这次钓鱼攻击主要利用了什么手法？
攻击者将恶意 JavaScript 包装成浏览器书签，用伪造“人机验证”诱导用户把图标拖入书签栏，并在已登录的 Fomo 页面点击执行，从而读取页面可访问的存储数据。
针对 Fomo 用户的恶意书签钓鱼攻击分析
资讯摘要
慢雾复盘一起恶意书签钓鱼：攻击者借“人机验证”诱导用户在已登录的Fomo页面执行脚本，窃取Privy嵌入式钱包凭证。
AI 摘要
文章复盘一起针对 Fomo 用户的恶意书签钓鱼攻击。攻击者借伪造“人机验证”诱导用户在已登录页面执行 JavaScript，窃取 Privy 令牌、钱包相关本地数据并外传；慢雾还追踪了受害资金流向，并给出用户和项目方防护建议。
AI 问答
用户没有输入私钥或签署授权，为什么仍可能被盗？
文章称恶意脚本会采集 Privy 访问令牌、刷新令牌及钱包相关本地数据，这些凭证可能涉及嵌入式钱包访问与恢复流程，泄露后可能被用于接管钱包或发起后续操作。
用户应如何防范类似攻击？
不要按网页要求把图标拖入书签栏或在已登录页面执行陌生书签；定期删除来历不明的 javascript: 书签，开启多因素验证。如已执行可疑书签，应撤销异常会话、检查验证器和账号安全状态。
更多资讯
一句话上线产品 AI自主支付还有多远？
9 月美债遭抛售：不是通胀预期 而是实际利率在飙升
NEAR生态简明指南
Claude Haiku 5.5 降本背后：操作能力暴涨，复杂编程为何仍差一截？
和过往的捷豹说再见吧：Type 01 发布，用千匹动力迎接一批新买家
这家结算网络让美元 24 小时运转
Abstract 关停警示：拥有资产不等于能转出浪子回头！Manus重启北京办公室大举招聘
加密货币如何从根本上重塑金融体系
The Information调研：三分之一称AI回报是投入数倍
华尔街不打烊：即将开启24小时工作制
马斯克被称为国宝 Solv大户50BTC赎回争议持续发酵
从 Rollout 到权重同步：Mooncake 如何支撑高性能强化学习系统｜QCon上海
全球最大独立 AI 原生影视公司，开始打破工具与制片厂的边界
被做局？新加坡跑会 一夜被盗400万美金字节找到了DeepSeek时强时弱的原因
设计系统负责人的语义生长：在1个组件的2个场景上练习核对Humanize: Judgement Engineering for Agentic Coding
谷歌借助 AI 与差分模糊测试将 C 语言依赖库改写为 RustOpenAI 针对欧洲用户在 ChatGPT 和 Codex 嵌入水印加拿大诗人 Anne Carson 赢得诺贝尔文学奖
苹果筑起的权限高墙，被 Meta AI 助手“借道”绕过
TOKEN2049到生态共建：火币HTX连接全球加密行业力量对话如祺出行COO韩锋：世界模型越强，真实数据才是真壁垒
AI要钱、欧美政府也要钱：全球债券风暴才刚刚开始
谁来为 SUI 的“豪门利好”提供真实买盘？尊界深夜回应“刹车踏板断裂”，懂车帝再发声
谭谈：央行为什么发布关于人民币汇率的政策立场从「工具」到「智能体」：CARES 4.0在港发布，刘宏斌谈医疗AI如何走进临床
加大AI豪赌：软银拟向海湾地区投资者筹集1000亿美元