网络安全公司Koi Security披露，名为GreedyBear的攻击团伙通过工业化手段对加密货币领域发起新一轮攻击，造成超100万美元的损失。该团伙共上传150个伪装成热门加密钱包（如MetaMask和TronLink）的Firefox扩展，以及近500个恶意可执行程序，并伴随大量虚假好评以提高可信度。
攻击者初期发布无害扩展，随后更换名称、图标并注入恶意代码以绕过安全审查。这些扩展能够直接从用户输入界面窃取钱包凭证，并通过远程服务器传输至攻击者控制中心。与此同时，GreedyBear还运营多个假冒加密产品、硬件设备和钱包修复服务的诈骗网站，诱导用户泄露个人及支付信息，有效扩大了攻击覆盖面。
值得注意的是，所有恶意扩展、可执行文件和钓鱼网站均指向同一IP地址185.208.156.66，实现了攻击基础设施的高度整合，便于统一管理命令与数据收集。据分析，攻击代码中明显存在AI生成特征，使攻击者能更快批量部署新恶意载荷，同时提升躲避检测的能力。专家警告，这类利用AI规模化作案的方式已成为新常态，未来可能扩展至更多应用市场。