MacOS恶意软件绕过Telegram双重验证，瞄准加密货币…

macOS恶意软件如何危害加密货币用户？

一种针对macOS系统的信息窃取恶意软件，能够通过劫持Telegram桌面会话并收集密码、已认证会话、钱包数据库及浏览器扩展数据，从而危害加密货币用户的资产安全。该恶意软件会从macOS钥匙串、Safari浏览器Cookie、Apple备忘录、Telegram桌面端以及数十个加密货币钱包的数据库中窃取信息。攻击者在获取这些数据后，可利用被盗密码及本地会话文件登录账户，或尝试离线破解钱包数据库。

这种攻击方式尤为危险，因为它将多种攻击手段串联成一条完整的攻击链。该恶意软件并非依赖单一的钱包漏洞，而是收集一切可能帮助攻击者从设备访问权限逐步升级为账户接管、钱包破解或恢复短语窃取的信息。这使得威胁范围远超常规的密码窃取活动。加密货币用户通常会在同一设备上存放浏览器钱包、桌面钱包、硬件钱包应用程序、备忘录、助记词提示以及即时通讯会话。一旦设备被感染，攻击者便可能将这些数据关联起来，逐步构建出一条通往资产盗窃的路径。

为何Telegram会话成为高价值目标？

该恶意软件能够复制已认证的Telegram桌面会话数据，使攻击者无需经过正常登录流程，即可在另一台Mac设备上恢复会话。测试表明，攻击者利用窃取的Telegram桌面会话数据，无需输入手机号码、验证码或双重验证密码即可恢复会话。这意味着，在此场景下，Telegram的双重验证机制无法完全保护用户。该恶意软件并非发起新的登录请求，而是复用了已受信任的本地会话。

对于加密货币用户而言，这构成了重大风险，因为Telegram被广泛用于交易所客服、交易群组、项目社区、场外交易讨论以及涉及钱包的私人通信。一旦攻击者获取了活跃的Telegram会话，他们可能冒充受害者身份，读取私人对话，识别钱包持有情况，针对交易对手方发起攻击，或通过受信任的账户推送恶意链接。这种风险不仅限于受感染用户本身，还可能通过高度依赖Telegram进行实时通信的专业网络和加密货币社区进一步扩散。

投资者提示

这次攻击事件表明，加密货币安全不能仅仅依赖双重认证或硬件钱包。如果本地受信任设备遭到入侵，攻击者可以同时针对会话、钱包文件、密码及恢复流程发起攻击。

哪些钱包和应用面临风险？

该恶意软件的目标钱包包括Exodus、Atomic、Electrum、Wasabi和Monero等软件钱包。同时，它也会搜寻与Ledger Live和Trezor Suite等硬件钱包应用程序相关的数据。此外，该恶意软件还会搜索由全节点客户端存储的钱包数据，包括Bitcoin Core、Litecoin Core、Dash Core和Dogecoin Core。这种广泛的针对性表明，攻击者并非只关注普通的零售钱包用户，他们也在寻找那些在本地运行钱包基础设施或在机器上维护旧版钱包数据库的用户。

一旦钱包数据库被盗，攻击者便可利用从受感染设备上获取的密码，尝试离线解密这些数据库。这是一个关键风险，因为攻击者无需在受害者机器上立即破解钱包加密，而是可以将窃取的文件转移到其他地方，后续再测试密码。该恶意软件还可能会用伪造的版本替换合法的Ledger和Trezor应用程序，诱骗用户输入恢复短语。这种手法针对的是用户的恢复流程，而非硬件钱包本身。如果用户在伪造的应用程序中输入了助记词，即使硬件钱包本身从未被攻破，攻击者也能控制其资产。

受影响的用户应如何应对？

怀疑设备已被感染的用户，应将这台Mac设备视为不可信设备。首要任务是终止现有的Telegram会话，建立新的可信登录，并更改Telegram双重验证密码和Telegram桌面端密码。在钱包安全方面，用户应避免在受影响的机器上输入恢复短语、密码或硬件钱包凭证。新的恢复短语应仅在干净的设备上生成，并将资产转移至未在受感染系统上创建或管理过的新地址。

此次事件也为加密货币投资者和机构带来了更广泛的操作教训。敏感的钱包操作、交易所访问、私人通信和恢复信息不应全部依赖同一台日常使用的设备。隔离至关重要。使用一台独立的干净设备进行钱包管理，严格验证应用程序，限制浏览器扩展数量，并定期检查会话，可以有效降低恶意软件对主要工作站造成的损害。对于交易所、钱包提供商和机构交易台而言，这一威胁也为其加强macOS设备的端点控制提供了新的理由。攻击链条并非仅依赖加密货币本身的弱点，它利用了本地凭证、会话文件和用户行为。这使得设备安全、员工培训以及恢复短语管理成为数字资产风险管理的核心环节。