一名用户表示，通过谷歌赞助广告推广的Trezor钓鱼诈骗 reportedly 已经耗尽了他的全部积蓄。在其他地方，BTCPay Server发布了针对一个已经在积极利用中的关键漏洞的紧急补丁。
这两个事件发生在大约24小时内。两者都没有触及比特币（BTC）协议本身，但都直接将用户资金置于风险之中。
谷歌广告将受害者引导至Trezor钓鱼网站
这名受害者在X（推特）上以David的名义发帖，指责周四的一个赞助搜索广告。根据报告，该广告将一个伪造的Trezor页面（托管在谷歌网站上）放在了钱包制造商的真实网站之上。
任何在该页面输入恢复种子的用户都将钱包的完全控制权交给了攻击者。
链上数据表明，报告中标记的钱包在80笔交易中收到了24.04 BTC。这笔收入在比特币当前价格约为65,172美元时大约等于160万美元。然而，几乎所有资金都已转移，仅剩约0.04 BTC。
Trezor表示已在内部升级了此案件，并报告该页面以请求下架。
团队呼吁：“对于所有阅读此文的人：始终验证您正在使用官方的Trezor网站，绝不要在网站或表单中输入您的钱包备份。”
硬件本身从未被攻破。攻击之所以成功，是因为种子离开了设备。这个攻击手法与一个假冒的Uniswap钓鱼网站相似，该网站在5月从钱包中窃取了40万美元。
BTCPay Server紧急推出针对被利用漏洞的补丁
与此同时，BTCPay Server，这款让商家直接接受比特币支付的开源软件，周五发布了自己的警告。
在X上关注我们，获取最新新闻动态
团队告诉运营商立即更新到版本 2.4.2，或者在能够更新之前关闭服务器。
项目的发布说明中指出：“此版本修复了一个正在被积极利用的关键漏洞。您需要尽快更新。”
比特币红队，一个志愿者安全研究小组，向开发者报告了这个漏洞。
然而，仅仅修补漏洞并不能结束清理工作。运营商还必须刷新 macaroon，这是闪电节点依赖的访问凭证，以及其他后端的认证字符串。
任何在 BTCPay 内生成热钱包的人都应该转移这些资金并重新创建它。集成商还应该将 NBXplorer，这个伴随的索引工具，更新到版本 2.6.10。
这两个事件对比特币自我保管的重要性
一个攻击利用了对搜索广告的信任。相反，另一个则利用了在商家服务器上运行的代码。两者都绕过了比特币的安全模型，而是攻击了围绕它的软件和习惯.
网络钓鱼仍然是加密领域最昂贵的威胁。今年一月的加密盗窃损失达到了约 4.003 亿美元，其中一起网络钓鱼攻击占据了超过 70% 的损失。
谷歌尚未解释欺诈广告是如何通过审核的。页面下架的速度以及有多少BTCPay运营商及时修补，将决定损失的程度。
来源：BeInCrypto
