2.43亿美元，一通电话就够了

有人损失2.43亿美元，你会怎么想？可能以为顶级黑客攻破交易所冷钱包，或者比特币网络遭到51%攻击。但事实更简单也更可怕：一通电话，对方自称谷歌客服。15分钟后，受害者眼睁睁看着账户余额归零，却动不了鼠标，因为他以为自己在配合“谷歌团队”做安全检查。这是真实发生的事件，不是电影情节。

你可能会说“这人是傻子，我绝不会上当”。别太自信。当黑客准确报出你的家庭住址、全名，甚至知道你在某家破产公司（比如Genesis）里的债权人身份和金额，你的心理防线崩塌得比想象中快。骗子掌握全部私人信息后，你很难保持清醒。我进入加密行业八年，最大的体会就是：人性漏洞比代码漏洞更难防。ZachXBT作为链上情报分析师，把这种现象称为从代码攻击转向人性攻击。在这个圈子里，傲慢是破产的第一步。每个受害者起初都觉得自己是例外，直到事情发生。

黑客的三步收网：数据、伪装、致命授权

第一步，了解你的一切。黑客不是在海洋里钓鱼，他们直接在鱼缸里钩鱼。这次他们从暗网拿到了Genesis破产债权人名单，这些数据与真实姓名、电话、索赔金额一一对应。他们知道你是谁，知道你有多少钱，甚至可能比你老婆还了解你。

第二步，冒充谷歌客服。他们没有伪装成币安或Coinbase客服，因为加密用户对交易所来电警惕性很高，但谷歌不同。谷歌是数字生活的基础，当对方说你的谷歌账户即将被锁定，你的第一反应是赶紧修复，而不是先怀疑对方。选择谷歌客服这个身份很巧妙，因为我们对谷歌邮箱、谷歌云盘的依赖度极高，听到账户异常会本能紧张。

第三步，致命授权。受害者在慌乱中被诱导安装AnyDesk这类远程桌面软件。在存有资金的设备上装远程控制软件，相当于把家门钥匙交给劫匪。FBI过去都出过特工偷比特币的事，所以谁也不能轻信。黑客进去后，根本不需要你的私钥，他们控制你的鼠标，用你的IP地址，把交易所里的资产全部转走。交易所风控系统甚至不会报警，因为一切看起来就是你自己在电脑前操作的。

这类黑客并非零散小毛贼，他们属于高度组织化的犯罪团伙，甚至把诈骗工具当SaaS服务售卖，已经产业化收割了。

5美元扳手与数据泄露：从技术到物理攻击

如果说那通电话是智取，接下来这种就是赤裸裸的暴力。你一定听说过5美元扳手攻击。黑客算过账：破解一个军用级加密冷钱包成本高得吓人，但五金店一把扳手只要5美元。把你绑起来，打一顿，逼出密码，成本低，成功率高。

2025年初，Ledger钱包联合创始人在法国被绑架，甚至被切掉一根手指来勒索赎金。Ripple联合创始人Chris Larsen的个人钱包也被盗超过1亿美元。你可能会问，黑客怎么知道他们住哪？答案还是数据泄露。你买Ledger钱包时留的邮箱，连同收货地址一起被泄露；你在推特上炫耀无聊猿，黑客把链上巨鲸地址、家庭住址、社交媒体动态拼在一起。在他们眼里，你已经从加密朋克变成了待宰的肥羊。他们甚至用开源情报分析你家门口装了几个摄像头。这些暴力事件是数据泄露的必然结果，你每在网上公开一条持仓动态，都可能成为绑匪的线索。

为什么杀毒软件和OPSEC救不了你

看到这里，你可能会问：装个杀毒软件、做好OpSec不就够了吗？很遗憾，这些对人性攻击基本无效。杀毒软件防的是木马病毒，OpSec防的是网络痕迹，但这次攻击直接操纵的是你的大脑。黑客不需要破解任何加密算法，只需要让你心甘情愿交出控制权。

所以更有效的防御不是技术，而是改变行为习惯。以下三条原则，必须刻进骨头里。

反人性弱点生存系统：三条保命建议

具体怎么做？以下三条原则必须刻进骨子里。

• 第一，做物理意义上隐形的灰人。不要把硬件钱包直接寄到家里，租一个邮政信箱或使用自提点。切断资金与家庭住址的物理关联，别给劫匪留面包屑。
• 第二，和家人约定一个暗号。现在AI已经能完美克隆声音。如果接到家人哭着要钱的电话，说需要你立刻解锁多签钱包，先对暗号。暗号不对，哪怕再逼真也是AI诈骗，挂断。
• 第三，也是最重要的一点：大额资金必须用多签钱包。刀架在脖子上时，单签钱包会让你陷入“交钱还是死”的绝境。多签钱包可以让你诚实地说：密钥分在三个地方，我现在拿不到，不可能。这是无法改变的事实，能打断劫匪的计划，可能救你一命。

自由有代价，别让傲慢先破产

Web3的自由有代价：你的密钥，你的命。别让一通假客服电话开启噩梦。今天就为可能发生的一天做好准备，别做那个自以为例外的人。在这个行业，自由意味着责任，任何疏忽都可能被利用。面对越来越人性化的攻击，只有提前准备，才能保护自己和家人。

