币安联合创始人赵长鹏（Changpeng Zhao）警告加密货币用户警惕一个欺诈性的Trust Wallet网站，该网站旨在诱骗访客连接其钱包；与此同时，另有报道对一起针对iPhone用户、涉及110万美元的漏洞利用事件表示担忧。
摘要
- 币安联合创始人赵长鹏警告用户警惕一个假冒的Trust Wallet网站，该网站以审查转账为借口，诱骗访客连接其加密货币钱包。
- 安全研究员Anurag发现，该恶意网站支持Trust Wallet、Phantom和OKX Wallet，并包含能够扫描钱包余额并准备向预设地址转账的代码。
- 该研究员表示，在检查该网站时，交易签名功能已被禁用，尽管其JavaScript包含准备加密货币转账所需的组件。
- 另有报道称，一名攻击者通过一个影响运行iOS 18.5设备的漏洞，从Trust Wallet用户处窃取了约110万美元，并敦促用户更新其操作系统。
在X上运营Malwarehunter账号的安全研究员Anurag于11月5日发现了这个可疑网站，并公布了用于与加密货币钱包交互的恶意JavaScript的详细信息。
该网站托管于trastwallet[.]cam，冒充Trust Wallet，并向访客提供一个据称允许他们在批准加密货币转账之前进行审查的服务。
赵长鹏分享了该研究员的发现给他的关注者，并警告用户密切关注网站地址。
“外面有更多钓鱼网站…….cam不是.com。要小心！”赵长鹏写道。
此警告发出之际，另有说法称攻击者通过一个影响运行iOS 18.5设备的漏洞，从Trust Wallet用户处窃取了约110万美元。
假冒Trust Wallet网站支持三大加密货币钱包
根据Anurag的技术发现，该欺诈网站包含旨在与Trust Wallet、Phantom和OKX Wallet交互的JavaScript，使其运营者能够针对多个加密货币钱包服务的用户。
一旦访客连接其钱包，该脚本便可通过后端应用程序编程接口扫描其加密货币余额，并准备向代码中已指定的收款地址转账。
该研究员识别出了该操作的两个组成部分，包括一个钱包扫描端点和一个负责处理钱包连接的JavaScript集成文件。
该网站的截图显示了一个标题为“审查您的钱包转账”的页面，配有数字支付卡设计和一个醒目的按钮，要求访客连接其钱包。
该页面声称转账将发送至所列的接收地址，并宣传每项资产限额从1美元到5,000美元不等。
另一个屏幕将该服务描述为自动资产审查流程，并分别提及网络费用、独立转账限额和钱包授权。
尽管代码包含准备交易所需的组件，但Anurag报告称，在他检查该网站时，交易签名功能已被禁用。
这些发现描述了一个能够识别钱包余额并准备交易的钓鱼操作，而被禁用的签名功能限制了该脚本已识别版本所能执行的操作。
Trust Wallet 用户面临另一起 iOS 漏洞指控
与此同时，11 月 5 日流传的另一则警告称，一名身份不明的攻击者通过针对苹果 iOS 18.5 操作系统的漏洞，从 Trust Wallet 用户处窃取了约 110 万美元。
该说法由 X 账号 Emperor.SOL 分享，其称此次攻击可从受影响设备中提取受害者的钱包助记词。
根据该帖子，Trust Wallet 客服曾敦促用户立即更新其操作系统。
“请尽快更新 iOS，”该账号援引客服警告称。
该帖子包含一张加密货币转账截图，涉及币安充值地址和热钱包，其中多笔交易以 USDT 计价。
展示的转账包括 500,000 USDT、100,000 USDT 和 190,000 USDT 的金额，不过该截图并未证实这些交易与所称的 iPhone 漏洞之间存在何种关联。
另外，安全研究人员此前已发现针对较旧 iOS 版本的攻击，这些攻击可从加密货币应用程序中提取敏感信息。
今年 3 月，来自 Google、Lookout 和 iVerify 的研究人员发现了 DarkSword 漏洞，该漏洞通过受感染的网站针对存在漏洞的 iPhone，并可能泄露加密货币钱包信息。
苹果随后通过软件更新修复了这些漏洞，并建议用户保持设备更新。
Trust Wallet 已遭遇多起安全事件
最新的警告发布之前，近几周已出现多起涉及 Trust Wallet 用户的安全投诉。
11 月 4 日，crypto.news 报道了一名用户的投诉，称其钱包中有 3,830 USDT 在未经任何交易批准或警告的情况下消失。
该用户 Iaroslav Dubovoi 表示，他在打开应用程序后发现资金缺失，随后发现区块链记录显示该加密货币已被转出。
另一名用户声称，有人在 NEAR Protocol 的 Discord 服务器上冒充客服代表，掏空了他的钱包，所报告的转账涉及多种加密货币。
Trust Wallet 此前曾于 10 月 28 日警告过一个欺诈性加密货币卡网站，此前研究人员发现一个未经授权的服务以该公司品牌名义宣传高级支付福利。
该虚假服务承诺 100,000 美元的消费额度、高达 8% 的返现奖励，以及仅需 1 美元即可发卡，但要求访客连接其加密货币钱包。
自称是 Trust Wallet 安全团队成员 James Bro 确认，该网站与公司无关，并引导用户前往其官方渠道。
更早之前，在 2025 年 12 月，Trust Wallet 遭遇了一起涉及 Chrome 浏览器扩展 2.68 版本的安全事件，该版本包含可泄露敏感钱包信息的恶意代码。
攻击者利用受感染的扩展从受影响用户处窃取加密货币，据报道损失最终达到数百万美元。
前币安 CEO 赵长鹏随后表示，在公司调查该事件期间，受影响用户将获得赔偿。
涉及旧款智能手机的安全担忧已超出钱包提供商自身软件的范围。11 月 1 日，OneKey 创始人王一石警告了影响旧款 iPhone 机型的安全弱点。
王一石指出了影响 iPhone 4S 至 iPhone 11 以及第二代 iPhone SE 设备的硬件漏洞，并解释称某些弱点无法通过普通的操作系统更新来修复。
他建议曾在存在漏洞的设备上暴露过助记词的加密货币持有者生成新的助记词，并将资产转移到新近获得安全保障的钱包中。
