绕过两步验证：Mac恶意软件如何窃取十余种钱包

据Woofun AI 消息，区块链安全公司SlowMist披露了一种针对macOS系统的新型威胁，该恶意软件能够直接劫持Telegram Desktop登录会话，进而危及用户持有的加密货币钱包安全。

该恶意软件的数据窃取范围极广，不仅覆盖macOS Keychain、Safari浏览器缓存及苹果备忘录，还深入扫描与十余种加密货币钱包相关的数据库。Woofun AI 整理数据显示，攻击者在获取密码及已验证会话后，不仅能复制Telegram Desktop数据，还可在离线环境下 decrypt 窃取的钱包数据库，甚至通过替换Ledger和Trezor的合法应用，诱骗用户输入恢复短语，此攻击链已在隔离环境中被完整复现。

受害目标清单涵盖Exodus、Atomic、Electrum、Wasabi、Monero等软件钱包，以及Ledger Live、Trezor Suite等硬件钱包应用，同时还会搜索Bitcoin Core、Litecoin Core、Dash Core和Dogecoin Core等全节点客户端的存储数据。

值得注意的是，Telegram的两步验证机制在此类攻击中完全失效，因为恶意软件直接重用了已验证的本地登录会话，无需创建新的登录账号；测试证实，攻击者无需输入电话号码、验证码或两步验证密码，即可在另一台Mac设备上恢复被窃取的会话。

针对这一威胁，SlowMist建议疑似受感染用户立即终止现有的Telegram登录会话，并建立新的可信登录账号。用户必须同步更改Telegram的两步验证密码及Telegram Desktop的密码，同时在干净的设备上生成新的恢复短语，并将所有资产紧急迁移至新的地址。