2025-12-21 22:48:18

Venus协议1300万美元被盗事件深度解析：钓鱼攻击与安全漏洞暴露

摘要

2025年9月2日，Venus协议用户因遭遇精心策划的钓鱼攻击，导致约1300万美元资产被转移。慢雾安全团队通过MistEye工具捕获异常，揭示攻击者利用开发者模式篡改钱包扩展代码，结合社会工程学手段完成资产劫持。尽管攻击者完成头寸接管，但Venus团队迅速暂停协议并强制清算，成功追回资金。

事件背景

2025年9月2日，社区用户 @KuanSun1990 在 Venus 协议上的多个头寸被恶意转移，损失金额约为1300万美元。慢雾（SlowMist）自主研发的 Web3 威胁情报与动态安全监控工具 MistEye 成功识别该异常行为，并协助开展链上分析。此次事件凸显了当前 DeFi 用户在资产存储与交易过程中的重大安全隐患。

(https://x.com/SlowMist_Team/status/1962854755585429877)

根本原因：社会工程学与浏览器扩展篡改

攻击者以商务合作为由，诱导目标用户加入伪造的 Zoom 在线会议。受害者在未核实域名的情况下匆忙接入，随后在其电脑上运行了恶意代码，导致设备被远程控制。由于部分记录已被清除，还原完整攻击路径存在挑战。

关键问题在于，用户使用的是知名官方扩展钱包，却在硬件钱包盲签状态下签署了被篡改的交易。原本应发起的 redeemUnderlying 操作，被替换为 updateDelegate 操作，致使头寸被委托给攻击者。

攻击技术细节：如何绕过Chrome扩展验证机制？

Chrome 浏览器对从官方商店下载的扩展具备完整性校验机制，一旦代码被修改即会提示“已损坏”。因此，攻击者不可能直接篡改官方扩展文件。

经慢雾团队研究，存在两种可能实现方式：

在 Chrome 开发者模式下，复制官方扩展源码并导入浏览器，可生成一个与官方扩展 ID 一致、但代码可自由修改的新扩展。该机制依赖于 manifest.json 文件中的 key 保持不变。
通过 Patch Chrome 内部函数，全局关闭扩展内容完整性检查。此操作在 macOS 上需重新签名方可运行，但可行性较高。

以上方法目前仅为推测，尚无确凿证据证明攻击者实际采用。然而，其手法高度依赖于用户对开发环境的认知盲区与信任误判。