Coinbase追查EvilTokens網路釣魚服務約110萬美元收入流向

Coinbase追查到EvilTokens這項人工智慧網路釣魚服務約110萬美元的收入。Coinbase發現，這些收入在2025年10月至2026年6月期間分布於4個波場地址。該服務收到逾1,000筆存款，來自逾700個不同地址。這些收入代表支付給EvilTokens的款項，而非從網路釣魚受害者竊取的資金。微軟與Coinbase協助瓦解這項服務。EvilTokens與全球逾1.2萬個遭入侵的電子郵件信箱有關。微軟表示，該服務在推出後數個月內觸及逾1萬個組織。這項行動影響金融服務、房地產、醫療保健、營造及其他產業。微軟及其合作夥伴查扣了EvilTokens使用的50個網站，並停用逾150個相關網域。英國警方9月11日逮捕兩名男子，理由是懷疑他們犯下與這起涉嫌行動有關的罪行。警方之後有條件保釋兩人。EvilTokens透過Telegram以訂閱服務形式銷售其工具。微軟表示，客戶支付1,500美元啟用費，另支付500美元的定期訂閱費。該服務利用微軟的裝置程式碼驗證流程，取得信箱存取權。攻擊者透過偽裝成發票或共用檔案的網路釣魚電子郵件傳送驗證碼。輸入驗證碼的使用者，會核准在攻擊者裝置上發起的工作階段。EvilTokens利用人工智慧工具翻譯及摘要訊息，這些工具也會辨識受信任的聯絡人及具有付款權限的員工。微軟表示，預設提示詞有助於辨識組織中負責資金調度的人員，並推薦可供冒充的對象。調查人員發現，有證據顯示人工智慧輔助的程式編寫工具協助建置EvilTokens的部分功能。Coinbase結合交易資料、商戶紀錄、裝置資訊及開源情報，協助將該服務歸因於涉嫌營運者。Coinbase已將此事轉交倫敦警察廳，該交易所也將涉及EvilTokens購買者的案件轉交執法機關。Coinbase的證據促成微軟對該服務採取民事行動。部分Coinbase使用者在攻擊者入侵電子郵件對話後，將加密貨幣發送至由詐騙者控制的地址。Coinbase帳戶及憑證未遭入侵。Coinbase表示，營運者計畫將這套工具擴展至Gmail及Okta帳戶。微軟警告，移除目前的基礎設施並不會消除這種手法。微軟建議在不需要裝置程式碼驗證的情況下予以封鎖；若業務運作上必須使用，則建議組織限制該流程。對於疑似遭入侵的情況，微軟建議撤銷更新權杖並強制重新驗證身分。微軟表示，標準的工作階段撤銷可能讓現有存取權杖持續有效最多1小時。