CZ 警告加密社群注意針對 macOS 和 iPhone 的漏洞攻擊
幣安的聯合創始人及前首席執行官趙長鵬（Changpeng “CZ” Zhao）對一個針對蘋果 macOS 和 iPhone 使用者的重大漏洞攻擊發出了警報。攻擊者已積極利用這一零日漏洞來滲透設備，特別是針對基於 Intel 的 Mac，對於注重安全的用戶，尤其是加密貨幣領域的用戶，構成了嚴重威脅。
CZ 在 11 月 19 日的警告中呼籲立即更新以防止潛在的安全漏洞。根據 SecurityWeek 報導，這些被追蹤為 CVE-2024-44308 和 CVE-2024-44309 的漏洞是由谷歌的威脅分析小組（TAG）發現的，該小組以監控國家支持的網絡威脅而聞名。這些缺陷使惡意行為者能夠執行未經授權的代碼，並通過被攻擊的網絡內容發起跨站腳本攻擊。蘋果隨後發布了緊急修補程序，現在仍在進行中。
CZ 暗示加密漏洞：為何 macOS 和 iPhone 使用者頻繁成為攻擊目標？
這些漏洞影響了蘋果軟件架構的關鍵組件，對系統安全有深遠的影響。CVE-2024-44308 利用 macOS 中的 JavaScriptCore 引擎，允許攻擊者通過處理特製的網絡內容來執行任意代碼。這意味著惡意行為者可能在用戶不知情的情況下控制其設備，創造未經授權的數據訪問、惡意軟件注入或更深層的系統滲透的機會。同樣，CVE-2024-44309 針對蘋果的 WebKit 瀏覽器引擎，該引擎支持 Safari 和其他基於網絡的應用程序。這一漏洞促進了跨站腳本攻擊，這是一種黑客將惡意腳本注入合法網站或應用程序的技術。一旦執行，這些腳本可以竊取敏感數據、劫持用戶會話或將受害者重定向到釣魚網站。蘋果通過在最新的軟件更新中實施改進的狀態管理和嚴格的檢查來解決這些漏洞。該公司已針對 macOS Sequoia 15.1.1、iOS 18.1.1 和 iOS 17.7.2 發布了修補程序，並敦促所有用戶立即更新。雖然蘋果對攻擊的具體細節保持沉默，但谷歌 TAG 的發現表明可能涉及先進的威脅行為者，這些行為者可能與國家贊助的攻擊有關，例如北韓的拉撒路黑客（Lazarus North Korean Hackers）。上個月，卡巴斯基（Kaspersky）披露了北韓拉撒路集團針對加密貨幣投資者的複雜網絡攻擊，該攻擊通過一個假冒的基於區塊鏈的遊戲進行。它利用了谷歌 Chrome 的 V8 JavaScript 引擎中的零日漏洞。該組織安裝了間諜軟件以竊取錢包憑證，利用了生成式人工智能和社會工程等先進技術。
對加密生態系統的影響：情況會有多糟？
作為數字資產的保管者，加密貨幣用戶經常成為複雜網絡攻擊的目標。這類漏洞可以被武器化以提取私鑰、竊取錢包憑證或攻擊用於加密交易的瀏覽器擴展程序。近期歷史突顯了這些風險。今年早些時候，北韓黑客發起了一項針對 LinkedIn 用戶的攻擊活動，通過冒充主要公司和人員來進行。同樣，他們在今年 9 月發起了針對瀏覽器擴展和視頻會議應用程序的新攻擊。經濟利益巨大。利用零日漏洞的黑客可以攔截交易、訪問存儲的加密貨幣，甚至安裝鍵盤記錄器以監控未來的活動。此外，蘋果用戶通常被認為因公司強大的安全聲譽而免受威脅，但現在卻成為了不斷的攻擊目標。今年 4 月 15 日，Trust Wallet 揭露其已收到有關針對 iOS 用戶的高風險零日漏洞的可信情報。此漏洞可能使黑客未經授權地訪問個人數據。據報導，該漏洞在暗網上以 200 萬美元的價格出售，利用了 iMessage 中的漏洞。蘋果團隊迅速對此進行了處理，以防止事態惡化。