僞裝《奧德賽》盜版文件傳播盜幣木馬
Bitdefender 發現，攻擊者以《The Odyssey》盜版電影下載爲誘餌傳播 Lumma Stealer，目標包括加密錢包、瀏覽器密碼、支付信息及已登錄會話。
惡意文件僞裝爲 1080p、WEBRip、H264 或 2160p 高清片源，實際是 Windows 可執行文件，例如“the odyssey 2026 1080p webrip-lama.exe”；正常視頻文件不會以 .exe 結尾。
攻擊者還爲可執行文件配置 VLC Media Player 等視頻播放器圖標。Windows 默認可能隱藏已知文件擴展名，使受害者只看到類似電影片名和媒體圖標，而忽略其實際爲程序。
用戶運行文件後，Lumma 會蒐集瀏覽器保存的密碼、自動填充記錄、支付資料、遠程桌面憑據和本地加密錢包數據，並將數據傳送至攻擊者控制的基礎設施。
Lumma 還會竊取瀏覽器認證 Cookie。攻擊者可複用已通過身份驗證的會話，從而在部分場景下繞過短信、驗證器等二次驗證步驟，直接接管交易所、郵箱或雲服務會話。
Bitdefender 在樣本中發現其嘗試連接與 Lumma 相關的控制服務器域名，包括 auditva[.]cyou、myroayy[.]cyou 與 logmabx[.]click；該公司稱已爲其客戶攔截相關文件和域名，但未披露受害者數量、資產損失或地域分佈。
市場機制上，盜版熱點內容提供高轉化率的社工入口，Lumma 以 Malware-as-a-Service 形式降低攻擊者的開發與運維門檻。攻擊者通過盜取助記詞、錢包擴展數據、瀏覽器密碼及登錄 Cookie 獲利；錢包持有人、交易所用戶和保存敏感憑據的個人承擔直接資產損失與賬戶接管風險。
來源：公開信息
ABAB AI 解讀
Lumma 並非新型攻擊工具，而是以訂閱形式銷售的竊密軟件。攻擊者不必自行開發錢包竊取、瀏覽器解密、Cookie 抓取和控制服務器模塊，只需租用成熟工具、購買流量並設計誘餌；這使網絡犯罪從“技術能力驅動”變爲“分銷與轉化驅動”。電影盜版、破解軟件、僞造驗證碼頁面和釣魚郵件都可成爲同一載荷的分發渠道。
其資金路徑有兩條：一是直接竊取錢包擴展及本地錢包資料，攻擊者可在取得恢復短語、私鑰或可解密的 vault 數據後轉出資產；二是接管交易所或郵箱等在線賬戶，通過會話 Cookie 繞過已完成的登錄驗證。第二條路徑更隱蔽，因爲 MFA 保護的是“新登錄挑戰”，而被盜會話本身已經被服務器視爲認證完成。
這可與 Lazarus Group 對加密從業者的假招聘、僞造會議軟件攻擊對照：兩類攻擊都不需要破解區塊鏈密碼學，而是攻擊私鑰、人類操作和終端設備。硬件錢包可降低私鑰直接外泄風險，但無法自動保護用戶在被感染電腦上批准惡意交易、泄露交易所登錄 Cookie，或複製粘貼被篡改的收款地址。攻擊面已從鏈上合約延伸至瀏覽器、擴展程序與操作系統。
本質屬於產業鏈重構：加密資產安全的價值重心正從鏈上防護轉向終端身份與會話控制。發生機制是，鏈上轉賬通常不可逆，攻擊者無需攻擊共識網絡，只要取得一次可用簽名、恢復短語或有效會話即可完成資產轉移。隨着 MaaS 降低攻擊供給成本，安全軟件、操作系統文件可見性、硬件隔離與交易確認界面將成爲決定個人資產安全的關鍵基礎設施。
ABAB News · 認知定律
區塊鏈不可篡改，終端設備可以失守
私鑰不外泄，不等於賬戶不失控
免費內容最貴，代價常是全部資產