加密貨幣網絡釣魚損失降 83%！EIP-7702 新攻擊手法仍活躍

2025 年加密貨幣網絡釣魚損失降至 8,385 萬美元，暴跌 83%，受害者減至 10.6 萬人。Scam Sniffer 警告生態系統仍活躍，攻擊者轉向小額高頻策略，人均損失僅 790 美元。新型 EIP-7702 攻擊單次騙走 254 萬美元。

牛市第三季成網絡釣魚重災區

損失下降並非攻擊活動減少，而是與市場週期密切相關。Web3 安全平台 Scam Sniffer 分析以太坊虛擬機（EVM）鏈上基於特徵的網絡釣魚發現，損失在鏈上活動活躍時期增加，在市場降溫時減少。2025 年第三季恰逢以太坊（ETH）年內最強勁的上漲行情，該季度網絡釣魚損失高達 3,100 萬美元，其中 8 月至 9 月的損失佔全年損失的近 29%。

報告指出：「當市場活躍時，用戶整體活動量增加，受害用戶比例也會上升——網絡釣魚的發生機率與用戶活動量呈正相關。」每月損失金額從市場最平靜的 12 月的 204 萬美元，到市場最活躍的 8 月的 1,217 萬美元，波動幅度達 6 倍。這種相關性揭示了攻擊者的精準時機選擇，他們在用戶最活躍、注意力最分散時發動攻擊。

更深層的原因是牛市期間用戶行為改變。當加密貨幣價格上漲時，FOMO（害怕錯過）情緒驅使用戶頻繁交易新代幣、參與空投和流動性挖礦，這些活動需要頻繁簽署授權，為網絡釣魚創造更多機會。攻擊者利用用戶在興奮狀態下的判斷力下降，透過偽造熱門項目網站、假冒官方 Discord 頻道等手段誘騙簽名。

第三季的高峰還與以太坊 Pectra 升級有關。新協議功能的推出往往伴隨用戶教育不足，攻擊者迅速利用這個窗口期開發新型攻擊手法。這種「技術創新帶來安全窗口」的模式在加密貨幣歷史上屢次出現，從 DeFi 夏天到 NFT 熱潮，每次技術突破都伴隨著新型詐騙的湧現。

EIP-7702 打開潘朵拉的盒子

2025 年標誌著新攻擊途徑的出現。基於 EIP-7702 的惡意簽章在以太坊 Pectra 升級後不久便出現，攻擊者利用帳戶抽象機制，將多個惡意操作捆綁到一個用戶簽章中。8 月發生的兩起重大 EIP-7702 攻擊事件造成了 254 萬美元的損失，凸顯了攻擊者對協議層面變化的適應速度之快。

EIP-7702 原本是為了改善用戶體驗而設計的技術升級，允許外部擁有帳戶（EOA）臨時轉換為智能合約帳戶，實現批量交易和社交恢復等功能。然而，這種靈活性被攻擊者武器化。他們偽造看似正常的授權請求，但實際上在單個簽名中隱藏了多個惡意操作，例如授權代幣轉移、修改帳戶權限和設置惡意代理。

更危險的是，EIP-7702 攻擊的隱蔽性極高。傳統網絡釣魚通常涉及明確的代幣授權，經驗豐富的用戶能識別異常。但 EIP-7702 攻擊可以偽裝成合法的帳戶升級或批量交易授權，即使是技術用戶也可能被騙。錢包界面對這類複雜操作的顯示往往不夠清晰，用戶難以理解簽名的真實含義。

254 萬美元的損失雖然不算巨額，但這只是新手法的初期試探。Scam Sniffer 研究人員警告，隨著更多錢包和 DApp 整合 EIP-7702 功能，這類攻擊的規模和頻率可能大幅上升。攻擊者正在學習和優化這種手法，未來可能出現更精巧的變種。

從孤狼獵殺到漁網捕撈的策略轉變

加密貨幣網絡釣魚的策略轉變背後有深刻的經濟邏輯。大額攻擊雖然單筆收益高，但風險也大。受害者更可能報警、聘請鏈上分析公司追蹤資金，攻擊者面臨更高的曝光和法律風險。相反，小額高頻攻擊雖然單筆收益低，但受害者往往選擇自認倒霉而非追究，執法機構也缺乏資源調查每筆小案件。

更重要的是，小額攻擊的可擴展性更強。攻擊者可以透過自動化工具同時運行數百個釣魚網站，使用 AI 生成逼真的釣魚郵件和社交媒體訊息，批量處理受害者。這種「工業化」的詐騙模式降低了單次攻擊的成本，提高了整體效率。報告總結道：「排水生態系統仍然活躍——隨著舊的排水者退出，新的排水者將出現填補空缺。」

2025 年網絡釣魚攻擊模式三大轉變

大案件數量銳減：2025 年僅有 11 起案件損失超過 100 萬美元，低於 2024 年的 30 起。最大單筆釣魚攻擊發生在 9 月，涉案金額 650 萬美元，涉及惡意 Permit 簽名。

受害者人均損失暴跌：平均每位受害者損失降至 790 美元，較前年大幅下降。這顯示攻擊者從針對「大戶」的精準狩獵，轉向針對散戶的廣撒網策略。

Permit 授權仍是主力：在損失超過 100 萬美元的事件中，基於 Permit 和 Permit2 授權的攻擊佔總損失的 38%，證明這種手法依然有效且被廣泛使用。

地址投毒與多重簽名漏洞成新焦點

2025 年 12 月加密貨幣相關的駭客攻擊和網絡安全漏洞造成的損失降至約 7,600 萬美元，較 11 月的 1.942 億美元下降了 60%。PeckShield 記錄了當月發生的 26 起重大事件，顯示儘管攻擊活動依然持續，但整體損失卻放緩。

最大的一起案件涉及 5,000 萬美元的地址投毒詐騙，攻擊者使用相似的錢包地址誘騙受害者將資金轉移到其他帳戶。這種攻擊利用了人類視覺的局限性，大多數錢包地址顯示為前幾位和後幾位字元，中間部分被省略。攻擊者生成與目標地址前後字元相似的地址，向受害者發送小額代幣製造交易記錄，當受害者複製地址時可能誤選攻擊者地址。

另一起事件中，由於與多重簽名錢包相關的私鑰洩露，損失了 2,730 萬美元。多重簽名錢包理論上更安全，需要多個簽名者批准交易。但若私鑰管理不當，例如儲存在雲端、透過不安全管道分享，或被內部人員洩露，多重簽名的保護就形同虛設。這起案件提醒，技術方案的安全性最終取決於人的操作。

網絡釣魚損失雖然下降 83%，但這並非戰爭結束的訊號。Scam Sniffer 的結論清晰：生態系統依然活躍，攻擊者只是改變了戰術。隨著下一輪牛市到來，損失可能再次飆升。