突如其來的下降，但Drainer仍然潛藏：2025年加密貨幣詐騙手法的危險真相

2025年以一則對加密社群來說令人振奮的消息開始：錢包釣魚（phishing）劫持攻擊似乎已經「大幅後退」。根據 Scam Sniffer 對於在 EVM 區塊鏈上的活動報告，劫持者造成的損失已經下降83%，至8,385萬美元，遠低於2024年的4億9,400萬美元的驚人數字。受害者數量也下降68%，僅剩106人受影響。乍看之下，反犯罪的努力似乎取得了顯著成效。然而，這些數字背後卻隱藏著一些不太樂觀的現象。

大幅下降的統計數據——但劫持者已改變策略

83%的下降數字聽起來相當驚人，但這主要反映了攻擊團隊行為的轉變，而非他們的「消失」。2025年第三季度報告的重大損失中，僅劫持者造成的損失就達到3100萬美元，佔全年總損失的近29%。8月是高峰，損失達到1217萬美元，而12月則降至204萬美元。

9月的Permit phishing攻擊事件，價值650萬美元，證明劫持團隊並未停止。相反，他們變得更加狡猾，利用數字簽名和批准機制來進行攻擊。Permit和Permit2的批准目前佔所有超過100萬美元損失案件的38%，這些「後門」讓攻擊者能夠只需一點擊就掌控全部資產，十分得手。

從大戶到散戶：劫持者已改變攻擊目標

劫持團隊的一個重要策略轉變是，他們不再只專注於「大戶」（持有大量資產的投資者）。超過100萬美元的重大案件數量已從2024年的30起減少到11起。然而，每位受害者平均損失金額卻只剩下約790美元。

這顯示劫持者正轉向「大量生產」——不再從少數富有的受害者身上獲利，而是瞄準大量普通用戶。這種做法可能收益較低，但穩定且能擴大規模。Scam Sniffer 警告，當舊有的劫持團隊消失或被曝光時，新團隊會立即出現取代，形成一個持續進化的犯罪生態系。

升級 Ethereum Pectra：劫持者的新漏洞

隨著 Ethereum 推出 Pectra 升級，一個更大的擔憂出現了。新引入的簽名機制 EIP-7702 旨在支援帳戶抽象（account abstraction），這是一項旨在改善用戶體驗的技術。然而，也為劫持者提供了新的攻擊機會。

8月已發生兩起與此技術相關的大型攻擊，總損失達到254萬美元。安全專家指出，網絡犯罪的適應速度遠快於政府或大型金融機構的反應速度。此外，PeckShield 報告稱，12月的加密貨幣黑客事件總損失較11月的1億9420萬美元下降60%，但私有多重簽名（multi-sig）漏洞造成的損失達到2730萬美元，還有一宗地址中毒（poisoning）事件價值五千萬美元。

劫持釣魚仍潛藏威脅——危險始終存在

儘管損失有所下降，但劫持釣魚仍將持續發展。趨勢顯示，市場行情上漲時，受害者數量和損失也會同步增加。每當 Ethereum 或其他區塊鏈升級新技術，攻擊團隊就會找到相應的漏洞來利用。

事實上，詐騙生態系持續像一個「自我調整機制」：行情上漲，威脅升高；行情低迷，活動減少。但重要的是，劫持者永遠不會完全消失。新團隊不斷出現，手法持續改進，恐懼也在加密世界的陰影中潛伏。

為了避免成為下一個受害者，用戶必須比以往任何時候都更保持警覺。不要輕信過快的驗證連結，務必仔細檢查批准交易，並持續更新對最新釣魚手法的認識。只有如此，才能最大程度降低被劫持者和其他安全威脅的風險。