← 返回博客

VEYRNOX · 博客 · 2026 年 9 月 1 日 · 作者：Al Jobson，创始人

自助钱包人工智能安全防护

2022 年至 2025 年间，生成式人工智能将加密货币网络钓鱼从家庭手工业变成了工业管道。 Chainaanalysis 目前将 2025 年加密诈骗损失估计为 170 亿美元，归因于人工智能生成的内容和模仿，导致“更快、更令人信服、更有利可图”，链上链接的人工智能诈骗操作的收入约为非人工智能诈骗的 4.5 倍^[1]。自 2022 年 11 月推出 ChatGPT^[2] 以来，SlashNext 的恶意网络钓鱼链接、BEC、QR 码和附件威胁在六个月内增加了 341%，恶意电子邮件数量增加了四十多倍。仅 2024 年，钱包诈骗工具就从 EVM 链上约 332,000 个地址窃取了 4.94 亿美元，同比增长 67%^[3].

令人不舒服的部分：这些攻击都不依赖于破坏密码学。它们依赖于说服人们在框中输入 12 个单词，签署他们不理解的交易，或者相信视频通话中的首席财务官实际上是首席财务官。这篇文章是关于人工智能使哪些故障模式变得更糟，哪些防御层有意义地提供帮助，以及为什么像 Veyrnox 那样完全删除助记词输入表面，是对人工智能规模的攻击者的结构性反击，而不是在攻击者之上的另一个补丁。

“人工智能规模”对于钱包持有者来说实际上意味着什么

网络钓鱼一直是一种数字游戏。发送一百万个诱饵，兑换百分之一的零头，兑现。生成模型改变的不是漏斗的形状，而是漏斗顶部的每个输入。

Volume. SlashNext 的 2024 年情报报告记录了下半年凭证网络钓鱼攻击激增 703%，其中 80% 的恶意链接被归类为零日链接，在部署前生成，基于签名从未见过过滤器^[4]。 Chainaanalysis 追踪的一个中文网络钓鱼团伙“Darcula”或“诈骗三合会”每天使用估计成本低于 500 美元的工具包发送多达 330,000 条短信^[1].

质量. 诱饵不再按翻译形式读取。语法、语气和本地化与目标相符。 OpenAI 的 2025 年 10 月威胁报告描述了威胁行为者将 AI 集成到现有工作流程中，以重写网络钓鱼电子邮件、翻译诱饵并在 ChatGPT、Claude 和 DeepSeek^[5] 上动态调整自动化。 Anthropic 的 2025 年 8 月威胁报告记录了一个中国国家支持的组织，该组织通过克劳德代码对大约 30 个目标进行了 80% 到 90% 的入侵活动，仅在四到六个决策点人工参与^[6].

信任. 增长渠道是模仿，而不是新颖的利用。 Chainaanalysis 报告称，到 2025 年，使用政府官员、金融机构和加密平台的深度伪造图像进行的诈骗增长了 1,400% 以上^[1]。香港警方于 2024 年 2 月报道的香港奥雅纳案件就是一个典型的例子：一名财务工作人员在加入视频通话后进行了 15 笔转账，总计约 2500 万美元，而视频通话中的所有其他参与者，包括一位与英国首席财务官长得相似的人，都被AI生成^[7].

攻击经济学，前后

读取班次的最诚实的方法是每次尝试的成本。下面，每个单元格都有一个源.

人工智能增强的加密攻击堆栈

现代加密货币网络钓鱼操作是一个管道。每个阶段都有人工智能支持的加速，每个阶段都是精心设计的钱包可以或不能打破链条的地方。

1。侦察和瞄准

攻击者窃取公共钱包余额、ENS 注册、NFT 持有量、DAO 论坛帖子和 LinkedIn。 Anthropic 的报告记录了对手使用 Claude 关联泄露的数据、过滤高价值目标并起草个性化外展^[6]。在加密货币方面，这为生猪屠宰业务提供了动力，Chainaanalysis 测算，2024 年的收入增长了 40%，存款数量增长了近 210%^[9].

2。相似表面

假应用程序、假扩展程序、假支持门户。 Check Point Research 披露了一款假冒的“WalletConnect”应用程序，该应用程序自 2024 年 3 月起在 Google Play 上运行了五个多月，安装次数超过 10,000 次，通过 MS Drainer 套件提示用户进行代币批准^[10]，消耗了约 70,000 美元。据报道，假冒的 Rabby 钱包克隆于 2024 年初一直存在于 Apple App Store 中，在用户导入助记词^[11] 后耗尽资金。另外 20 个 Android 应用程序已被列入冒充钱包和 DEX 的目录，包括 Suiet、PancakeSwap、Raydium 和 SushiSwap^[10].

