Government cyber agencies around the world are rushing to clamp down on what appears to be an advanced and sophisticated espionage campaign targeting popular security software used by remote workers.  

WatchGuard has released security updates to address a remote code execution vulnerability impacting the company's Firebox firewalls.

Kids are making a mark in the U.K.'s cybersecurity arena, and not in the way their parents want them to.

The Czech Republic's National Cyber and Information Security Agency (NUKIB) is instructing critical infrastructure organizations in the country to avoid using Chinese technology or transferring user data to servers located in China.

声明由美国牵头，获得包括澳大利亚、纽西兰、英国、捷克、芬兰、德国、意大利、日本、荷兰、波兰、西班牙及加拿大通信安全局在内的国际情报机构联合签署。

据华尔街日报报道，知情人士透露，去年七月，在特朗普政府与中国即将在瑞典展开激烈贸易谈判之际，众议院负责对华竞争事务的委员会工作人员开始收到一些令人困惑的询问邮件， 多家贸易组织、律师事务所和美国政府机构都收到了一封貌似来自委员会主席、密歇根州共和党众议员约翰·穆勒纳的邮件，内容是征求他们对一项拟定针对北京的制裁法案的意见。 邮件中写道：“你们的意见至关重要”，并邀请这些机构审阅随邮件附上的法...

Hackers are increasingly using a new AI-powered offensive security framework called HexStrike-AI in real attacks to exploit newly disclosed n-day flaws.

The U.S. National Security Agency (NSA), the UK's National Cyber Security Centre (NCSC), and partners from over a dozen countries have linked the Salt Typhoon global hacking campaigns to three China-based technology firms.

The Netherlands' National Cyber Security Centre (NCSC) is warning that a critical Citrix NetScaler vulnerability tracked as CVE-2025-6543 was exploited to breach "critical organizations" in the country.

At the Defcon security conference in Las Vegas on Friday, Nakasone tried to thread the needle in a politically fraught moment while hinting at major changes for the tech community around the corner.

Running JavaScript from inside an image? What could possibly go wrong?

Ron Deibert, the head of the prominent digital human rights groups Citizen Lab, sounds the alarm at the Black Hat security conference about the "dramatic descent into authoritarianism," but one that the cyber community can help to defend against.

