您能否相信您的加密货币在您睡觉时是安全的？

一股新的加密恶意软件浪潮正在席卷数字资产的世界，这一次，参与者比以往任何时候都更聪明、更灵活。在这一新潮流的前沿是以俄罗斯为重点的高级持续威胁(套利定价理论(APT))组织——图书馆幽灵，以及源于Android银行木马的跨平台窃取者Crocodilus。

“图书管理员鬼怪最新的活动使用像 AnyDesk 这样的合法软件来隐藏加密矿工和键盘记录器。一旦他们进入，他们就会保持沉默——直到午夜。”

— 卡巴斯基威胁情报 ( 2025年6月9日 )

天秤币图书馆幽灵： “合法”的恶意软件

该APT组织将攻击伪装为常规文档(，例如，钓鱼电子邮件中的支付订单)。一旦打开，他们的恶意软件:

• 安装 4t Tray Minimizer 以隐藏恶意软件进程。
• 部署 AnyDesk 进行远程访问和 XMRig 来挖掘门罗币。
• 窃取加密钱包凭据和注册表项。

2025年新功能：午夜激活——恶意软件仅在夜间运行以避免检测。

他们的攻击不仅仅是简单的暴力抢劫——相反，他们将技术专长与心理胁迫相结合，在加密周期的每一个步骤都进行打击。

图书馆幽灵还优化了他们的加载器，使其伪装成合法的商业应用程序，通常将他们的恶意软件植入看似无害的文档中，例如付款订单或发票。当受害者执行该文件时，恶意软件安装程序会悄悄安装像4t Tray Minimizer这样的程序来掩盖其踪迹，以及AnyDesk进行远程控制。

但这个团体最独特的地方在于他们使用基于时间的触发器：恶意软件仅在夜间激活，从而降低了在工作时间被安全团队检测到的机会。它通过一种夜间策略来实现这一点，允许它窃取钱包凭证，使用XMRig挖掘门罗币，并在未被检测的情况下导出敏感数据。

受害者可能甚至在几周后才意识到出了问题，这时他们的钱包通常已经被清空，系统也被破坏到无法简单恢复的程度。

Crocodilus: 种子短语收集器

最初是一个土耳其银行木马，Crocodilus 现在通过以下方式针对全球加密用户：

• 冒充 Coinbase、MetaMask 或挖矿工具的假应用程序。
• 自动化种子短语收集器，扫描设备以获取钱包数据。
• 通过手机中的假“银行支持”联系人进行社会工程攻击。

“Crocodilus的新解析器以外科手术般的精确度提取种子短语。只需点击一个假X链接，你的钱包就会消失。”

— ThreatFabric MTI Team (June 3， 2025)

另一方面，Crocodilus迅速从区域威胁演变为全球威胁。它不再仅限于Android，现在还针对恶意浏览器扩展、克隆桌面应用程序，甚至Telegram机器人来扩大其影响力。这种恶意软件最致命的特征是其能够从剪贴板数据、屏幕截图和自动填充数据中窃取种子短语，有时甚至在受害者意识到自己被针对之前就已发生。

威胁行为者开始在暗网论坛上出售被盗钱包的访问权限，建立了一个蓬勃发展的黑市，专门为被窃取的数字资产服务，该市场的规模和复杂性不断增长。有时，Crocodilus甚至会将无辜的“支持”号码发送到受害者的手机上，欺骗用户以技术支持的名义提供敏感信息。

假X链接：现在带有实时深度伪造

黑客正在利用 X (Twitter)：

• 被劫持的认证账户 促进虚假的空投。
• 二维码 链接到钱包耗尽的智能合约。
• AI深度伪造支持聊天，模拟真实代理。

真实案例：在2025年5月，一个深度伪造的“埃隆·马斯克”直播呼吁观众扫描一个二维码参与“特斯拉币”赠品活动。受害者在30分钟内损失超过20万美元。

最具威胁性的趋势之一是实时深度伪造支持聊天的开发。黑客利用受AI影响的虚拟形象在X (Twitter)上冒充知名品牌或影响者，提供真实的互动“帮助”，诱使受害者分享他们的种子短语或私钥。

这些深度伪造技术令人信服，甚至连经验丰富的加密用户也受到影响，这些头像模仿了社区内知名人物的声音、语调，甚至肢体语言。

在最引人注目的案例之一中，一个深度伪造的"埃隆·马斯克"在X上的直播宣传了一场虚假的TeslaCoin赠品活动，并在几分钟内造成了数十万美元的损失。

OPSEC提示：如何保持安全

来自 Quillaudits 的 2025 年指南：

| 行动 | 它的重要性 | | --- | --- | | 使用专用设备 | 将加密活动与日常浏览隔离 | | 撤销批准 | 恶意软件无法窃取您已锁定的钱包 | |避免使用公共 Wi-Fi |Crocodilus 在不安全的网络上茁壮成长 | | 离线验证 X 链接 | 深度伪造骗局在交叉检查时消失 |

为了抵御此类威胁，用户将不得不使用多层 OPSEC 方法。专家建议使用硬件钱包进行高价值投资，启用双因素身份验证，并且永远不要分享助记词——即使是与假定的支持人员或合法的社交帐户。

定期检查钱包审批、保持软件更新，以及将加密操作分离到一次性设备中，同样可以降低风险。随着攻击者变得越来越创新和有创意，最好的防御是保持良好的教育，并保持足够的怀疑态度。