loading...
2025年9月2日，社区用户@KuanSun1990在Venus协议上的多个头寸被转移，损失约1300万美元。慢雾（SlowMist）自主研发的Web3威胁情报与动态安全监控工具MistEye成功捕获该异常行为，并协助完成全面分析。此次事件暴露了当前Web3生态中高阶社会工程学攻击的风险，也凸显了链上应急响应机制的重要性。
(https://x.com/SlowMist_Team/status/1962854755585429877)
攻击者以商务合作为幌子，诱导目标用户加入伪造的Zoom在线会议。受害者在匆忙参会过程中未核对域名真实性，且在对方持续催促下未能识别页面升级提示中的恶意行为。其电脑随后被远程控制，攻击者借此篡改本地浏览器扩展钱包代码，使原本应执行的资产赎回操作被替换为头寸委托操作。
尽管硬件钱包具备一定安全性，但因缺乏“所见即所签”验证机制，且开启了盲签功能，用户在不知情的情况下签署了被劫持的交易指令，最终导致头寸被接管。
攻击者并非直接修改官方扩展代码，而是利用Chrome浏览器的开发者模式特性：复制官方扩展文件并导入新实例，只要manifest.json中的key一致，即可生成具有相同ID的新扩展，从而绕过完整性校验。
此外，攻击者可能通过Patch Chrome扩展内容验证函数，全局关闭代码完整性检查。在macOS系统中，还需重新签名方可运行，表明攻击具备较高技术水平。
这一过程与Web3钓鱼演练平台Unphishable #NO.0x0036关卡高度吻合，证实此类攻击已进入实战阶段。
在正式攻击前，攻击者于9月1日筹集约21.18个BTCB与205,000个XRP，为接管头寸做好资金准备。
经过约10小时等待，当受害者使用硬件钱包连接扩展钱包访问Venus官网并尝试赎回USDT时，攻击触发。原定redeemUnderlying函数被篡改为updateDelegate操作，用户签署后交易提交，头寸正式移交至攻击者账户。
(https://bscscan.com/tx/0x75eee705a234bf047050140197aeb9616418435688cfed4d072be75fcb9be0e2)
攻击者立即启用Lista闪电贷借入约285个BTCB，叠加自有资产，为受害用户偿还贷款共计约306.89个BTCB与152,673.96个XRP，完成债务清偿。
随后，攻击者将受害用户的抵押品（USDT/USDC/WBETH/FDUSD/ETH）全部赎回至其控制地址。由于直接兑换存在滑点风险，攻击者选择将这些资产重新存入Venus协议，借出BTCB用于归还闪电贷。
在攻击者完成头寸接管但尚未获利之际，Venus团队迅速反应，第一时间暂停协议，并封锁所有EXIT_MARKET操作，有效阻断后续利润提取路径。
随后发起紧急提案投票，推动强制清算攻击者头寸，确保协议安全恢复的同时最大限度追回被盗资金。
(https://bscscan.com/tx/0xe4a66f370ef2bc098d5f6bf2a532179eea400e00e4be8ea5654fa9e8aeee65bf#eventlog)
慢雾旗下链上反洗钱工具MistTrack显示，攻击相关地址曾从ChangeNOW提币。其他关联地址与1inch、Across Protocol等跨链及兑换平台交互频繁，部分涉及受制裁交易所如eXch，表明攻击者试图通过多层混币与跨链转移隐藏资金流向。
本次事件是一场典型的高阶网络钓鱼攻击，结合社会工程学、浏览器扩展篡改、闪电贷套利与链上资金清洗，全流程设计精密。然而，得益于Venus团队快速响应与强制清算机制，最终实现资金追回，避免重大损失。
该事件再次提醒用户：即使使用硬件钱包，仍需警惕盲签与无“所见即所签”验证的风险；同时，项目方必须建立完善的链上监测与应急响应体系，才能应对日益复杂的攻击形态。
195
161
910
886
430
216
334
444
178
764