2.43億美元，一通電話就夠了

有人損失2.43億美元，你會怎麼想？可能以為頂級黑客攻破交易所冷錢包，或者比特幣網絡遭到51%攻擊。但事實更簡單也更可怕：一通電話，對方自稱谷歌客服。15分鐘後，受害者眼睜睜看著帳戶餘額歸零，卻動不了鼠標，因為他以為自己在配合“谷歌團隊”做安全檢查。這是真實發生的事件，不是電影情節。

你可能會說“這人是傻子，我絕不會上當”。別太自信。當黑客準確報出你的家庭住址、全名，甚至知道你在某家破產公司（比如Genesis）裡的債權人身份和金額，你的心理防線崩塌得比想象中快。騙子掌握全部私人信息後，你很難保持清醒。我進入加密行業八年，最大的體會就是：人性漏洞比代碼漏洞更難防。ZachXBT作為鏈上情報分析師，把這種現象稱為從代碼攻擊轉向人性攻擊。在這個圈子裡，傲慢是破產的第一步。每個受害者起初都覺得自己是例外，直到事情發生。

黑客的三步收網：數據、偽裝、致命授權

第一步，了解你的一切。黑客不是在海洋裡釣魚，他們直接在魚缸裡鉤魚。這次他們從暗網拿到了Genesis破產債權人名單，這些數據與真實姓名、電話、索賠金額一一對應。他們知道你是誰，知道你有多少錢，甚至可能比你老婆還了解你。

第二步，冒充谷歌客服。他們沒有偽裝成幣安或Coinbase客服，因為加密用戶對交易所來電警惕性很高，但谷歌不同。谷歌是數字生活的基礎，當對方說你的谷歌帳戶即將被鎖定，你的第一反應是趕緊修復，而不是先懷疑對方。選擇谷歌客服這個身份很巧妙，因為我們對谷歌郵箱、谷歌雲盤的依賴度極高，聽到帳戶異常會本能緊張。

第三步，致命授權。受害者在慌亂中被誘導安裝AnyDesk這類遠程桌面軟件。在存有資金的設備上裝遠程控制軟件，相當於把家門鑰匙交給劫匪。FBI過去都出過特工偷比特幣的事，所以誰也不能輕信。黑客進去後，根本不需要你的私鑰，他們控制你的鼠標，用你的IP地址，把交易所裡的資產全部轉走。交易所風控系統甚至不會報警，因為一切看起來就是你自己在電腦前操作的。

這類黑客並非零散小毛賊，他們屬於高度組織化的犯罪團伙，甚至把詐騙工具當SaaS服務售賣，已經產業化收割了。

5美元扳手與數據洩露：從技術到物理攻擊

如果說那通電話是智取，接下來這種就是赤裸裸的暴力。你一定聽說過5美元扳手攻擊。黑客算過賬：破解一個軍用級加密冷錢包成本高得嚇人，但五金店一把扳手只要5美元。把你綁起來，打一頓，逼出密碼，成本低，成功率高。

2025年初，Ledger錢包聯合創始人在法國被綁架，甚至被切掉一根手指來勒索贖金。Ripple聯合創始人Chris Larsen的個人錢包也被盜超過1億美元。你可能會問，黑客怎麼知道他們住哪？答案還是數據洩露。你買Ledger錢包時留的郵箱，連同收貨地址一起被洩露；你在推特上炫耀無聊猿，黑客把鏈上巨鯨地址、家庭住址、社交媒體動態拼在一起。在他們眼裡，你已經從加密朋克變成了待宰的肥羊。他們甚至用開源情報分析你家門口裝了幾個攝像頭。這些暴力事件是數據洩露的必然結果，你每在網上公開一條持倉動態，都可能成為綁匪的線索。

為什麼殺毒軟件和OPSEC救不了你

看到這裡，你可能會問：裝個殺毒軟件、做好OpSec不就夠了嗎？很遺憾，這些對人性攻擊基本無效。殺毒軟件防的是木馬病毒，OpSec防的是網絡痕跡，但這次攻擊直接操縱的是你的大腦。黑客不需要破解任何加密算法，只需要讓你心甘情願交出控制權。

所以更有效的防禦不是技術，而是改變行為習慣。以下三條原則，必須刻進骨頭裡。

反人性弱點生存系統：三條保命建議

具體怎麼做？以下三條原則必須刻進骨子裡。

• 第一，做物理意義上隱形的灰人。不要把硬件錢包直接寄到家裡，租一個郵政信箱或使用自提點。切斷資金與家庭住址的物理關聯，別給劫匪留麵包屑。
• 第二，和家人約定一個暗號。現在AI已經能完美克隆聲音。如果接到家人哭著要錢的電話，說需要你立刻解鎖多簽錢包，先對暗號。暗號不對，哪怕再逼真也是AI詐騙，掛斷。
• 第三，也是最重要的一點：大額資金必須用多簽錢包。刀架在脖子上時，單籤錢包會讓你陷入“交錢還是死”的絕境。多簽錢包可以讓你誠實地說：密鑰分在三個地方，我現在拿不到，不可能。這是無法改變的事實，能打斷劫匪的計劃，可能救你一命。

自由有代價，別讓傲慢先破產

Web3的自由有代價：你的密鑰，你的命。別讓一通假客服電話開啟噩夢。今天就為可能發生的一天做好準備，別做那個自以為例外的人。在這個行業，自由意味著責任，任何疏忽都可能被利用。面對越來越人性化的攻擊，只有提前準備，才能保護自己和家人。