方邮箱,附带"账户恢复指南"引导转账。
• 目标精准:骗子依托从非法渠道购买的被盗用户数据,锁定特定地区用户为主要目标,甚至还会借助AI工具处理被盗数据,将电话号码分割重组,批量生成文件,再通过软件发送诈骗信息。
• 诱骗流程连贯:从电话、短信到邮件,诈骗路径通常无缝连贯,持续诱导受害者进行"安全验证",直至完成钱包转移。

链上分析

通过链上分析系统对部分已公开的诈骗者地址进行追踪,发现这些诈骗者具备较强的链上操作能力,以下是一些关键信息:

诈骗者的攻击目标覆盖用户持有的多种资产,这些地址的活跃时间集中在2024年12月至2025年5月之间,目标资产主要为BTC与ETH。BTC是当前最主要的诈骗目标,多个地址一次性获利金额高达数百枚BTC,单笔价值数百万美元。

资金获取后,诈骗者迅速利用一套清洗流程对资产进行兑换与转移,主要模式如下:

• ETH类资产常通过去中心化交易所快速兑换为稳定币,再分散转移至多个新地址,部分资产进入中心化交易平台;
• BTC则主要通过跨链桥跨链至以太坊,再兑换为稳定币,规避追踪风险。

多个诈骗地址在收到稳定币后仍处于"静置"状态,尚未被转出。

为避免自己的地址与可疑地址发生交互,从而面临资产被冻结的风险,建议用户在交易前使用链上追踪系统对目标地址进行风险检测,以有效规避潜在威胁。

应对措施

平台

当前主流安全手段更多是"技术层"的防护,而社工诈骗往往绕过这些机制,直击用户心理和行为漏洞。因此,建议平台将用户教育、安全训练、可用性设计一体化,建立一套"面向人"的安全防线。

• 定期推送反诈教育内容:通过App弹窗、交易确认界面、邮件等途径提升用户防钓鱼能力;
• 优化风控模型,引入"交互式异常行为识别":大多数社工诈骗都会在短时间内诱导用户完成一系列操作(如转账、白名单变更、设备绑定等)。平台应基于行为链模型识别可疑交互组合(如"频繁交互+新增地址+大额提现"),触发冷静期或人工复审机制。
• 规范客服渠道与验证机制:诈骗者常冒充客服迷惑用户,平台应统一电话、短信、邮件模板,并提供"客服验证入口",明确唯一官方沟通渠道,避免混淆。

用户

• 实施身份隔离策略:避免多个平台共用同一邮箱、手机号,降低连带风险,可以使用泄露查询工具定期检查邮箱是否已泄露。
• 启用转账白名单与提现冷却机制:预设可信地址,降低紧急情况下的资金流失风险。
• 持续关注安全资讯:通过安全公司、媒体、交易平台等渠道,了解攻击手法最新动态,保持警觉。
• 注意线下风险与隐私保护:个人信息泄露也可能引发人身安全问题。

总而言之,保持怀疑,持续验证。凡涉及紧急操作,请务必要求对方自证身份,并通过官方渠道独立核实,避免在压力下做出不可逆的决定。

总结

本次事件再次暴露出面对日益成熟的社工攻击手法,行业在客户数据和资产保护方面依然存在明显短板。值得警惕的是,即便平台的相关岗位不具备资金权限,缺乏足够的安全意识和能力,也可能因无意泄露或被策反而造成严重后果。随着平台体量不断扩大,人员安全管控的复杂度随之提升,已成为行业最难攻克的风险之一。因此,平台在强化链上安全机制的同时,也必须系统性地构建覆盖内部人员与外包服务的"社工防御体系",将人为风险纳入整体安全战略之中。

此外,一旦发现攻击并非孤立事件,而是有组织、有规模的持续威胁,平台应第一时间响应,主动排查潜在漏洞、提醒用户防范、控制损害范围。唯有在技术与组织层面双重应对,才能在愈发复杂的安全环境中,真正守住信任与底线。