3。批准网络钓鱼和有效负载签名

您签署的签名比您访问的 URL 更重要。 Scam Sniffer 的 2024 年报告发现，56.7% 的流失价值来自 EIP-2612 Permit 签名，31.9% 来自 setOwner 调用；两者都是看似无害的链外消息，授予代币支出或合约所有权^[3]。 Chainaanalysis 发现 20,000 多名批准网络钓鱼受害者，并在 2025 年冻结了 1,200 万美元的资金^[1].

4。地址中毒和相似目的地

攻击者使用第一个和最后一个字符与您之前支付过的地址匹配的地址来播种您的交易历史记录。 2024 年 5 月，一头鲸鱼从历史记录中复制地址^[12]后，向中毒的相似者发送了 1,155 个打包的比特币，约合 6800 万美元。卡内基梅隆大学的另一项研究记录了 2022 年 7 月至 2024 年 6 月期间，针对以太坊和 BNB 链上 1700 万个钱包的 2.7 亿次地址中毒尝试，确认损失超过 8300 万美元^[13]。一旦 GPU 定价具有竞争力，相似的虚荣地址的生成成本就微不足道了；在 WBTC 案例中，中毒交易本身使攻击者损失了约 0.65 美元^[12].

5。模型在环浏览器代理

代表用户读取页面、单击链接和签署交易的代理浏览器是一类新的受害者。安全研究员 Simon Willison 记录了代理浏览器摄取的屏幕截图和图像中的“不可见”提示注入，人类不可见，但模型完全可读^[14]。 Brave 的安全团队报告了 Perplexity 的 Comet AI 浏览器^[14] 中存在严重的提示注入漏洞。威利森标记的“致命三连胜”威胁模式直接适用于任何与钱包连接的代理：私人数据访问、暴露不受信任的内容和渗透路径，共同产生静默资产转移^[14].

6。 Deepfake社会工程

Arup 案例是锚点，但不是唯一的案例。 Chainaanalysis 将深度造假驱动的假冒行为归为 2025 年支付量增长 1,400% 的类别^[1]。对于自我托管用户来说，相关的一点是，任何以视频通话中的人员授权转移结束的恢复路径，“请读我的代码”，现在都很容易被破坏。

防御层，每一层实际上为你买了什么

防御性市场以三种广泛的方法做出回应：警告用户、在更安全的地方登录以及删除可利用的输入。它们并不等同。

交易模拟和警告横幅

Blockaid 在 2024 年初默认集成到 MetaMask 中，模拟待处理交易的影响，并在签名前发出警告^[15]。 Rabby、Pocket Universe、Wallet Guard 和 Fire 中都有类似的工具船。这很有用，但不全面。 Blockaid自己的研究文档绕过了攻击者用来逃避交易模拟的技术，任何警告系统仍然需要用户解释和拒绝。在实践中，设计良好的 Drainer UI 可以克服警告疲劳，特别是当攻击者控制周围的信任上下文时（请参阅假 WalletConnect 应用^[10]）.

硬件钱包

Ledger、Trezor 和 Keystone 移动签署主机设备。这可以打败一大类恶意软件，但不能打败人工智能规模的攻击中面向人类的部分：助记词仍然以 12 或 24 个可恢复单词的形式存在，十年来，用户一直通过社交工程将该短语输入到虚假的恢复屏幕中。 Trezor 的 SLIP-39 shamir 分片恢复是在这方面向前迈出的显着一步。

MPC 和托管

多方计算钱包和托管服务完全以对运营商或法定服务器的信任为代价来消除种子。它们在架构上可以有效抵御网络钓鱼，但会重新引入“不是您的密钥”问题，并且帐户恢复表面本身可以通过客户支持模拟成为 AI 攻击者的目标，这种模式在交易所违规事件中有详细记录。

安全飞地签名且无用户可见的密钥材料

Apple 的 Secure Enclave 是一种硬件密钥管理器，其作用类似于 TPM 或 HSM。 enclave内生成的私钥无法导出并绑定到该特定芯片；硬件证明可让依赖方验证签名是否来自特定安全区域，而不是来自软件^[16]。 Google 的 Android StrongBox 在受支持的设备上提供了类似的保证。当钱包在此边界内生成其签名密钥并且从不发出明文种子时，就不会出现用户可以被诱骗输入的假象。

