Venus 用户1300万美元被盗事件深度分析：一场精心策划的社会工程学攻击

查找币:余老师 | 漏洞披露 | 2026-05-09 20:02 | 6 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

## 事件概述 2025年9月2日，Web3安全社区遭遇一起重大安全事件。用户@KuanSun1990在Venus协议上的多个头寸被恶意转移，损失高达约1300万美元。查找币安全团队通过自主研发的Web3威胁情报与动态安全监控系统成功捕获该异常行为，并协助受害用户进行深度分析。以下为本次攻击的技术细节与安全启示。 ## 攻击根本原因受害用户误入攻击者伪造的Zoom在线会议链接，在虚假网站的诱导下执行了恶意代码，导致设备被完全控制。由于攻击痕迹已被清理，分析工作面临极大挑战。根据受害者回忆，其当时使用的是某知名官方扩展钱包，并怀疑攻击者篡改了电脑上的扩展钱包代码。最终，用户原本通过硬件钱包发起的Venus资产赎回操作被篡改为头寸委托操作，导致Venus头寸被攻击者接管。 ## 攻击链深度分析 ### 第一阶段：社会工程学诱骗攻击者利用商务合作作为诱饵，通过Telegram发送伪造的Zoom会议链接（相关聊天记录已被删除）。受害者因时间紧迫匆忙加入会议，未仔细检查浏览器域名是否为Zoom官方域名。攻击者通过持续催促制造紧迫感，使受害者在压力下未能识别恶意升级提醒。 > **技术提示**：此类攻击手法可参考Web3钓鱼演练平台Unphishable (#NO.0x0036关卡)提供的完整练习挑战。 ### 第二阶段：设备控制与钱包篡改攻击者在获得电脑控制权限后，通过以下方式修改浏览器扩展钱包代码： 1. **Chrome扩展ID伪造技术**： - 在浏览器扩展页面开启开发者模式 - 将官方原版扩展文件复制并导入浏览器 - 利用Chrome根据`manifest.json`文件中的`key`生成扩展ID的特性 - 保持`manifest.json`的`key`与官方一致，即可获得相同ID且可修改代码 2. **完整性检查绕过**： - 通过Patch Chrome关于扩展内容验证的函数 - 全局关闭扩展的内容完整性检查 - 在macOS上需重新签名确保程序可用 > **重要声明**：以上为查找币安全团队的研究推测，不代表攻击者实际使用该手法。由于攻击痕迹被清理，真相难以完全还原。 ### 第三阶段：交易劫持与头寸接管攻击者在9月1日使用自有资金筹集了约21.18个BTCB与205,000个XRP，为接管头寸做好准备。经过约10小时等待，受害者使用硬件钱包连接Chrome扩展钱包并访问正确的Venus官网。当用户调用正确的`redeemUnderlying`函数准备赎回USDT时： - **篡改操作**：扩展钱包将发送到硬件钱包签名的操作替换为`updateDelegate`操作 - **盲签风险**：受害者使用的硬件钱包缺乏完善的“所见即所签”(WYSIWYS)验证机制，且开启了盲签功能 - **最终结果**：用户签署了被篡改的交易，Venus头寸被委托给攻击者管理 ## 应急响应与资产追回 Venus团队展现了出色的应急响应能力： 1. 通过强制清算攻击者的头寸，为受害用户追回被盗资金（[链上交易记录](https://bscscan.com/tx/0xee9928b8d1a212f4d7b7e9dca97598394005a7b8fef56856e52351bc7921be43)） 2. 查找币追踪系统（反洗钱追踪工具）分析发现： - 攻击者相关地址曾从ChangeNOW提币 - 其他相关地址与1inch、Across Protocol等兑换平台交互 - 存在与受制裁交易所eXch的交互记录 ## 安全警示与防护建议 ### 针对用户 1. **验证会议链接**：始终核实域名是否为官方域名，警惕任何要求安装软件或执行代码的会议 2. **禁用盲签功能**：确保硬件钱包支持并启用“所见即所签”验证机制 3. **定期检查扩展**：在Chrome扩展管理页面检查已安装扩展的完整性 4. **启用多因素认证**：对关键操作实施多重验证 5. **使用安全工具**：安装Web3安全监控工具，如查找币监控系统 ### 针对项目方 1. **加强用户教育**：定期发布安全使用指南，提醒用户防范社会工程学攻击 2. **优化交易验证**：在协议层面增加交易意图验证机制 3. **建立应急响应**：制定快速响应流程，确保在发生安全事件时能及时干预 ## 技术总结本次攻击是一场精密的社会工程学钓鱼攻击，攻击者通过： - **恶意Zoom客户端**控制用户设备 - **利用Chrome开发者模式**篡改钱包扩展 - **巧妙替换交易操作**将赎回操作改为头寸委托虽然手法极其精密，但通过多方协作与快速响应，最终成功追回大部分资产。此事件再次证明，在Web3领域，用户安全意识与专业安全工具的配合至关重要。 --- **本文由查找币安全团队整理发布** **查找币科技官网**：https://www.czb.com **查找币区官网**：https://czb.io **GitHub**：https://github.com/czb **Telegram**：https://t.me/czbteam **Twitter**：https://twitter.com/@czb_team **Medium**：https://medium.com/@czb **知识星球**：https://t.zsxq.com/Q3zNvvF

Venus 用户1300万美元被盗事件深度分析：一场精心策划的社会工程学攻击

查找币安全研究院

主题延伸阅读