加密货币从业者遭“ClickFix”诈骗攻击 骗子冒充风投机构并劫持浏览器扩展
网络安全公司Moonlock Lab于2026年3月3日发布报告，披露黑客正利用“ClickFix”技术针对加密货币用户实施新型诈骗。攻击者冒充SolidBit、MegaBit和Lumax Capital等虚构的风投机构，通过LinkedIn向潜在受害者发送合作邀请，随后引导其点击伪造的Zoom或Google Meet链接。
点击链接后，用户被跳转至伪造的Cloudflare“我不是机器人”验证页面。点击验证按钮后，恶意命令自动复制至剪贴板，并提示用户打开终端粘贴执行，从而完成攻击。Moonlock Lab指出，该技术通过迫使受害者手动执行命令，绕过传统安全防护机制，无需依赖漏洞或可疑下载。
报告称，一名名为Mykhailo Hureiev的用户被指为诈骗初期阶段的主要联系人，其身份被用于在LinkedIn上建立信任。另有两名X平台用户报告曾与该账号进行可疑交流。
与此同时，黑客还劫持了名为QuickLens的Chrome浏览器扩展。该扩展原用于在浏览器内直接调用Google Lens搜索，但在2026年2月1日变更所有权后，于2月15日发布包含恶意脚本的新版本，实施ClickFix攻击并窃取用户数据。该扩展曾拥有约7000名用户，后被从Chrome Web Store下架。
据eSecurity Planet报道，被劫持的QuickLens扩展可搜索加密钱包数据、种子短语，并窃取Gmail收件箱内容、YouTube账户信息及其他网页表单中的登录凭证与支付信息。
Moonlock Lab表示，ClickFix技术自2024年起已被广泛使用，攻击目标涵盖制造业、批发零售、政府机构及能源行业。微软威胁情报部门曾在2025年8月警告，该技术正每日攻击全球数千台企业与终端设备。Unit42公司也在2025年7月指出，该社会工程手法正影响多个关键行业。
编辑点评
此次ClickFix攻击事件凸显了当前网络威胁向高伪装性、高交互性社会工程手段演进的趋势。攻击者不再依赖传统漏洞利用，而是通过伪造专业机构身份、模仿合法验证流程，诱导用户主动执行恶意代码，从而绕过防火墙、杀毒软件等传统防御体系。这种‘人即是漏洞’的攻击模型对全球企业及个人用户构成持续性威胁，尤其在加密货币、金融科技等高价值领域更为突出。
值得注意的是，攻击者利用浏览器扩展这一看似无害的工具实施攻击，反映出供应链安全风险的加剧。QuickLens扩展被劫持事件暴露出开源生态与第三方插件审核机制的脆弱性，尤其是在所有权变更后缺乏充分安全审计。一旦此类工具被广泛使用，攻击面将迅速扩大。
从全球视角看，此类攻击正从单一技术手段演变为系统性策略，与身份伪装、社交工程、自动化工具结合，形成多阶段、可快速迭代的攻击链。各国监管机构与技术平台需加强协作，完善第三方应用审核、用户身份验证机制，并提升公众对社交工程攻击的认知。未来，企业与个人在进行线上合作时，必须对异常链接、异常验证流程保持高度警惕，建立多因素验证与安全审计流程。