2025年6月23日，硬件钱包生产商Trezor发布了一则紧急安全警告，提醒用户注意一波通过其官网联系表单发送的钓鱼邮件。这些伪装成官方客户支持回复的邮件，试图诱导用户泄露钱包备份或种子短语（seed phrases），对用户的加密资产安全构成严重威胁。这起事件不仅暴露了网络犯罪分子日益狡猾的手段，也再次敲响了加密货币用户自我保护的警钟。以下，我们将深入探讨此次事件的前因后果，并为你提供保护资产安全的实用建议。 事件始末：Trezor联系表单被滥用 根据Trezor官方声明，攻击者利用其官网的联系表单，伪装成用户提交支持请求，触发了自动回复系统生成看似合法的客户支持邮件。这些邮件表面上与Trezor官方通信无异，但实际上是精心设计的钓鱼陷阱，旨在诱导用户分享敏感信息，如钱包备份或12至24字的恢复种子短语。Trezor强调，其官方绝不会通过邮件索要钱包备份，用户的备份信息应始终保持离线和私密。 好消息是，Trezor迅速采取行动，确认此次事件未涉及电子邮件系统或用户数据的直接泄露，联系表单的安全问题也已得到控制。Trezor在X平台上发布公告，呼吁用户保持警惕，并正在研究防止未来类似滥用的措施。 此次攻击并非孤立事件。就在几天前，加密货币价格追踪平台CoinMarketCap和Cointelegraph均遭遇前端漏洞，显示恶意弹窗，诱导用户连接钱包或参与虚假代币空投。这些事件表明，加密行业正面临一波针对用户信任的社会工程攻击浪潮。 钓鱼邮件如何运作？ Trezor的钓鱼邮件利用了用户对官方支持的信任，堪称“Web2式”社会工程攻击的典型案例。具体手法如下： 伪装合法来源：攻击者通过联系表单提交虚假请求，触发Trezor的自动回复系统，生成带有官方标识的邮件。这些邮件可能提及“支持请求”或“账户安全问题”，营造紧迫感。 诱导泄露信息：邮件主体通常包含钓鱼链接或要求用户提供钱包备份、种子短语、密码或双重认证（2FA）代码。一旦用户遵从，攻击者即可完全控制钱包，转移所有资金。 利用已有数据：据推测，攻击者可能结合了此前泄露的用户数据（如2024年1月Trezor支持门户泄露的66,000用户联系信息），精准锁定目标。 Trezor在其官方博客中指出，硬件钱包的安全性依赖于用户对恢复种子的保护。一旦种子短语泄露，攻击者无需物理访问设备即可清空钱包。 Trezor的应对与行业背景 Trezor迅速遏制了此次攻击，并通过X平台和官网向用户传达了关键信息： 无邮件系统泄露：攻击仅限于联系表单的滥用，未涉及Trezor的邮件服务器或数据库。 用户教育：Trezor重申，任何要求提供钱包备份的通信均为诈骗，提醒用户通过官方渠道（如trezor.io）验证所有信息。 持续改进：公司正在开发更强大的防护机制，以防止类似漏洞被再次利用。 然而，Trezor并非首次遭遇钓鱼攻击。2022年，其Mailchimp订阅者名单被黑客窃取，导致用户收到虚假“数据泄露”通知；2024年1月，66,000名用户支持的联系信息被泄露，引发新一轮钓鱼邮件。这些事件表明，硬件钱包厂商不仅是技术堡垒，也是黑客眼中的高价值目标。 行业内类似事件频发。例如，2020年Ledger遭遇大规模数据泄露，27万用户个人信息被公开；MetaMask和Trust Wallet也多次被假冒支持渠道攻击。这些案例揭示了社会工程攻击的普遍性，即使硬件钱包本身安全，用户行为仍是最大变量。 如何保护你的加密资产？ 面对层出不穷的钓鱼攻击，保护加密资产需要用户保持高度警惕并采取以下措施： 永不分享种子短语： 恢复种子是访问钱包的唯一钥匙，绝不在线输入或通过邮件、电话分享。 将种子短语存储在离线环境中，如Trezor推荐的金属备份设备，远离网络和摄像头。 验证通信来源： 仅通过官方渠道（如 书签官方Trezor网页钱包（ 保持软件更新： 定期更新Trezor Suite和设备固件，但仅通过官方桌面应用执行更新，切勿点击邮件中的链接。 识别钓鱼红旗： 任何声称“账户被入侵”或要求“紧急操作”的通信均为可疑。 检查邮件发送地址，注意细微拼写差异（如“trẹzor”与“trezor”）。 报告可疑行为： 如果收到疑似钓鱼邮件，可通过Trezor官网的聊天机器人Hal报告，输入“I want to report phishing”并按指引操作。 使用强密码和多重保护： 为钱包设置独特、复杂的密码短语（passphrase），并在Trezor设备上输入，而非电脑。 启用双重认证，但警惕任何要求提供2FA代码的邮件或电话。 社区反响与未来展望 Trezor的最新警告在X平台上引发热议。用户 @CryptosR_Us强调：“永远不要分享钱包备份，保持敏锐！” @PANewsCN则提醒中文社区注意助记词和私钥的离线保护。社区对Trezor快速响应的认可度较高，但也有人质疑联系表单为何如此容易被滥用，呼吁更严格的安全措施。 从更广的视角看，加密行业正处于高速发展与安全挑战并存的阶段。随着比特币等资产价值飙升（2025年6月，一枚比特币价值约7.3万美元），黑客的攻击动机愈发强烈。 社会工程攻击的低成本和高回报使其成为主流威胁，而用户教育仍是防御的关键。 Trezor此次事件虽未造成重大损失，但提醒我们：硬件钱包的“冷存储”优势只有在用户行为安全的前提下才能发挥作用。未来，Trezor和其他厂商可能需要投入更多资源，优化支持系统、加强AI驱动的反钓鱼技术，并与社区合作提升用户安全意识。 结语 Trezor的钓鱼邮件事件是加密货币安全领域的一个缩影。尽管技术日新月异，社会工程攻击依然是用户资产的最大威胁。正如Trezor在X上所言：“安全是一个持续的过程，保持警惕至关重要。” 作为加密资产的持有者，你是自己资金的最终守护者。面对伪装成官方支持的钓鱼邮件，保持怀疑、验证来源、保护种子短语是不可妥协的底线。你是否收到过类似的钓鱼邮件？有哪些保护资产的经验可以分享？欢迎在评论区交流！ 免责声明：本文仅供信息参考，不构成投资建议。加密货币市场存在高风险，请在操作前充分了解并谨慎决策。