你的加密钱包，正在被系统性围猎

最近几天，三起看似互不相干的安全事件被相继披露：16个伪装成加密钱包的恶意 Firefox 扩展被 Mozilla 下架；一个名为 DarkSword/Coruna 的 iOS 窃密平台因服务器配置失误而暴露；针对酒店业的钓鱼攻击甚至开始用公链来做命令与控制（C2）。表面上是三种手法，底层却是同一套逻辑——攻击者已经把"偷加密资产"做成了标准化生意。这篇文章，我们把这批拼图放在一起看。

🦊 浏览器扩展：助记词的"最后一米"

金句先放这里：在加密世界里，你的助记词不是密码，是全部身家本身。

据安全研究机构 Socket 10月7日发布的报告，16个恶意 Firefox 扩展伪装成加密钱包的门户、桌面工具和浏览器插件，专门在用户"导入钱包"的瞬间截获恢复短语（Seed Phrase）和私钥，随后把数据传送到攻击者控制的 Cloudflare Workers 上。到2026年10月5日，Mozilla 已将这些扩展全部下架。

这批扩展的狡猾之处在于时机选择。钱包类应用几乎都会提示用户"切勿在任何网页输入助记词"，于是用户养成了高度警惕——但当一个看起来可信的"钱包助手"扩展请求权限时，警惕心往往会松一档。攻击者要的不是攻破钱包本身，而是卡住用户输入助记词的那一秒。

用 Cloudflare Workers 作为回传通道，同样是个信号：正规云服务的域名可信度高、流量加密、难以被网络侧特征识别，攻击者等于在借合法基础设施的"壳"。

攻击链路大致如下：

产业逻辑很清楚：扩展商店本质上是低门槛的分发渠道，审核以"行为描述"和"权限声明"为主，很难在静态分析中识别"只在特定页面捕获输入"的恶意逻辑。对防御方而言，结论只有一条——助记词永远不应该出现在任何联网的浏览器环境里。硬件钱包、离线签名，是这条攻击面上目前唯一靠谱的答案。

📱 暴露的服务器：一个窃密平台的"内部账本"

如果说恶意扩展是零售级攻击，Censys 研究人员这次挖出来的，是一个批发级的作案现场。

五个暴露目录的服务器，揭示了 DarkSword/Coruna 平台的完整运转状态：这是一套针对 iPhone 的攻击基础设施，包含投递系统、植入体、钱包注入模块，以及分销商控制面板。更扎眼的是一台生产服务器上的捕获内容：11 条受害者恢复短语、179 个设备战利品目录、75 个控制面账号。

几个数字值得反复咀嚼：

"分销商控制面板"和75个账号这两个细节，比技术细节本身更值得行业警惕。多位长期跟踪地下市场的从业者有个共识：加密资产窃取已经是典型的Malware-as-a-Service（恶意软件即服务）形态——平台方提供植入、注入、回传能力，"渠道商"负责引流和分发，按战果分成。这次暴露的不是一家公司的服务器，而是一条微型供应链的工商注册信息。

比例悬殊是有信息量的：179台设备里最终只沉淀出11条助记词，说明钱包注入的成功率并不高——这也解释了为什么攻击者要铺量、要发展分销。单点成功率低，就用规模化补。

产业判断：iOS 端的加密资产窃取正在从"定向高级攻击"下探为"可购买的批量服务"。对普通用户的启示是，iOS 的安全边界并不天然覆盖"你主动导入的每一个钱包"；对企业的启示则是，BYOD 环境下员工手机上的加密钱包行为，应该进入移动安全管理的视野。

🏨 假差评、真木马：区块链成了 C2 的"避风港"

第三个故事的主角换成了酒店业，手法也更社会工程化。

据 Cofense 的分析，攻击者伪造客人投诉和差评邮件，针对酒店从业人员投递两族恶意软件：EtherRAT 和 TONResolver。这两族样本的共同点是——滥用公共区块链来定位 C2 基础设施。攻击者把 C2 地址写进链上，恶意软件去链上"读信"，再连接真实的控制端。

Cofense 以中等置信度评估，该活动是此前以 Booking.com 为主题的钓鱼行动的延续：相似的邮件模板、一致的住宿行业定向，把几波攻击串了起来。

这一手法为什么值得单独立一节？因为它解决的是攻击者最头疼的存活性问题。传统 C2 靠域名和 IP，威胁情报厂商封一个少一个；而区块链账本不可篡改、全球可达、匿名写入。攻击者换 C2，不再需要重新分发样本，只需要在链上换一条记录。

对安全团队而言，这意味着一个新课题：面向公链节点的出站流量，需要被当作潜在 C2 通道来监控。对酒店这类行业，则是老问题的老答案——员工对"客人投诉""平台通知"类邮件的警惕性培训，依然是性价比最高的防御投入。

🧭 把三件事放在一起看

三起事件，三种攻击面，一个共同的目标物：私钥与助记词。把它们放进同一个坐标系，趋势会更直观：

右上角的两个象限——仿冒扩展和移动端钱包注入——才是当前加密资产窃取的主战场。它们技术门槛不算最高，但商业价值极高，因为直击资产本体。

而支撑这一切的，是水面之下的分工体系：

我们只看到水面上的一起起事件，真正决定攻防走势的是水面下的基础设施化：借用合法云、发展分销、用区块链抗封锁。这三件事分别对应供应链信任、地下经济组织和基础设施弹性三个防御命题，任何一件单靠端点软件都解不了。

给从业者三条务实的建议：一是把"钱包类扩展"纳入浏览器管控的默认 deny 名单，企业环境尤其如此；二是移动端把助记词操作视为最高敏数据事件，全链路审计；三是网络出口监控中为公链节点流量建立基线，异常出站即告警。

结语

Mozilla 下架16个扩展、Censys 曝光五个服务器、Cofense 拆解两族区块链木马——这三份报告放在一起读，结论并不焦虑，反而冷静：攻击没有变魔术，只是变得更像一门生意。生意的规律是，供给会追逐需求，而防御要打的是链条不是单点。2026年接下来的观察重点，应该是这类"平台化窃密"何时出现更完整的第三方生态证据——如果分销面板继续暴露，我们看到的就不止是攻击，而是一个可以量化的地下市场。