让您诚实比较防御的框架

NIST 于 2024 年 1 月发布了 AI 100-2 E2023，正式确定了对抗性机器学习攻击（规避、中毒、隐私）的分类^[17]。 MITRE ATLAS 将 ATT&CK 扩展到 AI 特定策略。 ENISA 的人工智能威胁格局增加了生态系统层面的风险。对于钱包来说，这些框架因特定原因而重要：它们区分添加模型作为另一个传感器（交易模拟）和从设计中删除可攻击的表面（无种子字段、硬件绑定签名）。当攻击者也有模型时，只有第二类是稳定的。

为什么“无种子 UI”不是营销

我们审查的 2024 年以来的每一次钱包耗尽事后分析都简化为三个输入之一：在网络钓鱼页面中输入的助记词、在虚假 dApp 上批准的 Permit 或 setOwner 签名，或者授予恶意软件的代币限额合同^[3][10]。生成式人工智能升级是，现在几乎没有任何技术技能且单位成本接近于零的操作员都可以批量生产这些产品^[1][6]。更好的过滤器可以降低音量；他们不会关闭下面的门。

Veyrnox 的设计故意狭窄。密钥在 iOS 上的 Secure Enclave 内生成（我们发货时在 Android 上为 StrongBox）； Apple 文档表明，Enclave 中生成的私钥无法导出并绑定到该特定芯片^[16]。没有显示、截图或键入 12 个单词的短语。恢复使用 Shamir 秘密共享（请参阅我们的 Shamir 解释），其中一份共享在设备上，一份共享在您自己的 iCloud 钥匙串中，因此任何被盗的备份都无法重建钱包。 PIN 码可控制应用程序；在胁迫下，胁迫 PIN 可以显示 诱饵钱包 而不是主要余额。

这些都无法阻止人工智能规模的攻击者尝试。它改变了尝试产生的结果。完美的钓鱼短信仍然到来。 Veyrnox 水龙头的另一端没有任何东西可以在其中输入 12 个单词。深度伪造的支持电话仍然接通。 Veyrnox 没有可以转移资金的支持代理。恶意 dApp 仍会请求许可。交易被显示、转换为设备上的意图，并在与持有密钥的同一飞地绑定的生物识别身份验证后面进行门控。

仍然需要用户警惕的

设计降低了地板；它不会消除用户。三个类别仍然取决于人类判断：

地址条目. 如果用户粘贴，相似的目标地址仍将被签名。复制粘贴规则、ENS 分辨率检查和地址簿使用仍然是缓解措施。地址中毒造成了 2024 年 6800 万美元的 WBTC 损失^[12].

投资欺诈（屠宰生猪）。 没有钱包架构可以阻止用户自愿将资金发送给运行虚假交易网站的骗子。这是 FBI IC3 数据中最大的一个类别：2024 年美国加密货币损失 9.3B 美元中的 5.8B 美元^[8]。监管和平台级干预在这里比钱包设计更重要。

物理强制.扳手攻击（参见我们的扳手攻击部分）取决于物理访问，而不是网络钓鱼。诱骗钱包和阈值恢复帮助；没有什么可以消除风险.

底线

2024 年至 2025 年的数据在各个独立跟踪器中是一致的：使用生成模型的攻击者比以前窃取更多的每次操作，运行更多的操作，并针对更多的受害者。 Chainaanalysis 预计 2025 年损失预计为 170 亿美元； FBI 预计 2024 年美国损失为 93 亿美元； SlashNext 测算网络钓鱼数量增长了数百%；诈骗嗅探器测量的每个受害者的收益仍在上升，尽管受害者数量几乎为零动作^[1][3]__VX _TAG_74__[4]^[8].

警告横幅和模拟值得拥有。硬件钱包仍然是一个不错的选择。托管和 MPC 解决方案占有一席之地。但人工智能最有效地应对的一类攻击，即通过相似的表面钓鱼获取用户的秘密或签名，最好的解决方法是不提供钓鱼秘密，并将签名绑定到相似者无法模仿的硬件上。这就是为什么 Veyrnox 是一款无种子、Secure-Enclave 签名的自我托管钱包，而不是 2018 年助记词应用程序的美观版本。这是我们在不放弃监护权的情况下可以设计的最小攻击面。

作者简介