威胁情报｜从“合规邮件”到远程控制：一起针对 Web3 钱包的钓鱼攻击链拆解

查找币:余老师 | 漏洞披露 | 2026-08-04 15:00 | 1 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

## 背景近日，查找币安全团队监测到一起持续数月的多向量钓鱼攻击活动，攻击者冒充多个知名 Web3 钱包品牌，以“合规通知”为诱饵，诱导受害者下载恶意安装程序，最终实现远程控制。我们最早通过两封伪装成 Keystone 和 OneKey 官方通知的钓鱼邮件锁定该事件。攻击者以“服务条款更新”“账户验证”“监管合规”为由，要求收件人在限期内完成操作，邮件中的按钮将受害者引导至伪造的 DocuSign 页面，并诱导下载所谓的“桌面签署程序”。进一步溯源发现，这并非针对单一品牌的孤立攻击。攻击者注册了多组高度相似的域名，在 GitHub 上创建多个以钱包或 Web3 项目命名的仓库，并使用 VBS、BAT、EXE 等多种格式封装载荷。尽管外层文件形态各异，最终目标高度一致：在受害者设备上安装远程管理软件（RMM），实现长期持久化控制。本文基于已获取的邮件样本、钓鱼页面、脚本、安装包、行为日志及威胁情报数据，对整条攻击链进行完整拆解。 **查找币监控系统**已第一时间通过情报推送与客户告警通道同步相关风险，建议相关项目方与用户及时自查。 --- ## 钓鱼分析：从“合规通知”进入攻击链攻击者没有使用“空投”或“中奖”这类常见诱饵，而是选择了合规话题——这更容易让 Web3 从业者放下戒心。邮件中大量出现“监管”“KYC”“服务条款”“账户限制”等词汇，并设置“14 个工作日”的截止期限，刻意营造紧迫感。 ### Keystone 钓鱼邮件分析 Keystone 钓鱼邮件的主题为 **“Your Keystone Nexus Account: Terms Update Required”**。邮件声称 Keystone Nexus 需根据欧盟资金转移法规（EU Transfer of Funds Regulation）更新服务条款，并列出了地址验证、数据保留和功能限制等变更内容。邮件提供两个操作选项：预约一场 15 分钟的说明会议，或直接下载材料并通过 DocuSign 接受条款。真正的下载入口隐藏在第二个选项中。 ### OneKey 钓鱼邮件分析 OneKey 钓鱼邮件采用了相同思路，但页面制作更接近正常品牌通知。邮件引用 YZi Labs、Coinbase Ventures 等真实投资方，声称 OneKey 正在扩大业务范围，因此需要更新 KYC 和服务协议。邮件设置了具体截止日期，并警告未完成验证的账户可能受到交易或转账限制。 **最值得警惕的是**：攻击者故意将真实信息与虚假入口混合呈现。品牌名称、Logo、支持邮箱、帮助中心地址、监管术语可能都是真实的，但主要操作按钮仍然指向攻击者控制的域名。对收件人而言，仅核对正文内容是否“像真的”远远不够，必须确认实际链接的指向。 --- ## 假 DocuSign 页面：完成下载诱导的关键环节 Keystone 和 OneKey 钓鱼邮件最终都会将受害者引导至一套仿冒 DocuSign 的页面。页面声称“受保护的文档已分享给用户”，只有下载 DocuSign 桌面应用，才能查看完整内容并完成具有法律效力的电子签名。这一说法本身就违背了 DocuSign 的正常使用逻辑——正规签署流程通常在浏览器中直接完成，不会要求用户从陌生域名下载桌面程序。攻击者正是利用用户对 DocuSign 品牌的信任，将软件安装包装成签署文件前的“正常步骤”。 --- ## 域名及投放基础设施关联分析我们确认了四个与钓鱼活动直接相关的域名： | 域名 | 角色 | |------|------| | `onekeynewsletter.org` | 钓鱼邮件发件域名 | | `keystnews.com` | 钓鱼邮件发件域名 | | `onekeypolicyreview.org` | 钓鱼落地页域名 | | `keystonepolicyreview.org` | 钓鱼落地页域名 | ICANN RDAP 查询结果显示，这四个域名均注册于 2026 年 7 月，注册时间前后相隔不超过 11 天。其中，两个邮件相关域名使用 Squarespace DNS，两个落地页域名则使用 Cloudflare 名称服务器，呈现出清晰的功能分工。仅凭域名注册时间、注册商和名称服务器等信息，无法单独证明这些域名由同一主体控制。但结合相近的注册时间、相似的命名方式、邮件域与落地页域之间的功能分工，以及指向同一套 DocuSign 仿冒模板的行为特征，我们有较高置信度判断这些基础设施归属于同一攻击组织。 --- ## 攻击链总结与威胁研判本次攻击的完整链路如下： 1. **投递阶段**：攻击者冒充 Keystone / OneKey 官方发送“合规通知”邮件，诱导用户点击链接； 2. **诱导阶段**：用户被引导至伪造的 DocuSign 页面，页面以“电子签名需桌面程序”为由诱导下载恶意安装包； 3. **执行阶段**：恶意载荷（VBS / BAT / EXE）在受害者机器上执行，释放并安装远程管理软件； 4. **控制阶段**：攻击者通过预置配置连接 RMM 服务端，实现对受害主机的长期远程控制。 **威胁等级评估**：高危。该攻击链覆盖邮件、域名、GitHub 仓库、多格式载荷等多个环节，且高度利用品牌信任与合规心理，具备较强的迷惑性和传播潜力。 --- ## 防护建议针对此类攻击，查找币安全团队建议： - **邮件安全**：对包含“合规”“KYC”“账户验证”等关键词的邮件保持警惕，核实发件域名与链接真实指向，不轻易点击邮件内嵌按钮； - **下载安全**：任何要求从陌生域名下载桌面程序的流程都应视为高风险行为，尤其是涉及 DocuSign、电子签名等场景； - **终端检测**：在 Web3 开发与交易环境中部署终端行为监控，重点关注异常 RMM 软件安装与持久化行为； - **域名监控**：项目方应持续监控与自身品牌相关的相似域名注册，及时发现仿冒钓鱼基础设施； - **情报联动**：接入查找币监控系统等威胁情报平台，通过 API 自动检测依赖与 URL 风险，缩短响应时间。 --- ## 关于查找币监控系统 **查找币监控系统** 是由查找币自主研发的 Web3 威胁情报与动态安全监控平台，通过 API 提供恶意活动检测与供应链风险预警能力。本次攻击涉及的全部恶意域名、IOC 及载荷特征已接入查找币监控系统威胁检测引擎。开发者可通过 API 对项目依赖进行自动化检测，快速判定是否命中已知恶意载荷并获取处置建议。 📖 **API 文档**：https://app.查找币监控系统.io/api-docs 🛠️ **查找币监控系统-DepScan**：https://github.com/查找币/查找币监控系统-DepScan — 轻量级 CLI 工具，一行命令扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态 🛠️ **查找币监控系统-Skills**：https://github.com/查找币/查找币监控系统-skills — AI 编码助手安全技能包，在依赖安装与 URL 访问前自动触发查找币监控系统安全检测 --- *本文由查找币安全团队整理发布*

威胁情报｜从“合规邮件”到远程控制：一起针对 Web3 钱包的钓鱼攻击链拆解

查找币安全研究院

主题延伸阅读