假冒Cloudflare验证页面钓鱼 模因币交易者遭恶意脚本窃取60万美元

近期，模因币交易者成为钓鱼攻击的目标，攻击者通过伪装成Cloudflare验证屏幕的恶意页面，诱骗交易者在电脑上执行恶意脚本。一名化号为@cladzsol的加密交易者报告称，因交互此类页面损失约60万美元。

虚假验证页面诱导执行脚本

9月16日的市场报告显示，多个热门模因币页面将访客重定向至伪造的验证屏幕，指示用户在计算机上执行命令，从而允许恶意脚本运行并可能窃取加密资产。@cladzsol表示此次事件令其损失约60万美元，加密账户@insidecalls警告称，攻击涉及一个先显示虚假Cloudflare检查、随后要求用户以管理员权限在Windows上运行有效载荷的网站。

该方法不同于许多依赖用户连接钱包并批准恶意区块链交易的钱包 drainer 攻击。在此案例中，钓鱼页面试图让受害者直接在计算机上执行代码。

恶意链接藏身代币元数据

恶意链接通过依附于模因币的网站字段出现。交易者在扫描新上线代币时，可能会在研究项目过程中打开这些链接，却 landing 在看似合法的Cloudflare验证检查页面。据报告，一旦用户按照页面指示操作，恶意脚本便会被下载并在计算机上执行。

模因币交易者通常会在代币页面、社交账户和项目网站间快速切换以寻找新资产，这种常规行为被攻击者利用。部分代币跟踪和交易聚合平台会从代币元数据中拉取网站和社交媒体信息。报告显示，这些字段可被代币创建者或后续控制项目社区的人修改，从而将恶意网站置入本应展示官方主页的字段中。报告虽对DexScreener等聚合服务的链接审核延迟表示担忧，但并未出示其被入侵的证据。

加密钓鱼攻击频用可信页面

此波攻击延续了复制熟悉网站以说服用户交互恶意软件的趋势。8月，一名Hyperliquid交易者因点击赞助谷歌广告进入假冒去中心化交易平台，损失约55万美元；7月报告显示钱包 drainer 常利用假项目网站、虚假空投等诱导交易批准。不同于这些需链上批准的方式，虚假Cloudflare活动直接指示受害者本地执行脚本，突破仅限于网站授权的限制。

恶意软件成钱包新威胁

近期行动常将钓鱼与恶意软件结合。8月假Claude桌面应用分发RevStealer恶意软件，可瞄准50多种加密钱包；5月TrapDoor活动通过恶意开发包窃取钱包数据及云凭证。2024年8月Jupiter警告名为Bull Checker的恶意Chrome扩展；11月一名Gigachad模因币投资者因假Zoom链接损失609万美元。

安全建议

9月16日报告建议，交易者若遇到要求执行命令或脚本的疑似Cloudflare验证页面，应直接关闭而不进行任何交互。