FBI警告：加密货币盗窃或在数月后才发生，助记词泄露风险隐匿

美国联邦调查局（FBI）于11月12日发布最新安全通告，揭示一起由朝鲜黑客组织主导的复杂网络攻击——“FaceStealer”案件。该攻击利用被劫持的通信账户，通过播放真实录制的视频画面制造虚假会议场景，诱使受害者下载恶意程序，进而获取其加密钱包的助记词。

为何钱包看似正常却已失守？

助记词是恢复钱包私钥的核心信息，一旦被复制，攻击者即可在任何设备上重建相同钱包。值得注意的是，复制助记词本身不会触发链上交易，因此账户余额仍可正常查看，也无法通过区块浏览器识别出已被他人掌控。

这意味着，即使没有资金立即转移，也绝不等于安全。实际案例显示，部分受害者在遭遇入侵后数月甚至超过一年才发生资金被盗，攻击者通常选择等待资产积累至更高价值时再行操作。

伪造视频如何实现精准欺骗？

FaceStealer攻击始于对目标联系人账户的窃取。攻击者利用这些真实账号发送伪装成合作或会议邀请的链接，嵌入假冒的视频会议页面。

他们调用此前窃取的摄像头录像，让受害者误以为熟人正在参与通话。随后以“音频异常”或“需更新客户端”为由，诱导对方运行脚本或输入命令，从而植入恶意软件。

尽管存在合成视频技术，但此次行动主要依赖真实录制内容。这使得欺骗更具可信度：攻击者无需虚构人物，仅用已有影像即可操控对话情境。

清除病毒≠恢复安全

删除恶意软件只能阻止程序继续运行，但无法回收已被导出的助记词。即便重新安装钱包、更改本地密码或在新设备上恢复，原有凭证依然处于被第三方控制的状态。

真正有效的应对方式是创建一个全新的钱包，使用独立生成的助记词，并将原钱包中的所有资产转移至新地址。以Phantom为例，其官方指南明确指出：旧助记词钱包无法直接更换助记词，且需额外处理代币、收藏品及DeFi质押等非显性资产。

信任链条的连锁风险

被攻陷的账户不仅暴露了钱包信息，还包含完整的联系人列表与聊天记录。攻击者借此定制化社交工程策略，例如模仿真实关系发起投资邀约，极大提升成功率。

即便未发生资金损失，相关联系人也可能因收到预录视频而误信攻击者身份。因此，恢复账户只是第一步，必须主动通知潜在受影响群体，并向雇主通报工作设备或敏感资料是否外泄。

发现可疑行为后应采取哪些措施？

FBI建议所有疑似受侵用户立即执行以下步骤：

• 更换钱包凭证：在未受感染设备上创建新钱包，迁移全部资产；
• 强化账户安全：修改密码、退出所有会话、启用多重身份验证；若无法登录，及时联系平台申请恢复或停用；
• 通知关联方：告知亲友及同事，说明攻击者可能冒充本人发送消息；
• 提交报告：通过IC3官网提交事件详情，并注明关键词“FaceStealer”；
• 谨慎对待未来会议：独立打开官方应用加入会议，通过其他渠道确认邀请真实性，拒绝执行聊天中提供的脚本或指令。

对于几个月前曾配合过异常“修复方案”的用户，务必重新评估当时访问过的所有账户与密钥状态。这一审查过程决定是否需要立即转移资产、终止会话并发出预警。

据FBI披露，过去18个月内，该攻击模式已导致超4亿美元的加密资产被盗。目前，执法部门已没收超过900段受害者的网络摄像头录像，持续打击该基础设施。