区块链游戏巨头Animoca Brands透露，联合创始人兼董事长Yat Siu的X账户遭到黑客攻击，在Solana的Pump.fun平台上推广了一种欺诈性代币。

攻击者假冒Animoca并虚假宣布推出代币。区块链调查员ZachXBT将此次黑客攻击归因于一个网络钓鱼骗局，该骗局最近针对了15个以加密货币为重点的X账户，最终窃取了近50万美元。

欺诈性“MOCA”代币

Siu被黑客攻击的账户分享了一个链接，指向Pump.fun平台上名为Animoca Brands（MOCA）的假代币，该代币与该公司及其Mocaverse NFT系列同名。然后，这个欺诈性的MOCA代币被追溯到其他欺诈性代币背后的同一地址ZachXBT已确认.

据报道，在萧的账户上推广后，该代币曾短暂达到近37000美元的峰值，但不久后暴跌至市值仅为5735美元data由Birdeye编写。目前，该代币只有33名持有者。

ZachXBT之前未覆盖这种复杂的网络钓鱼方案，其中伪装成X团队紧急消息的网络钓鱼电子邮件经常引用伪造的版权问题，并诱使受害者重置其帐户凭据。

该计划利用了加密货币相关账户在大量受众中的可信度。其中大多数拥有20多万粉丝。受影响的账户包括Kick、Cursor、The Arena、Brett和Alex Blania。第一次袭击发生在11月26日，涉及RuneMine，最近一次发生在12月24日，影响了Kick，就在Siu之前。

2FA“不足以”保护帐户

萧解释黑客以某种方式获得了密码，并使用帐户恢复页面通过提交具有非注册电子邮件地址的请求来绕过2FA。他测试了这一过程，并指出了一个重大的安全漏洞：虽然系统触发了错误电子邮件的登录通知，但实际注册的电子邮件没有收到有关2FA更改请求等关键操作的警报。

他说，这种缺乏通知的情况本可以阻止黑客攻击。Siu还补充说，黑客提交了一份政府颁发的身份证，以绕过进一步的安全检查，他怀疑这种策略是由网络钓鱼促成的。他敦促X实施更强有力的通知，特别是对于2FA修改等敏感更改，并建议采取更好的验证措施来保护帐户。

Siu还警告说，仅凭2FA不足以保护帐户，并建议保持严格的密码卫生，因为攻击者一旦获得密码就可以绕过2FA。