区块链安全公司 SlowMist发出紧急警告，指出人工智能驱动的编码工具中存在一个严重漏洞，该漏洞可能通过简单的项目操作立即危及开发人员的系统。
该缺陷会影响主流集成开发环境 (IDE)，并对加密货币开发人员构成特殊风险，因为他们的系统通常存储有价值的数字资产和敏感凭证。
AI 编码助手的用户在打开不受信任的项目目录时会面临直接危险，据 SlowMist 的威胁情报团队称，已有几名开发人员的账户遭到入侵。
当开发者对恶意项目执行“打开文件夹”等例行操作时，该漏洞会自动触发，在 Windows 和 macOS 上执行系统命令，而无需额外的用户交互。
人工智能编码工具成为加密货币盗窃的攻击媒介
Cursor 用户面临着特别严重的漏洞风险， 网络安全公司 HiddenLayer 在 9 月份对其“CopyPasta License Attack”（复制粘贴许可证攻击）的研究首次记录了这一漏洞。
该漏洞利用程序通过在 Markdown 注释中嵌入有害指令来操纵 AI 助手对常见开发者文件（包括 LICENSE.txt 和 README.md）的解释方式，这些注释对渲染后的视图是隐藏的，但会引导 AI 工具在整个代码库中传播恶意软件。
根据 HiddenLayer 的分析，攻击者可以设置后门、窃取敏感数据或操纵关键系统，而恶意代码则深藏在文件内部。
该公司演示了使用 Cursor 以及其他易受攻击的工具（包括 Windsurf、Kiro 和 Aider）进行攻击，展示了如何通过极少的用户交互实现组织范围内的代码入侵。
此前，Coinbase 首席执行官 Brian Armstrong 大力推动人工智能生成的代码占公司产出的 40% ，并计划在 10 月份达到 50%。尽管在他上任一周内，一些工程师未能采用人工智能工具，但他还是解雇了这些工程师。
安全专家和开发者批评这项政策是“任何对安全敏感的企业都会面临的巨大危险信号”，Dango 创始人 Larry Lyu 表示，而卡内基梅隆大学教授 Jonathan Aldrich 则称其“疯狂”，并表示他不会将资金交给 Coinbase。
国家级黑客利用区块链传播恶意软件
开发者持续面临有组织的攻击。朝鲜威胁行为者通过将恶意软件直接嵌入区块链智能合约，升级了攻击手段，这标志着有记录以来国家首次使用“以太隐藏”（EtherHiding）技术。
著名的 Chollima 特工通过虚假的求职面试，将 BeaverTail 和 OtterCookie 恶意软件结合起来，部署了恶意 JavaScript 模块，目标是加密货币开发人员，并通过伪装成国际象棋应用程序的 NPM 包分发代码。
谷歌记录了一个名为 UNC5342 的朝鲜组织自 2 月以来在BNB智能链和以太坊的智能合约中嵌入 JADESNOW 恶意软件和 INVISIBLEFERRET 后门，创建了一个去中心化的指挥控制基础设施，执法部门难以将其拆除。
该技术通过只读函数调用将有效载荷存储在公共区块链上，从而避免交易费用，并且不留下任何可见的历史记录。
攻击者仍然以开发者为目标。早在 4 月份，他们就利用窃取的身份信息建立了合法的美国公司。Silent Push 的研究人员发现，Blocknovas 公司注册在南卡罗来纳州的一块空地上，而 Softglide 公司则被追溯到布法罗的一个税务办公室。
经查明，这两家公司都是“传染性面试”活动的幌子，该活动通过技术评估传播恶意软件。
尽管区块链安全公司 PeckShield 的数据显示， 12 月份因黑客攻击和网络安全漏洞造成的加密货币相关损失下降了 60% ，至 7600 万美元，低于 11 月份的 1.942 亿美元，但这些安全威胁仍在不断增加。
人工智能系统发现价值数百万美元的零日漏洞
人工智能的伦理使用与非伦理使用之间的悖论正变得越来越令人担忧。
上个月，Anthropic 的研究表明， 人工智能代理在其 SCONE-bench 测试框架中成功利用了 50% 的智能合约，对 405 个历史上被攻破的合约发起了价值 5.501 亿美元的模拟攻击。
Claude Opus 4.5 和 GPT-5 发现了在知识截止日期之后部署的 19 个合约中存在的漏洞，价值 460 万美元；同时，这两个模型还在币安智能链的实时合约中发现了两个零日漏洞，价值 3694 美元，API 成本为 3476 美元。
该研究发现，潜在的漏洞利用收益大约每 1.3 个月翻一番，而生成有效攻击的代币成本则急剧下降，这意味着随着模型的改进，攻击者可以用相同的计算预算获得更多成功的漏洞利用。
与此同时，根据 Chainabuse 的数据，2024 年 5 月至 2025 年 4 月期间， 人工智能驱动的加密货币诈骗增加了 456% ，目前 60% 的诈骗钱包存款都来自人工智能驱动的骗局，这些骗局使用深度伪造、语音克隆和自动机器人大规模创建虚假身份和逼真的对话。
