据微软威胁情报部门报告，黑客正利用BNB链智能合约通过被入侵网站和伪造验证码提示传播恶意软件。本周四，微软威胁情报在X平台发文称，该攻击活动使用名为EtherHiding的技术，将恶意指令存储在区块链智能合约中。
被入侵网站中注入的JavaScript会联系BNB链网关，并从先前与ClearFake恶意软件活动相关的合约中获取命令。ClearFake是一种感染合法网站的恶意软件活动。将指令存储在区块链网络上使其更难被删除，只有控制该合约的钱包能修改内容，限制了传统下架手段的效果。
访问被入侵网站的访客会看到伪造验证码，要求打开Windows运行对话框，粘贴剪贴板中的文本并按回车，从而执行攻击者提供的命令。该方法称为ClickFix，依赖受害者自行执行恶意软件。其变体TerminalFix则引导用户使用Windows终端或PowerShell。
微软研究人员写道：“该活动表明ClickFix和TerminalFix是一种高量的初始访问技术。微软每天报告针对全球数千台企业和消费设备的攻击活动，某些恶意广告链可将访客引流至诈骗页面。”
据微软，黑客隐藏命令并滥用合法Windows工具，包括PowerShell、cmd、mshta、rundll32、msiexec、curl、Windows管理规范及计划任务。成功感染可泄露密码、建立持久访问、助黑客横向移动，并导致勒索软件或更广网络沦陷。
利用区块链支持恶意攻击并非新鲜事。2016年Cerber勒索软件用比特币交易查找命令控制服务器；2019至2021年Glupteba僵尸网络用比特币区块链定位备用服务器；2023年9月ClearFake开始用EtherHiding从BNB链合约获取恶意代码；2026年4月研究人员发现Omnistealer用TRON、Aptos和BNB链窃取凭证、云账户、密码及加密钱包数据。该问题并非BNB链独有，但微软威胁团队重点披露此持续问题值得关注。
此前BNB链于7月公布新一层区块链计划，面向高频交易、自动支付和AI驱动交易，测试网预计2026年底上线，主网2027年初启动。微软建议机构限制不必要的命令行工具、启用PowerShell日志并使用应用控制。“用户绝不应将验证码、浏览器错误、邮件、广告或非请求支持页面中的命令粘贴到运行、终端、PowerShell或命令提示符中，”微软表示。