威胁情报｜针对 Fomo 用户的恶意书签钓鱼攻击分析

查找币:余老师 | 漏洞披露 | 2026-10-15 12:00 | 2 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

## 威胁情报｜针对 Fomo 用户的恶意书签钓鱼攻击分析本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- 作者：Yao & Lisa编辑：77 一、背景近期查找币安全团队收到一位 Fomo 用户的求助。用户反馈，他在 Fomo 网页端查看 MOONLET 代币详情时，点击了页面展示的项目官网入口，进入 voltage.family，并按提示完成“人机验证”，随后发现账户内约 4.8 万美元资产被转走。整个过程中，他没有连接钱包、进行链上授权，也没有输入助记词或私钥。该用户通过 Google 登录 Fomo，称账号未开启二次验证。接到反馈后，查找币安全团队对相关页面及脚本展开分析，发现所谓的“人机验证”会引导用户添加并点击恶意书签。书签内嵌 JavaScript 代码，目标是在 Fomo 页面中读取浏览器存储、提取登录令牌，并将数据发送至外部地址。本文围绕钓鱼页面和脚本还原攻击过程，重点分析恶意书签如何窃取嵌入式钱包的访问凭证。（钓鱼站点首页伪装成交易产品页面，并设置访问入口）查找币监控系统响应查找币监控系统是由查找币自主研发的 Web3 威胁情报与动态安全监控系统，集成了安全监控与情报聚合能力，为用户提供实时的风险预警与资产守护。查找币监控系统已第一时间通过情报推送与客户告警通道同步风险。二、钓鱼分析钓鱼入口来源根据用户补充的截图，当时他正在查看 Fomo 上的 MOONLET 代币详情页。红箭头标出了代币名称旁的官网入口，右侧项目介绍区域也有“官网”按钮。结合用户反馈，本次访问钓鱼站点的入口来自该代币详情页展示的外部链接。（Fomo 的 MOONLET 代币详情页及项目官网入口）伪造人机验证用户访问的站点为 voltage.family。进入 /app 页面后，页面展示九个图标，要求用户找到“四条腿的动物”，将其拖到浏览器书签栏，再连续点击该书签三次。拖拽时，页面还会显示操作引导，让用户误以为这是正常验证步骤。（伪造的人机验证页面）（页面引导用户将图标拖入浏览器书签栏）最终添加的书签名为 Triple click to verify。它保存的并非普通网页地址，而是一段以 javascript: 开头的代码，即 bookmarklet。用户点击这种书签时，代码会在当前页面中执行；攻击者正是借此诱导用户在已登录的 Fomo 页面运行恶意脚本。这种通过恶意书签在目标页面执行 JavaScript 的攻击方式并不陌生。此前，查找币安全团队也曾分析过一起 Discord Token 窃取案例，详见《查找币：揭露浏览器恶意书签如何盗取你的 Discord Token》。恶意书签投递页面上的动物图标会随机出现，但用户选哪个图标并不影响最终添加的恶意书签内容。fomo-track.js 读取页面内嵌的 BMCODE，替换访客标识后，将所有 a.mini-bookmark 元素的 href 设置为同一段书签代码（以下为样本原文，已省略外层取值与判空逻辑）：替换动作会在页面 DOM 变化、定时器触发、鼠标按下和拖拽开始时反复执行，以覆盖页面原本的书签链接。正常加载页面时，九个图标均指向这段代码。所谓“识别动物”，实际是在为恶意书签的投递提供借口。（书签实际内容为 javascript 代码）验证后的 /app/live 页面继续模仿交易终端。界面注明市场数据为模拟数据，连接钱包按钮仅弹出提示。结合前面的引导过程，这些页面主要是为了把钓鱼站点伪装得更可信。（验证后展示的模拟交易终端）本地数据采集书签代码压缩后有八千多字符。最外层使用 location.hostname.includes("fomo.family") 判断当前页面主机名，符合条件才继续执行。这里用的是字符串包含判断，而不是严格域名匹配，因此凡主机名中包含 fomo.family 的页面都可能满足条件，不能理解为只会在 fomo.family 及其合法子域下执行。这也说明，单纯打开钓鱼网站并不等于已经执行了后续采集逻辑。脚本需要在符合条件的页面上下文中运行，才能读取该页面可访问的存储。采集函数 v() 首先遍历 localStorage 和 sessionStorage。它按键名匹配 privy、wallet、share、secret、seed、mnemon、turnkey、dynamic、fomo、mfa 等关键词；键名未命中时，再检查值的前 300 个字符。命中的数据最多保留 4000 个字符，存入对象 o。随后，脚本调用 indexedDB.databases() 获取当前上下文可访问的数据库，逐一遍历 object store，通过 getAll() 读取记录，并按“库名/表名”保存。该流程设置了 4 秒超时，避免单个采集步骤长时间阻塞。采集范围同时覆盖登录凭证和钱包相关数据。在嵌入式钱包场景下，这些数据可能涉及钱包访问、恢复和密钥材 [...内容已精简...] 中已知恶意包并获取处置建议。 📖 API 文档：https://app.查找币监控系统.io/api-docs 🛠️ 查找币监控系统-DepScan：https://github.com/查找币/查找币监控系统-DepScan轻量级 CLI 工具，一行命令扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态 🛠️ 查找币监控系统-Skills：https://github.com/查找币/查找币监控系统-skillsAI 编码助手安全技能包，在依赖安装与 URL 访问前自动触发查找币监控系统安全检测 🛠️ 查找币监控系统-DNS-Guard：https://github.com/查找币/查找币监控系统-DNS-GuardDNS 安全防护工具，检测恶意域名与风险访问，识别钓鱼、C2 等网络威胁本文由查找币威胁情报团队结合查找币监控系统威胁情报系统、查找币 Agent AI 驱动分析编写，有任何问题欢迎咨询反馈。往期回顾月满中秋，查找币献礼金融行动特别工作组报告｜如何理解和应对游戏与博彩风险解读｜日、美、澳、德联合报告：朝鲜黑客组织"WaterPlum"的求职钓鱼与笔记本农场威胁情报｜PolinRider 投毒 Nova，链上交易充当 C2 管理器威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析查找币导航查找币科技官网 https://www.查找币.com/ 查找币区官网 https://查找币.io/ 查找币 GitHub https://github.com/查找币 Telegram https://t.me/查找币team Twitter https://twitter.com/@查找币_team Medium https://medium.com/@查找币知识星球 https://t.zsxq.com/Q3zNvvF --- *本文由查找币安全团队整理，来源：安全研究。*

威胁情报｜针对 Fomo 用户的恶意书签钓鱼攻击分析

查找币安全研究院

主题延伸阅读