假冒 Claude 桌面应用传播 RevStealer 恶意软件，令 50 多个加密钱包面临风险
假冒 Claude 桌面应用传播 RevStealer 恶意软件，令 50 多个加密钱包面临风险
针对加密货币用户的最新一波 Windows 恶意软件有着熟悉的套路：可信品牌、诱人的下载，以及一个隐藏载荷，用来窃取受害者存储在浏览器中的一切内容。在这起事件中，攻击者正在利用一个假冒的 Claude 桌面安装包来传播 RevStealer，这是一种数据窃取型恶意软件家族，似乎专为大规模收集凭证、会话数据和与钱包相关的信息而设计。
对于活跃于加密领域的人来说，这绝不只是又一则普通的钓鱼故事。它提醒我们，最危险的威胁往往不是直接攻击区块链本身，而是攻击你浏览、授权、签名和管理资产的那台设备。
为什么假冒 AI 应用会成为有效的加密诱饵
AI 工具已经成为交易员、创始人、分析师和开发者日常工作流程的一部分。这让它们成了理想的诱饵。一个受欢迎助手的假冒「免费」桌面版会降低受害者的警惕，因为他们以为自己安装的是生产力软件，而不是在给凭证窃取者开门。
这种模式符合网络犯罪的更大趋势：攻击者越来越常把恶意软件打包进看起来有用、时髦或独家的软件中。「Free Pro」、「cracked」以及「desktop mod」式安装包仍然是常见诱饵，因为它们同时利用了好奇心和紧迫感。
如果你想获取真正的产品，请始终从 Claude 官方网站 claude.ai 开始，而不是第三方镜像、转载页面或下载合集。
RevStealer 想要窃取什么
安全研究人员表示，这种恶意软件旨在收集广泛的敏感数据，包括：
- 浏览器用户名和密码
- Cookie 和会话令牌
- 密码管理器数据
- VPN 和远程访问设置
- 通信应用数据
- 屏幕截图
- 选定文档
- 与 50 多个加密钱包相关的信息
这种组合对加密用户尤其危险，因为入侵通常并不是从私钥泄露开始的。更常见的是，攻击者先窃取浏览器会话、钱包扩展数据、云端登录信息或恢复材料。随后，他们就可以进一步渗透到交易所账户、交易界面、邮箱和密码管理器中。
理解这一威胁模型的一个有用参考，是 Microsoft 对恶意软件的概述，其中解释了现代恶意软件往往更专注于窃取、持久化和隐蔽性，而不是显而易见的破坏。
为什么加密钱包是如此有价值的目标
加密用户往往会把有价值的操作集中在同一台终端上：同一台笔记本电脑可能同时保存交易所登录信息、链上数据面板、钱包扩展、助记词备份，以及用于交易或社区工作的通讯应用。这种集中化会让一次 Windows 终端入侵造成的破坏远超预期。
即便私钥没有被直接窃取，攻击者仍然可以利用：
- 浏览器 Cookie 和会话，在无需重新输入密码的情况下接管账户。
- 已保存的凭证，访问邮箱、云存储和交易所。
- 密码管理器数据，从而解锁更多服务。
- 屏幕截图和文档，其中可能暴露恢复短语、API 密钥或资产组合信息。
对加密货币持有者而言，这就是为什么终端安全和链上安全同样重要。钱包安全不仅关乎钱包应用本身，也关乎钱包所运行的环境。
RevStealer 还试图躲避分析人员
根据研究，该恶意软件会检查内存、CPU 核心数、用户名、主机名和显卡硬件，以判断自己是否运行在真实用户机器上。如果它检测到调试或虚拟化的迹象，可能会停止或减少恶意行为。
这一点很重要，因为它有助于恶意软件避开沙箱和分析环境中的早期检测。实际上，这意味着某个样本在检查时看起来可能无害，只有在真实受害者设备上才会完全激活。
这也是假安装包如此有效的另一个原因：它们不是那种喧嚣的勒索软件爆发，而是安静的凭证收集器，会一直等待，直到积累到足够多的数据，足以被攻击者利用。
加密安全启示：相信来源，而不是承诺
「免费高级版」AI 应用的承诺几乎总是陷阱。在加密世界里，同样的警告也适用于钱包工具、交易机器人、空投面板以及「特殊」浏览器扩展。如果下载路径不是官方渠道，那么风险就不是理论上的。
用户应将以下情况视为红旗：
- 在官方厂商网站之外提供的下载
- 声称提供「免费 Pro」、「cracked」或「unlocked」软件
- 通过随机代码仓库或论坛分享的安装包
- 捆绑附加组件、脚本或未签名可执行文件
- 安装时要求禁用安全工具
关于更广泛的钓鱼和社会工程防范，CISA 的钓鱼防护指南以及其 Secure Our World 计划为个人用户和团队提供了非常实用的检查清单。
加密用户现在如何降低暴露风险
如果你在 Windows 上使用任何与数字资产相关的功能，养成以下习惯可以显著降低风险：
1. 只从官方来源获取 AI 和钱包软件
只从官方网站或经过验证的应用商店下载。避免镜像站、「便携版」构建，以及社交媒体链接。
2. 将加密活动与日常浏览分开
为交易所访问、DeFi 和钱包管理使用独立的浏览器配置文件，甚至独立设备。扩展越少，令牌被窃取的机会就越少。
3. 重新审视你的密码管理器使用模式
密码管理器仍然有用，但一旦终端被入侵，其数据会变得高度敏感。保护主密码，启用强 MFA，如果你怀疑感染，请只在干净的设备上更新重要密码。
4. 将恢复材料离线保存
助记词、恢复份额和备份笔记绝不应存放在截图、云笔记或桌面文件夹中。
5. 对紧迫感保持警惕
恶意软件活动往往会施加时间压力：限时优惠、限量测试、限量邀请、限时解锁。这种压力本身就是攻击的一部分。
6. 对重要资金使用硬件签名
如果钱包入侵从桌面端开始，将私钥与那台机器隔离，可以防止攻击者直接提取私钥。
硬件钱包在其中的作用
硬件钱包并不能让钓鱼消失，但它会改变失败的代价。如果你的电脑感染了像 RevStealer 这样的窃取型恶意软件，将私钥保持离线可以帮助阻止一次浏览器级别的入侵演变成全部资产损失。
这就是为什么许多长期持有者和活跃的链上用户，会为高价值资金采用硬件钱包工作流。像 OneKey 这样的设备可以帮助将私钥与受感染的 PC 隔离，并让交易确认更具可控性——这在桌面环境已不再可信时尤为重要。
核心思想很简单：如果你的笔记本电脑是你浏览和交易的地方，那么它就不应该同时成为你最敏感密钥的存放地。
结语
假冒 Claude 桌面端的这次行动，是一个关于加密盗窃如何演变的典型案例。攻击者如今不必攻破区块链；他们只需要攻破用户登录、签名和存储恢复数据的终端。
对加密货币持有者来说，最佳防御是分层的：只从可信来源安装软件，减少浏览器暴露，离线保存恢复数据，并将重要资金迁移到硬件保护的存储中。在这样一种威胁环境里，窃取型恶意软件可以一次性瞄准数十个钱包，这种纪律已经不再是可选项。
