针对罗宾汉的精密钓鱼攻击……域名与认证均通过。

据传 Robinhood 用户在周末期间大量收到看似由公司直接发送的“钓鱼邮件”。这些邮件的发件人地址确实是 @robinhood.com 域名，其认证标头和数字签名(DKIM)等处理正常，从而绕过了垃圾邮件过滤器。

特别是，从 [email protected] 发送的部分邮件，在 Gmail 中甚至自动与过去 Robinhood 的正常安全警告合并到同一个“对话线程”中。几乎没有明显的外部异常迹象，核心问题在于，诱导用户输入登录信息的链接等“内容”本身就是欺诈。

“点号技巧”与 HTML 注入……滥用 Robinhood 通知管道

安全研究员 Abdel Sabbah 在分析此次攻击时，略带阴郁地评价其“相当漂亮（kinda beautiful）”。攻击者首先利用 Gmail 会忽略地址中 @ 前面部分点号（.）的特性（即所谓的“dot trick”），使 [email protected] 和 [email protected] 这类变体地址都能进入同一个收件箱。

问题在于 Robinhood 不像 Gmail 那样对点号变体进行规范化处理。攻击者创建了包含点号的账户，在设备名称（device name）输入栏中植入原始 HTML，并诱导 Robinhood 的“未识别活动”通知邮件模板在不进行单独清理（sanitize）的情况下将其直接插入。说明指出，其结果就构成了一个满足“DKIM 通过、SPF 通过、DMARC 通过”所有条件的、看似“正常发送”的钓鱼邮件。

目标是账户劫持……连 2FA 代码也觊觎的链接

邮件中包含的行动号召（CTA）以虚假安全警告的形式出现，内含指向攻击者控制网页的超链接。这是一种典型手法：用户点击链接并输入登录信息后，不仅账户密码，连双重认证(2FA)代码也会被截获，从而窃取账户访问权限。

与其他钓鱼活动一样，此次攻击的最终目的是访问“用户资金”。Robinhood 账户被认为是主要目标。此案例暴露出，即使是看似正常的指标（域名、认证签名、发送服务器）也可能全部正常，这正在给加密货币投资者和普通投资者敲响警钟。

“看到邮件中的链接，先停下来”……验证习惯是关键

事件分析在社交媒体上迅速扩散，多位加密货币意见领袖也提醒“点击需谨慎”。Ripple 首席技术官 David Schwartz 警告称：“即使是看起来来自 Robinhood 的邮件（甚至可能是通过真实邮件系统发送的）也可能是钓鱼邮件，手法相当巧妙。”

类似案例过去也曾发生。2025年4月，以太坊名称服务(ENS)首席开发者 Nick Johnson 曾披露，有人滥用 Google 基础架构，发送了看似来自 [email protected] 并通过了 DKIM 签名的钓鱼邮件。此次 Robinhood 案例传达的信息同样如此。仅凭发件人域名和认证是否失败来判断并不足够，需要养成习惯：不要立即点击邮件中的链接，而是直接通过应用程序或官方网站登录以再次确认通知。