人工智能如何改变针对加密服务的攻击：Match Systems 专家解析

截至2026年8月，利用人工智能攻击加密企业已不再是理论上的威胁。在我们的调查实践中，这一点清晰可见：事件的结构没有改变，但攻击准备的成本更低了，与受害者的沟通更有说服力了，从首次接触到转走资产之间的时间也更短了。

我们首先要明确一个核心观点：问题并不是人工智能学会了攻破区块链，而是针对信任、身份以及操作审批流程的攻击实现了工业化自动化。这是本质不同的两件事，将它们混为一谈会妨碍建立正确的防御体系。

为什么加密服务是优先攻击目标

加密企业同时具备多项特征，使利用人工智能发动攻击尤其有利可图。

第一是潜在损失的规模。一个账户、一把密钥或一项签名流程遭到入侵，就可能导致数亿美元的损失。仅2025年2月Bybit交易所的失窃事件就涉及约15亿美元，美国联邦调查局已正式将其归因于朝鲜相关活动。

第二是能够访问关键基础设施的员工范围广泛，包括开发人员、DevOps、安全工程师、资金管理、合规、客服以及管理层。每个人都是一个独立的入口。

第三是对外部服务的依赖，包括云平台、GitHub、Slack、Telegram、Zoom、多签服务提供商及托管解决方案。攻击往往不是正面突破，而是通过受信任的集成进入。

第四是分布式团队和远程招聘。在这种环境下，员工的数字身份成为其身份的主要证明，也因此成为主要攻击目标。

第五是被盗资产转移的速度。根据我们的实践，盗窃发生后的数小时内就会出现首次重要资金转移，而有效响应的窗口会缩短至数十分钟。这样的时间尺度与人工升级处置流程无法匹配。

人工智能如何参与攻击本身

人工智能很少替代传统技术，而是融入既有攻击链，提高几乎每个阶段的效率。

在侦察阶段，语言模型只需数分钟就能收集并整理员工画像：职位、职责范围、技术栈、可能拥有的访问权限、同事关系以及沟通风格。攻击者获得的不再是一个抽象的受害目标，而是一套可以混入其中的具体工作流程。

在入侵阶段，我们越来越多地看到ClickFix手法：以“修复”Zoom麦克风、完成验证或安装更新为借口，诱导受害者自行复制并在终端执行命令。这能绕过相当一部分防护，因为恶意操作是由用户本人在受信任的设备上完成的。人工智能在其中生成令人信服的技术背景，使工程师或开发人员按照职业习惯作出反应，而不是保持警惕。

另一个技术变化，是恶意软件在运行过程中直接调用语言模型。部分逻辑不再硬编码在程序中，而是动态请求生成：收集哪些数据、执行哪些命令、如何修改自身代码。对加密服务而言，其直接后果是基于特征签名的检测模式失去效力，因为同一样本在不同运行之间会发生变化。开发人员、DevOps和钱包操作人员的工作站面临的风险最高。

另一类重要攻击是通过窃取会话令牌绕过多因素认证（MFA）。攻击者往往既不需要密码，也不需要第二认证因素；只需在员工完成认证后截获一个活跃会话即可。之后的操作以合法且已经验证的账户身份进行，在系统看来属于正常活动。

合成身份：通过信任进入

我们认为，最危险的方向是合成身份。生成式工具可以制作照片、视频、声音、文件乃至完整的个人资料，足以冒充管理者、投资者、客户、求职者或交易对手的代表。

核心风险不在于单个元素，而在于多种渠道的组合：从即时通讯转到邮件，再到视频通话、语音确认和配套文件。每个信号单独看都可信，组合起来却构成一个完全人工制造的沟通环境。在调查这类事件时，我们发现，信任并非通过技术漏洞利用建立，而是依靠真实人物被盗用的账户和逼真的视频会议环境，甚至包括实时生成、模仿受害者熟人的视频。

我们建议采用的一条实用规则是：对于具有重大财务影响的操作，视频通话和声音已不能单独作为身份凭证。

虚假身份所有渠道使用同一人设

 

• 即时通信与电子邮件
• 视频通话
• 语音确认
• 随附文件

≠多个沟通渠道不能替代独立的身份核验。

不是员工被入侵，而是员工本身就是合成身份

同一逻辑进一步延伸到另一种情境：人工智能不再用于从外部行骗，而是通过招聘流程取得组织内部的访问权限。操作者身处第三国，使用盗取的另一国公民身份，在西方企业获得具有较高访问权限的远程职位。简历、掩护身份、技术面试，甚至面试中的实时深度伪造，都由人工智能工具生成并维持。

入职之后，这名“员工”已经进入安全边界内部：拥有合法凭证，能够访问代码仓库、基础设施，有时还可以参与钱包相关流程。后续攻击从内部实施，在安全系统看来就像受雇专业人员的正常工作活动。

这从根本上改变了威胁模型。企业不仅要考虑员工遭到入侵的可能性，还要考虑攻击者本人会成为员工的可能性。对加密服务而言，这意味着招聘不再只是人力资源流程，而是安全边界的一部分。

