Coinbase追踪到110万美元的加密货币踪迹，揭露AI网络钓鱼服务EvilTokens

微软和Coinbase帮助拆解了EvilTokens，这是一项与全球超过12,000个被攻陷邮箱相关的AI网络钓鱼服务。
微软表示，该行动在启动几个月内就已覆盖超过10,000个组织，涉及金融服务、房地产、医疗保健、建筑等多个行业。
该公司及其合作伙伴查封了EvilTokens使用的50个网站，并禁用超过150个相关域名，而英国警方在9月11日逮捕了两名与该涉嫌行动相关的男子。警方随后以有条件保释释放了两人。

EvilTokens的网络钓鱼服务依赖于AI技术

EvilTokens将大部分商业邮件妥协过程打包成通过Telegram销售的订阅服务。微软表示，客户支付1,500美元的启动费和500美元的定期订阅费，以获取一个将账户妥协、邮箱访问、侦察和AI辅助欺诈准备整合在一个界面中的工具。
该服务的入口点依赖于微软的设备代码身份验证，这是一种为智能电视和会议设备等硬件设计的合法登录流程，这些设备无法轻易支持标准浏览器登录。
攻击者自己发起身份验证请求，然后通过伪装成发票、共享文件和其他常规商业通信的网络钓鱼邮件将生成的代码发送给目标。
在微软的合法网站上输入该代码的受害者实际上批准了等待在攻击者设备上的会话。
该过程仍可能需要密码和多因素身份验证，当用户注销时，但这些凭据仍保留在微软的基础设施上。该过程为攻击者发起的会话生成了授权。
这使得EvilTokens获得了比被盗密码更有用的东西：一个经过身份验证的邮箱内部立足点。该平台随后自动化了传统上需要攻击者花费数小时阅读通信和重建组织资金流动的工作。

其AI工具可以翻译和总结消息，识别报告线和可信联系人，显示待处理的发票和电汇对话，并确定哪些员工有权进行付款。
微软表示，预设提示可以识别组织的“资金转移者”，并推荐需要冒充的人，让客户从账户访问转向目标欺诈，减少了大量手动侦察。
调查人员还发现EvilTokens的部分构建是使用AI辅助编码工具，降低了操作双方的技术负担。
结果是一个可以帮助技术水平较低的客户获得账户访问、理解其内容并准备冒充活动的服务，而无需单独组装每个能力。

加密支付为调查人员提供了线索

订阅模式还创造了Coinbase用来逆向追踪该操作的财务踪迹。
Coinbase的全球情报团队追踪到在2025年10月至2026年6月之间，EvilTokens平台的收入约为110万美元，分布在四个Tron地址上。它识别出来自700多个不同地址的超过1,000笔存款，并绘制了从支付到EvilTokens的流向及其最终现金流出目的地。这些数字代表支付给该服务的收入，而不是最终从网络钓鱼受害者那里被盗的金额。
Coinbase表示，它结合了交易数据、商户记录、设备信息和开源情报，以帮助将该平台归因于其涉嫌运营者，然后将此事转交给伦敦大都会警察局。
该交易所还调查了其自身平台上识别出的EvilTokens购买者，并将这些案件转交给执法部门。其证据为微软对该服务的民事诉讼提供了支持。
Coinbase的客户也在下游受到影响。该交易所表示，一些用户通过被攻陷的电子邮件对话被操控，向诈骗控制的地址发送加密货币。Coinbase账户和凭据并未被攻陷。
这次干扰打断了一个已经在寻求超越微软的操作。Coinbase表示，EvilTokens的运营者已表示计划将工具包扩展到Gmail和Okta账户，可能在其他身份平台上扩展相同的模型。
微软警告称，移除该服务的当前基础设施并不会消除该方法。该公司建议组织在不必要的情况下阻止设备代码身份验证，并在操作上需要时严格限制它。对于怀疑被攻陷的账户，它建议撤销刷新令牌，强制重新验证，并在某些情况下暂时禁用账户。
最后一步可能会带来短期的运营成本，但微软表示，标准会话撤销可能会使现有访问令牌在长达一个小时内可用。攻击者在最近的活动中利用了这一窗口，迫使安全团队在对合法用户的短暂干扰和对已经在邮箱内部的人的持续访问之间做出选择。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。