一名交易者刚刚在一次复杂的钓鱼攻击中损失了20万美元——而且这个方法几乎过于简单。

事情的经过是这样的：受害者将一个看似合法的网站加入了书签。听起来无害，对吧？错了。该网站已被攻破。当点击时，它在后台执行了恶意JavaScript，给予骗子对交易者的钱包和资产的完全访问权限。

这不是典型的钓鱼链接垃圾邮件。这是一种利用浏览器书签的供应链式攻击——这是大多数人不会多想的攻击向量。JavaScript载荷很可能在实时抓取私钥、助记词或会话令牌。

令人害怕的是？它只需要点击书签，无需任何额外操作。没有MetaMask的确认弹窗，也没有明显的红旗。

开发者和安全研究人员：我们需要明确这些被攻破的网站是如何持续在线的，以及哪些防御措施在这里有效。书签验证？DNS钉扎？硬件钱包强制执行？

如果你持有大量资产，是时候审查你的书签并考虑冷存储方案了。