网络安全警告
网络安全公司Malwarebytes Labs于周二发出警告，称一个假网站冒充Pudgy Penguins新推出的Pudgy World浏览器游戏，试图窃取用户的加密货币钱包密码。Malwarebytes在一份报告中指出，这一网络钓鱼活动名为pudgypengu-gamegifts[.]live，利用高度逼真的加密钱包界面复制品来欺骗用户。
网络钓鱼活动的细节
报告的作者、资深恶意软件研究工程师Stefan Dasic表示：“一些功能与数字收藏品及存储在加密货币钱包中的游戏内物品相关。这意味着官方游戏有时会要求玩家连接加密钱包以验证物品的所有权或解锁额外功能。”
“钓鱼网站利用了这一环节：当访问者在假网站上选择他们的钱包时，它会显示看似该钱包的解锁屏幕。对用户而言，这看起来就像他们已经信任的真实加密钱包软件。”
网络钓鱼仍然是最普遍的网络犯罪形式之一。根据FBI互联网犯罪投诉中心（IC3）的数据，2024年网络钓鱼和伪造诈骗的投诉达到了193,407起，报告损失超过7000万美元。目前尚不清楚是否有人成为了该特定网站的受害者。
Pudgy World的上线
这一警告是在Pudgy World于2024年3月10日上线一周后发布的，这是一款与Pudgy Penguins NFT品牌相关的免费浏览器游戏。该游戏允许玩家探索虚拟世界，自定义企鹅头像并完成任务，其中一些功能需要用户连接加密货币钱包。
自2022年被首席执行官Luca Netz收购以来，Pudgy Penguins迅速发展，从NFT收藏扩展为更广泛的消费品牌，推出了零售产品、移动游戏以及现在的浏览器游戏。根据CoinGecko的数据，该系列的地板价为4.25 ETH（约9,500美元），远低于2024年12月的高点36.33 ETH，下降幅度达到88.3%。
攻击者的策略
Dasic表示，这一活动的时机似乎是故意的，正值游戏上线之际，吸引了大量对加密钱包安全实践不熟悉的新用户。“目标钱包的范围也相当广泛。该活动几乎没有遗漏任何钱包盲点，”他说。“无论受害者持有以太坊、索拉纳还是多链资产，都有一个令人信服的伪造品在等待他们。”
Dasic补充道：“构建11个特定钱包的用户界面伪造品并非易事，”这表明要么是“资源充足的威胁行为者”，要么是重用为这一类攻击构建的商业钓鱼工具包。这种战术在与加密相关的诈骗中很常见，攻击者注册与合法域名非常相似的域名，或操纵搜索广告以显得真实。
防范建议
例如，诈骗者可能会发送看似官方的电子邮件，使用“.qov”而不是“.gov”的域名，希望人们不会注意到这一微小的差异。Pudgy Penguins之前也曾遭到诈骗者的攻击，使用假网站进行欺诈。2024年12月，区块链安全公司Scam Sniffer警告称，攻击者利用恶意谷歌广告冒充Pudgy Penguins平台，欺骗用户连接他们的钱包。
用户被建议仅通过可信的书签访问官方网站，避免点击社交媒体或直接消息中的链接，并记住，合法的钱包密码提示不会出现在网页内容中。Malwarebytes还建议，如果在可疑网站上输入了凭据，应立即更改钱包密码，并在怀疑被泄露的情况下考虑将资金转移到新钱包中。Pudgy Penguins已被要求对此发表评论。
