针对加密货币用户的虚假浏览器更新与虚假验证码恶意软件
虚假验证码恶意软件和虚假浏览器更新如何窃取加密货币：粘贴命令的骗术、危险信号、防护措施，以及运行后该怎么办。
虚假验证码和虚假浏览器更新攻击会诱骗你亲手安装恶意软件：网站显示一个逼真的“验证您是人类”方框或“请更新浏览器”警告，然后指示你下载文件或把一条命令粘贴到电脑中，从而安装窃取加密钱包数据、密码和浏览器会话的软件。真正的验证码或浏览器更新绝不会要求你打开命令窗口，或运行从随便哪个网站下载的文件。
加密货币用户是首要目标，因为一台被感染的电脑就可能暴露热钱包文件、保存在笔记里的助记词、交易所会话和密码管理器。本指南将说明这类攻击的原理、危险信号，以及当你怀疑自己已经运行了它时该怎么做。
虚假验证码骗术的原理
这种手法常被安全研究人员称为“ClickFix”，它让受害者自己成为安装者。
- 1你打开了某个页面 —— 可能是被黑的博客、虚假的文档查看器、盗版软件网站，或加密社区聊天中发来的链接。
- 2出现一个看似熟悉的验证，样式模仿知名验证码服务，声称你必须验证自己是人类。
- 3当你点击方框时，页面会悄悄把一条恶意命令复制到你的剪贴板。
- 4出现新的指示： 在 Windows 上是“按 Windows + R，然后按 Ctrl + V，再按 Enter”；在 Mac 上，变种可能要求你打开 Terminal 并粘贴。
- 5你在没有看到完整内容的情况下运行了命令。 它会在后台下载并启动恶意软件。
- 6页面可能显示“验证完成”并让你继续浏览，因此一切看起来都很正常。
这种骗术之所以奏效，是因为它绕过了许多浏览器防护：运行程序的是你，而不是网站。
虚假浏览器更新攻击的原理
虚假验证码的“老前辈”是虚假更新横幅：
- 被入侵或恶意的网站会覆盖一条全屏消息，称你的浏览器已过期，或不更新就无法显示页面。
- 页面模仿你所用浏览器的品牌样式，并提供下载按钮。
- 该文件就是恶意软件，常伪装成安装程序，或内含脚本的压缩文件。
真正的浏览器会自动更新或通过系统更新进行更新。你永远不需要从碰巧访问的网站下载浏览器更新。
恶意软件会窃取什么
这类攻击活动大多投放的是信息窃取程序——一种快速收集有价值数据并发送给攻击者的恶意软件。对加密货币用户而言，可能包括：
| 被窃取的数据 | 为何重要 |
|---|---|
| 浏览器钱包扩展数据 | 如果密码较弱或已被保存，加密的保险库可能在离线状态下被破解 |
| 已保存的密码和自动填充 | 交易所登录信息、邮箱账户和钱包密码 |
| 会话 Cookie | 攻击者有时无需密码或 2FA 验证码即可劫持已登录的会话 |
| 文件和笔记 | 包含助记词的截图或文本文件 |
| 剪贴板 | 部分恶意软件会替换复制的地址；参见剪贴板恶意软件 |
由于窃取程序在几秒内就能完成操作，损失可能在你察觉任何异常之前就已发生。
一个假设的例子
以下是综合性的示例说明，并非真实案例。
想象一下 Alex：他在找一款免费的图表工具，打开了一个下载网站。页面弹出一个验证码方框。点击之后，Alex 被告知按 Windows + R 并粘贴以“完成验证”。他觉得有些奇怪，但网站看起来很专业。几个小时后，Alex 的浏览器钱包被清空，交易所账户也出现了一次提现尝试。窃取程序在运行后几分钟内就复制了钱包的加密数据、已保存的密码和会话 Cookie。
危险信号清单
- 所谓的“验证码”要求你使用快捷键，打开“运行”、Terminal 或 PowerShell，或粘贴任何内容。
- 告诉你必须下载更新的是某个网站，而不是你的浏览器。
- 下载的是脚本、快捷方式或不常见的文件类型，而不是来自官方厂商的正常安装程序。
- 页面是从你意想不到的网站或搜索广告重定向过来的。
- Discord、Telegram 或 X 对话中的链接把你带到一个“验证”步骤。
- 浏览器或杀毒软件对文件发出警告，而页面却叫你忽略它。
如何保护自己
- 1绝不粘贴你看不懂的命令，尤其是来自网页的命令。
- 2只从官方渠道更新软件：浏览器的设置菜单、操作系统的更新工具，或厂商的官方网站。
- 3助记词离线保存。 切勿存放在笔记应用、截图或云端文档中。参见如何正确备份助记词。
- 4金额较大时使用硬件钱包，让私钥永远不存放在你的电脑上。
- 5使用密码管理器并设置强主密码，同时在交易所和邮箱上启用基于应用或硬件密钥的 2FA。
- 6区分用途： 考虑为加密货币准备专用设备或浏览器配置文件，不用它来下载文件或随意浏览网站。
- 7警惕软件和加密工具的搜索广告；我们关于通过搜索广告进行网络钓鱼的指南解释了原因。
如果你已经运行了该怎么办
- 1将受感染的设备断开网络。
- 2在干净的设备上用全新的助记词创建新钱包，并把受感染电脑上所有钱包里的资金转出。请按照钱包被盗后应立即采取的措施操作。
- 3修改密码：从邮箱开始，依次修改邮箱、交易所和密码管理器的密码，并退出所有活跃会话。
- 4撤销代币授权：对你仍在使用的受影响钱包撤销授权。
- 5彻底清除并重装受感染的电脑，或请专业人员处理；手动清除窃取程序并不可靠。
- 6举报恶意网站：通过浏览器的安全浏览举报工具，以及我们的举报表单进行举报。
总结
虚假验证码和虚假更新之所以得逞，是因为它们让你亲手运行恶意软件。没有任何真正的验证会要求你粘贴命令，也没有任何真正的浏览器需要从随便哪个页面下载更新。不要把密钥放在日常使用的电脑上，只从官方渠道更新，万一中招，请立即用干净的设备采取行动。
常见问题
什么是虚假验证码攻击？
虚假验证码攻击会显示一个看起来像普通“验证您是人类”检查的页面，但它不是让你点击图片，而是要求你按下打开命令窗口的快捷键，并粘贴一条隐藏的命令。这条命令会下载恶意软件，通常是专门针对加密钱包、密码和浏览器数据的信息窃取程序。
真正的验证码会要求我运行命令吗？
不会。正规验证码只会让你在浏览器中勾选方框、点击图片或完成拼图。它们绝不会要求你打开“运行”对话框、Terminal 或 PowerShell，也不会让你粘贴任何内容。任何此类指示都是攻击，你应该立即关闭页面。
浏览器真的需要从网站手动更新吗？
Chrome、Firefox、Edge 和 Safari 等现代浏览器会自动更新，或通过操作系统的更新机制更新。要求你下载浏览器更新文件的网站几乎都是恶意的。请只通过浏览器自身的设置菜单检查更新。
我已经运行了那条命令，我的加密货币还安全吗？
请假定已不安全。断开这台电脑的网络，使用另一台干净的设备，把密钥或助记词曾存放在那台电脑上的所有热钱包中的资金转到新钱包；在干净的设备上修改重要密码并注销所有活跃会话。然后将受感染的电脑彻底清除并重装系统。