美国官员联合CrowdStrike打击加密货币盗窃恶意软件

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

美国联邦执法机构联合CrowdStrike及国际伙伴打击Sality恶意软件生态系统

美国联邦执法机构在网络安全公司CrowdStrike及国际合作伙伴的配合下，宣布开展一项针对Sality恶意软件生态系统的打击行动。据当局称，这一感染链条已持续二十余年，被用于窃取加密货币和实施网络攻击。

美国司法部在周二发布的公告中表示，通过保加利亚、匈牙利和罗马尼亚官方机构以及私营部门合作伙伴CrowdStrike和Shadowserver基金会的共同努力，该部门已成功瓦解Sality僵尸网络及相关恶意软件。司法部指出，Sality与可追溯至2003年的长期入侵活动有关，包括在受感染设备上安装恶意软件。

核心要点

美国司法部表示，通过协调一致的国际行动，Sality僵尸网络和恶意软件基础设施已被瓦解。CrowdStrike报告称，基于剪贴板的“剪贴劫持”技术被用于将加密货币地址替换为攻击者控制的地址。据CrowdStrike统计，Sality背后的实体在过去八年中至少窃取了1210万卢布（约合15万美元）。当局描述了一个由约1.5万台受感染计算机组成的点对点僵尸网络，该网络定期检查目标是否在线。在行动期间，Sality的操控者据称失去了与受感染机器的通信能力。

剪贴板劫持对加密货币安全的影响

报道中最关键的信息在于盗窃是如何实施的。CrowdStrike表示，在过去八年中，操控者使用了一种名为EggJagger的剪贴劫持工具，该工具监控受害者剪贴板中的加密货币钱包地址，然后悄然将其替换为攻击者控制的地址。

实际上，这种机制针对的是用户的常见行为：在发送资金时复制粘贴钱包地址。据CrowdStrike称，当受害者复制比特币或以太坊地址以完成支付时，资金会被重定向至被替换的地址。这类攻击尤其具有破坏性，因为它不需要受害者签署恶意交易或与虚假网站交互。相反，它在地址输入环节就破坏了交易流程——这意味着依赖剪贴板复制粘贴的用户，即使从未有意识地与恶意软件提示或钓鱼页面交互，也可能上当受骗。

Sality行动的规模及报告影响

在关于此次打击行动的报告中，CrowdStrike表示，剪贴劫持手法在其描述的期间内至少窃取了1210万卢布（约合15万美元）的加密货币。该公司还强调，被盗资产“从未被花费”，意味着在观察期内，这些被扣押的数字资金从未被后续使用或从攻击者关联的地址中转出。

该公司进一步指出，这些“从未被花费”资产的价值在2025年1月达到约150万美元的峰值，这让人了解到一旦运营性盗窃流程持续运行，存储的收益可能达到何等规模。

虽然报告中的盗窃金额和峰值估值仅反映了CrowdStrike在其分析中的观察结果，但它们有助于说明为何瓦解僵尸网络的通信渠道至关重要：如果操控者无法可靠地控制或维持感染，他们触发地址替换和收集资金的能力就会减弱。

僵尸网络如何运作——以及此次行动改变了什么

美国官员和CrowdStrike都将Sality描述为一个点对点僵尸网络。据该公司称，该网络包含约1.5万台受感染计算机，每40分钟检查一次系统是否在线。这种定期连接有助于确保恶意软件操控者能够持续掌握感染状态，并在可能的情况下继续恶意操作。

在当局采取行动后，CrowdStrike表示犯罪分子“失去了与受感染机器的通信能力”。在僵尸网络运营中，这种损失往往是决定性的：即使受感染设备暂时保留，切断指挥控制通信也会削弱恶意软件协调、更新和执行其最有利可图功能的能力。

美国司法部的公告将此次行动描述为针对Sality恶意软件及相关僵尸网络基础设施的更广泛打击的一部分，而不仅仅是清除个别感染。对于加密货币用户而言，关键信息是这类活动可能长期存在——司法部称Sality自2003年以来就负责在受感染设备上安装恶意软件——因此执法行动和技术性瓦解对于缩小攻击者的操作空间至关重要。

投资者和用户应关注什么

此次打击行动凸显了加密货币盗窃活动如何越来越多地将恶意软件分发与剪贴板劫持等人类工作流程攻击相结合。用户应将剪贴板地址替换视为真实威胁——尤其是在发送比特币或以太坊资金时——并考虑通过带外方式验证接收地址（例如，将粘贴的地址与可信来源进行核对，或使用钱包软件中的验证步骤）。

展望未来，一个悬而未决的问题是，如果攻击者与受感染机器的通信能力受到限制，他们将如何适应。随着Sality基础设施瓦解的影响波及犯罪活动，读者应关注后续的恶意软件变种、新的剪贴板劫持工具，或犯罪分子维持对受害者设备访问方式的更广泛变化。