2025 年社交工程攻擊讓加密貨幣損失數十億：保護自己的方法

各位鄉親父老，2025 年的加密貨幣世界可不太平靜啊！詐騙集團的手法越來越高明，社交工程攻擊更是層出不窮，讓我們的血汗錢差點就被騙走了！你知道嗎？光是今年，社交工程就讓加密貨幣產業損失了數十億美元！而且，隨著人工智慧技術的進步，這些詐騙手法還會變得更加難以察覺，實在是讓人防不勝防。

根據加密貨幣安全專家的說法，明年大部分的加密貨幣攻擊，並不是因為你常用的協議出現了漏洞，而是因為…你自己！沒錯，2025 年的經驗告訴我們，大多數的駭客攻擊並不是從惡意程式碼開始的，而是從「聊天」開始的。Kraken 加密貨幣交易所的資訊長 Nick Percoco 就這樣說：「戰場將會是在你的腦袋裡，而不是在網路世界裡。」

損失慘重：超過 34 億美元的加密貨幣被盜

Chainalysis 的數據顯示，從 2025 年 1 月到 12 月初，加密貨幣產業損失超過 34 億美元，其中 Bybit 在 2 月份的攻擊事件就佔了將近一半。在這次攻擊中，不肖份子通過社交工程取得訪問權限，注入惡意的 JavaScript payload，竄改交易細節，然後把資金偷偷轉走！

什麼是社交工程？簡單來說，就是一種網路攻擊手法，透過操縱人類心理，讓人們洩露機密資訊，或者做出危害安全的行為。Percoco 強調，加密貨幣安全未來的重點，將會是防範心理上的弱點，而不是單純的網路安全防護。

供應鏈攻擊：數位積木塔的危機

供應鏈攻擊也是今年的一大挑戰。一個看似微不足道的漏洞，之後可能會變成毀滅性的災難。Percoco 將其比喻為「數位積木塔」，每一塊積木的完整性都至關重要。在未來，他建議我們減少對人為信任的依賴，盡可能地自動化防禦措施，並通過身份驗證來驗證每一次的數位互動，從「被動防禦」轉向「主動預防」。

「在加密貨幣的世界裡，最脆弱的環節始終是人性的信任，再加上貪婪和 FOMO (害怕錯過)。這就是駭客每次都能得逞的缺口。但再好的技術也無法取代良好的習慣。」Percoco 語重心長地說。

開發者也遭殃：雲端憑證洩漏的風險

SlowMist 的安全營運負責人 Lisa 表示，今年駭客越來越針對開發者生態系統下手。再加上雲端憑證洩漏，讓他們有機會注入惡意程式碼、竊取機密資訊，以及篡改軟體更新。她建議開發者可以通過鎖定依賴項版本、驗證套件完整性、隔離構建環境，以及在部署之前審查更新來降低風險。

展望 2026 年，Lisa 預測最大的威脅可能來自日益精密的憑證竊取和社交工程攻擊。「駭客已經開始利用人工智慧生成的 deepfake、量身定制的網路釣魚，甚至是假的開發者招聘測試，來獲取錢包私鑰、雲端憑證和簽名令牌。這些攻擊變得越來越自動化、越來越有說服力，我們預計這種趨勢將會持續下去。」她說。

保護自己的錦囊妙計

那麼，我們該如何保護自己呢？Lisa 給組織的建議是：實施強大的訪問控制、定期輪換密鑰、使用硬體支援的身份驗證、進行基礎設施分段，以及異常偵測和監控。個人則應該使用硬體錢包、避免與未經驗證的檔案互動、跨獨立管道交叉驗證身份，並且對來路不明的連結或下載保持警惕。

Halborn 區塊鏈網路安全公司的共同創辦人兼技術長 Steven Walbroehl 預測，人工智慧增強的社交工程將會在加密貨幣駭客的劇本中扮演重要的角色。今年三月，至少有三位加密貨幣創辦人表示，他們識破了北韓駭客試圖通過使用 deepfake 的假 Zoom 通話竊取敏感資料的陰謀。

Walbroehl 警告說，駭客正在利用人工智慧創建高度個人化、情境感知的攻擊，繞過傳統的安全意識培訓。為了對抗這種情況，他建議對所有關鍵通訊實施加密的「人格證明」、使用具有生物特徵綁定的硬體身份驗證、建立異常偵測系統來分析正常交易模式，以及使用預先共享的秘密或短語建立驗證協議。

「扳手攻擊」：別在網路上炫富！

「扳手攻擊」(Wrench attack)，也就是對加密貨幣持有者進行人身攻擊，也是 2025 年的一個重要主題。根據 Bitcoin OG 和密碼龐克 Jameson Lopp 的 GitHub 清單，今年至少有 65 起記錄在案的案例。上一次牛市高峰是在 2021 年，當時總共記錄了 36 起攻擊事件，是之前最糟糕的一年。

一位網名為 Beau 的 X 使用者 (前 CIA 官員) 在 12 月 2 日的 X 貼文中表示，「扳手攻擊」仍然相對罕見，但他仍然建議加密貨幣使用者採取預防措施，不要在網路上談論財富，或透露自己的加密貨幣持有量或奢侈的生活方式。他也建議大家成為「難以攻擊的目標」，使用資料清理工具來隱藏個人資訊 (例如家庭住址)，並投資家庭防禦系統 (例如監視器和警報器)。

選擇信譽良好的交易所，保護你的種子碼

曾在 Robinhood 擔任資訊長的 David Schwed 表示，他最重要的建議是：選擇信譽良好的交易所，這些交易所會展現出警惕的安全措施，包括對其整個堆疊 (從智慧合約到基礎設施) 進行嚴格且定期的第三方安全審計。此外，無論使用什麼技術，使用者都應該避免在多個帳戶中使用相同的密碼，選擇使用硬體令牌作為多因素身份驗證方法，並安全地加密或離線儲存種子碼。

他也建議為重要資產使用專用的硬體錢包，並盡量減少在交易所中的持有量。Schwed 補充說：「安全取決於交互層。當將硬體錢包連接到新的網路應用程式時，使用者必須保持高度警惕，並且在簽署之前，必須徹底驗證硬體設備螢幕上顯示的交易資料。這可以防止『盲目簽署』惡意合約。」

Lisa 建議大家只使用官方軟體、避免與未經驗證的 URL 互動，並且將資金分散到熱錢包、溫錢包和冷錢包中。

為了應對日益複雜的詐騙手法 (例如社交工程和網路釣魚)，Kraken 的 Percoco 建議大家始終保持「極度懷疑」的態度，驗證訊息的真實性，並假設每一條訊息都是對你安全意識的測試。「而且，有一個普遍的真理始終不變：沒有任何一家合法的公司、服務或機會會要求你提供種子碼或登錄憑證。一旦他們這樣做了，你就是在和詐騙集團打交道。」Percoco 強調。

同時，Walbroehl 建議使用密碼學上安全的隨機數生成器生成金鑰、嚴格區分開發環境和生產環境、定期進行安全審計，以及制定包含定期演練的事件響應計劃。

結論：保持警惕，保護自己的加密貨幣資產

在這個詐騙手法層出不窮的時代，我們必須時刻保持警惕，提高安全意識，學習保護自己的方法。只有這樣，才能避免成為下一個受害者，讓我們的加密貨幣資產安全無虞！