针对签名流程的攻击

核心风险并不总是私钥被盗。攻击者常常是要让获得授权的员工亲自签署恶意操作。在这里，人工智能用于模仿同事、伪造内部通信、制造转账的紧迫理由，并构造虚假的交易背景。

Bybit事件说明了这类威胁的严重性：与多签操作相关的基础设施遭到入侵，随后攻击者获得了修改操作逻辑并从冷钱包转走资产的能力。从技术上看，签名人在屏幕上看到的是一回事，实际授权的却是另一回事；替换发生在交易呈现层，而不是密钥层。

我们认为最重要的结论是：多签能够防范单把密钥遭到入侵，但不能自动防范决策流程被操纵。签名人应核验的不是界面显示的操作说明，而是通过独立渠道获取的真实交易参数，包括收款地址、金额以及被调用的合约。

为什么熟悉的指标不再有效

安全团队过去长期依赖的一系列迹象已失去可靠性。邮件语言拙劣不再是指标；存在视频连接不再能证明身份；成功通过MFA不代表设备后面就是员工；通过自拍验证不代表系统面对的是真正的证件持有人；使用企业账户不代表操作由其合法所有者发起。

我们的调查实践印证了这一点：在过去一年大多数重大事件中，技术漏洞并不是关键环节，利用信任才是关键环节。

防御方的人工智能

将人工智能仅仅视为攻击者的工具是不正确的。同一项使攻击规模化的技术，也为防御方提供了过去无法实现的能力：建立正常行为基线，并实时发现偏离基线的活动。

实际模型是这样的：基于机器学习的系统在数周或数月内观察企业的正常运作，包括员工何时登录、使用什么设备、来自哪些网络和地区、通常按什么顺序操作、操作速度如何、典型API访问是什么样、谁在何时发起转账，以及交易如何获批。系统逐步为组织及其中每个重要角色建立独有的行为画像。

此后，系统开始主动防御。当出现异常时，例如刚通过MFA就从新设备登录、在SaaS中执行非典型操作序列、在不寻常的时间访问钱包基础设施、突然变更提现配置或签名人，或某个账户的活动量激增且不符合平常画像，系统便生成警报，关键操作可以暂停，等待人工确认。

这种方法的价值恰恰在于，它不试图在入口处“检测人工智能”，而是预设攻击者迟早会持有合法凭证进入内部，将检测点转移到已经通过认证的会话行为上。邮件语言好坏、深度伪造质量高低、掩护身份是否可信，在这里都不重要；重要的是账户行为是否偏离了其历史常态。

这不是替代流程性措施，而是增强它们。行为分析弥补的正是合成身份和被盗会话造成的缺口：它观察的不是“谁声称自己是谁”，而是“这个账户实际上做了什么，以及这有多像它平常的行为”。

正常行为设备 · 时间 · 操作

行为偏离例如，从新设备登录

示意图，并非真实事件数据

发出警报

人工核查关键操作可暂停，等待人工确认。

​分析的是账户的实际行为，而不是语音或视频看起来有多可信。

防御方仍然保有优势的地方

人工智能也改变了入侵后的阶段：被盗资产被拆分、兑换，经跨链桥和DEX流转，进入中心化服务，随后兑换为法币或稳定币。攻击者的任务是切断初始地址与最终接收者之间可见的联系，而自动化路径选择会加速这一过程。

但防御方在这里仍保有根本优势。合成身份可以掩盖攻击者是谁，却不能抹去已记录在区块链上的资产转移历史。不论入口处的社会工程多么具有说服力，交易轨迹依然可供分析。

在Match Systems的工作中，调查建立在多种方法的结合之上：根据行为模式对攻击者地址进行聚类，通过跨链桥和DEX追踪，在更换网络后仍能重建路径，识别与中心化服务发生交互且可能冻结资产的节点，并建立统一时间线，将链上资金流与链下攻击事件关联起来。没有区块链分析，就无法定位资产；没有与平台的协作，就无法阻止资产流动；没有妥善整理的材料，就无法将案件推进至执法机关。决定性因素通常是最初几个小时：越早记录接收地址并向交易所发出请求，在资金转出前截获资产的机会就越大。

结论

评估这一威胁时最主要的错误，是把人工智能看成一种新的恶意软件。实际上，它是整条犯罪链的通用加速器，降低侦察、社会工程、创建身份、获取访问权限以及扩大行动规模的成本。

这对加密行业尤其危险，因为攻击的最后阶段极其短暂：一个遭到入侵的身份、一笔获批交易，以及潜在的数亿美元损失。

因此，安全团队应该提出的问题不是“这封邮件是否由人工智能写成”，而是：攻击者能否通过合成身份、合法凭证和社会工程，获得执行关键财务操作所需的足够信任。如果答案是肯定的，那么具体攻击中有没有使用人工智能就是次要问题。

未来几年最现实的威胁，不是能够自主攻破区块链的超级智能，而是高度自动化的犯罪组织：它们制造可信的人物，自动化沟通，渗透企业，并接管已经存在的信任机制。因此，防御应从“保护基础设施免受恶意软件侵害”的模式，转向独立核验每一个关键身份、每一次特权操作和每一笔财务操作的模式，而不论发起者看起来多么可信。