根据网络安全公司 Verimatrix 首席执行官 Asaf Ashkenazi 7 月 18 日的声明，一种针对移动应用程序的新型攻击正对加密货币用户构成日益严重的威胁。
这种新威胁被称为 "覆盖攻击"。它的工作原理是在用户设备上创建一个虚假界面。阿什肯纳齐说，然后利用这个界面从用户那里窃取信息，包括用户名、密码，甚至是 2FA 码。一旦获得这些信息，攻击者就会利用这些信息在真实界面上提交目标应用程序的信息。
要实施覆盖攻击，攻击者首先需要说服用户在其移动设备上下载应用程序。屏幕覆盖利用程序通常伪装成游戏或其他有趣的应用程序。当用户打开应用程序时，它似乎会按预期运行。
"阿什肯纳齐说："不管它是什么游戏，甚至可能是[......]一款流行游戏的拷贝，它都能实现这一功能。阿什肯纳齐说，"由于该程序按预期运行，用户一般不会怀疑它是恶意程序。
事实上，该程序 "除了一件事之外没有任何恶意活动，那就是当[......]目标程序启动时它会进行监控"。目标应用程序可以是银行、加密货币交易所、加密货币钱包或其他敏感应用程序。一旦用户启动目标应用程序，恶意程序就会创建一个与目标应用程序界面 "完全相同的副本"。
例如，如果用户启动其交易所应用程序，恶意应用程序就会创建一个看起来与交易所界面一模一样的假用户界面，但实际上是由攻击者控制的。无论用户在虚假界面输入什么信息，都会被攻击者捕获，然后将这些信息传递到真正的应用程序中，使攻击者能够访问账户。
Ashkenazi 警告说，双因素身份验证（2FA）通常无法保护用户免受此类攻击。如果启用了 2FA，攻击者只需等待用户输入短信或验证器应用程序代码，然后就会像获取其他凭据一样获取用户的代码。
相关信息 Authy 2FA 应用程序泄露的电话号码可能被用于短信网络钓鱼
在许多情况下，恶意应用程序会导致用户的屏幕变暗，使他们误以为手机没电或死机了。"Verimatrix 首席执行官说："一旦他们[进入]你的账户，他们就会让你的手机黑屏。"所以你的手机还在运行，但你看不到任何东西[，][所以]你会认为你的手机已经死机了"。这就给了攻击者盗取受害者账户资金的时间，因为他们不可能意识到自己受到了攻击，直到为时已晚。
阿什肯纳齐表示，银行应用程序是叠加攻击的最大目标之一。不过，加密货币交易所也面临风险，因为它们依赖于与银行应用程序相同的用户名/密码/2FA 模式。这位首席执行官声称，他还没有看到非托管加密货币钱包应用程序成为这种攻击的目标，但这种情况将来可能会改变。
Ashkenazi 强调说，覆盖攻击是在用户自己的设备上进行的，其中包含钱包的私钥，因此要求每笔交易都有加密签名并不一定能保护用户。
Verimatrix 曾试图与谷歌合作，从 Google Play 商店中删除覆盖攻击应用程序。但是，要捕获所有这些应用程序并不容易。与大多数恶意应用程序不同，覆盖攻击应用程序直到用户加载目标应用程序后才会执行任何恶意操作。
因此，当恶意软件检测程序对这些应用程序进行筛查时，它们通常看起来是无辜的。"Ashkenazi说："它们看到的是一个游戏，看不到恶意活动，因为它什么也没做。
他建议，集中式服务应使用监控系统来检测覆盖攻击，并从应用程序的数据库中阻止它们。这正是 Verimatrix 为客户提供的服务之一。
不过，他建议消费者可以采取行动保护自己，即使他们喜欢的应用程序没有使用此类监控服务。
首先，用户应该对那些看起来好得不像真的应用程序持怀疑态度。"他说："如果你看到一些应用程序给你提供通常需要花钱的游戏，或者一些非常好的免费游戏，[......]你就需要怀疑它。其次，用户不应授予应用程序不需要的权限，因为如果用户没有授予应用程序创建叠加的权限，就无法实施叠加攻击。
第三，家长应考虑为孩子购买单独的移动设备，因为 Verimatrix 在研究中发现，许多覆盖攻击应用程序是在家长不知情的情况下被孩子下载的。这是因为攻击者经常将其应用程序伪装成吸引儿童的游戏。
"如果你能负担得起，而且你的东西对孩子们来说很有趣，那就不要混用，"这位首席执行官说。"让他们玩得开心。但不要从该设备访问任何重要内容。"
恶意软件继续威胁着加密货币用户。3 月 29 日，恶意软件数据库 Vx-underground 警告称，《使命召唤》作弊者的比特币被作弊软件盗取。今年 1 月，另一组加密货币流失恶意软件的目标是在 macOS 设备上运行的盗版应用程序的用户。
杂志： 加密安全进化银行遭遇数据泄露，涡轮蟾蜍爱好者损失 3.6 千美元