超5400个被入侵网站被用于分发ClickFix载荷，攻击内容托管在BNB智能链合约中

据来源显示，一个规模庞大的网络犯罪行动正在利用数千个遭入侵的小企业网站，向访问者分发 ClickFix 相关恶意载荷；这些载荷并非只存放在传统服务器上，而是被放入 BNB Smart Chain（BSC）上的智能合约中。该消息发布于 2026 年 9 月 5 日，涉及的网站数量超过 5400 个。对普通上网用户而言，这类攻击的危险之处在于：入口可能是看似正常、长期存在的企业站点，而不是明显可疑的钓鱼域名。

ClickFix 通常指一种以“修复问题”“完成验证”“解决浏览器或系统异常”等话术诱导用户执行操作的攻击方式。攻击者把被攻陷的网站当作流量入口，再借助区块链智能合约提供或指向载荷内容，使封禁、下架和溯源变得更复杂。这意味着用户即使没有主动访问地下论坛或下载盗版软件，也可能在日常浏览中接触到恶意引导。

攻击链为何值得关注：正常网站与区块链载荷结合

传统恶意软件分发往往依赖新注册域名、短链接、临时文件托管服务或被攻陷服务器。此次事件的关键变化在于，攻击者将大量小企业网站纳入分发网络，并把 ClickFix 载荷存储在 BSC 智能合约中。智能合约一旦部署，内容和调用路径在链上具有较强的持久性；即便某些入口网站被清理，攻击者仍可能继续利用其他受害站点读取或调用相关内容。

小企业网站常见的问题包括长期缺乏维护、插件或组件更新不及时、后台账号保护薄弱等。来源没有披露所有被入侵网站的具体类型和入侵方式，但从安全防护角度看，这类站点一旦成为“中转站”，就可能让访问者误以为页面可信，从而降低警惕。

• 入口可信度更高：受害网站可能原本属于真实商家或机构，用户不容易第一时间识别异常。
• 载荷位置更难处理：内容位于智能合约中，处置方式不同于直接删除服务器文件。
• 攻击面更分散：超过 5400 个被入侵站点意味着单点封堵效果有限。
• 社工诱导更关键：ClickFix 类攻击往往依赖用户手动执行某些“修复”步骤。

对 VPN 用户与隐私保护的影响

很多用户习惯把 VPN 视为“上网安全”的主要工具，但这起事件提醒我们：VPN 能帮助加密传输、减少本地网络监听风险、隐藏真实 IP，但并不能自动判断网页是否被入侵，也不能阻止用户按提示复制命令、下载文件或授予权限。当攻击依赖社交工程时，人的操作往往比网络链路本身更关键。

对经常在公共 Wi‑Fi、跨境网络或远程办公环境中访问各类中小网站的用户来说，安全策略应当更完整。使用可信的加密连接工具是基础之一，例如 RedGate VPN 可作为保护网络连接隐私的可选方案；但同时仍需配合浏览器防护、系统更新和谨慎操作，避免把“连接已加密”等同于“页面一定安全”。

普通用户应如何降低风险

面对 ClickFix 这类攻击，最重要的是识别“要求你手动修复”的异常流程。若网页突然要求打开终端、运行命令、粘贴脚本、安装所谓证书或下载修复工具，应立即停止。正规网站通常不会要求访客通过这类方式解决浏览器验证或访问问题。

建议用户优先做到以下几点：保持浏览器与系统更新；不要在网页提示下执行不明命令；对弹窗中的“安全验证”“修复网络错误”保持怀疑；下载文件前确认来源；启用安全软件和浏览器恶意站点拦截；重要账号开启多因素认证。网站管理员则应及时检查站点文件、插件、后台账号和异常脚本，避免自己的站点成为攻击链的一环。

总体来看，这起事件的重点不只是“超过 5400 个网站被黑”，而是攻击者正在把被入侵的真实网站、社工诱导和区块链基础设施组合起来。对用户而言，隐私保护不应只停留在隐藏 IP 或加密连接层面，还需要对网页行为本身保持判断力：凡是要求你绕过正常流程、执行看不懂的操作，都应视为高风险信号。