Coinbase 追蹤到 110 萬美元的加密貨幣資金流，揭露 AI 網路釣魚服務 EvilTokens

微軟和 Coinbase 協助拆解了 EvilTokens，這是一個與全球超過 12,000 個被駭郵箱相關的 AI 網路釣魚服務。

微軟表示，該行動在推出幾個月內已觸及超過 10,000 家組織，涵蓋金融服務、房地產、醫療保健、建築及其他行業。

該公司及其合作夥伴查扣了 EvilTokens 使用的 50 個網站，並禁用超過 150 個相關域名，而英國警方於 9 月 11 日逮捕了兩名與該涉嫌行動有關的男子，警方後來以有條件保釋釋放了兩人。

EvilTokens 的網路釣魚服務依賴於 AI 的使用

EvilTokens 將大部分商業郵件妥協過程打包成一項通過 Telegram 銷售的訂閱服務。微軟表示，客戶支付 1,500 美元的啟動費和 500 美元的定期訂閱費，獲得一個結合帳戶妥協、郵箱訪問、偵查和 AI 協助詐騙準備的單一介面工具。

該服務的進入點依賴於微軟的設備代碼身份驗證，這是一個為無法輕易支持標準瀏覽器登錄的硬體（如智能電視和會議設備）設計的合法登錄流程。

攻擊者自行發起身份驗證請求，然後通過偽裝成發票、共享文件和其他日常商務通信的網路釣魚電子郵件將結果代碼發送給目標。

在微軟的合法網站上輸入該代碼的受害者實際上批准了等待在攻擊者設備上的會話。

該過程仍然可能需要密碼和多因素身份驗證，當用戶登出時，但這些憑證仍然保留在微軟的基礎設施上。該過程為攻擊者發起的會話生成授權。

這使 EvilTokens 獲得了比被盜密碼更有用的東西：郵箱內的經過身份驗證的立足點。該平台然後自動化了傳統上需要攻擊者花費數小時閱讀通信和重建組織資金流動的工作。

其 AI 工具可以翻譯和總結消息，識別報告線和可信聯繫人，顯示待處理的發票和電匯對話，並確定哪些員工擁有支付權限。

微軟表示，預設提示可以識別組織的「資金移動者」，並推薦要模仿的人，讓客戶從帳戶訪問轉向針對性詐騙，所需的手動偵查大大減少。

調查人員還發現 EvilTokens 的部分組件是使用 AI 協助的編碼工具構建的，降低了行動雙方的技術負擔。

結果是一項可以幫助技術水平較低的客戶獲得帳戶訪問、理解其內容並準備模仿活動的服務，而無需單獨組裝每項能力。

加密貨幣支付為調查人員提供了線索

訂閱模式還創造了 Coinbase 用來逆向追蹤該行動的財務線索。

Coinbase 的全球情報團隊追蹤到 2025 年 10 月至 2026 年 6 月之間，EvilTokens 平台的收入約為 110 萬美元，涉及四個 Tron 地址。它識別出來自 700 多個不同地址的 1,000 多筆存款，並映射了從支付到 EvilTokens 的流向及其最終現金提取目的地。這些數字代表支付給該服務的收入，而不是最終從網路釣魚受害者那裡被盜的金額。

Coinbase 表示，它將交易數據與商戶記錄、設備信息和開源情報結合，以幫助將該平台歸因於其涉嫌運營者，然後將此事轉交給倫敦大都會警察。

該交易所還調查了其自身平台上識別出的 EvilTokens 購買者，並將這些案件轉交給執法機構。其證據對微軟對該服務的民事行動有所貢獻。

Coinbase 的客戶也在下游受到影響。該交易所表示，一些用戶通過被駭的電子郵件對話被操縱，將加密貨幣發送到詐騙控制的地址。Coinbase 帳戶和憑證並未受到損害。

這次干擾中斷了一個已經在尋找微軟以外的行動。Coinbase 表示，EvilTokens 的運營者已表示計劃將工具包擴展到 Gmail 和 Okta 帳戶，可能在其他身份平台上擴散相同的模式。

微軟警告說，移除該服務的當前基礎設施並不會消除該方法。該公司建議組織在不必要的情況下阻止設備代碼身份驗證，並在運營上需要的情況下嚴格限制。對於懷疑被妨礙的帳戶，它建議撤銷刷新令牌，強制重新身份驗證，並在某些情況下暫時禁用帳戶。

最後一步可能會帶來短期的運營成本，但微軟表示，標準會話撤銷可能會使現有的訪問令牌在最多一小時內可用。攻擊者在最近的活動中利用了這一窗口，讓安全團隊在合法用戶的短暫中斷和已經在郵箱內的某人持續訪問之間做出選擇。