購買 Tangem

卡巴斯基发现专门窃取助记词的恶意软件

本文有以下語言版本：

Author logo
Patrick Dike-Ndulue •
Post image

2026年7月，Kaspersky 全球研究与分析团队发布了一份关于其命名为 OkoBot 的恶意软件框架的详细报告。该框架已活跃一年多，并在报告发布时仍在运行。OkoBot 是一个包含 20 多个有效载荷的工具包，可感染 Windows 设备，建立隐藏的远程通道，并针对不同任务部署专用插件。

 

Kaspersky 记录了该恶意软件的两大主要入侵途径：一是通过“ClickFix” 社交工程攻击，二是在 GitHub 下载的软件中隐藏恶意代码。例如，有一个伪装成 SQL Server Management Studio 的安装包，实际上是被植入恶意库的 Audacity 音频编辑器。该包在搜索结果中排名靠前，因此看起来很正规，容易获得用户信任。

 

一旦用户运行诱饵程序，一个名为 TookPS 的 PowerShell 脚本会建立 SSH 隧道连接到攻击者。自动化机器人随后会收集钱包文件、浏览器 Cookie 和凭证，并悄悄为更重型的有效载荷打开后门。

 

在这些有效载荷中，有一个特别值得关注。Kaspersky 称之为 SeedHunter，其唯一目的就是窃取硬件钱包用户的恢复助记词。我们仔细研读了报告，并专访了 Tangem 安全负责人，直接发问：SeedHunter 能攻破 Tangem 吗？
 

SeedHunter 的实际运作方式

SeedHunter 会持续监控被感染 Windows 电脑上运行的进程列表，专门寻找三个应用：Trezor Suite、Ledger Live 和 Ledger Wallet。一旦发现其中之一在运行，就会将自身代码注入该进程。

这些桌面钱包应用基于 Electron 框架开发，本质上是将网页封装为桌面应用。SeedHunter 钩住 Electron 的内部函数，能够在用户毫无察觉的情况下篡改应用界面内容。钱包窗口就这样变成了攻击者的“画布”。
 

该恶意软件会定期扫描 USB 设备，通过厂商 ID 和产品 ID 过滤，只等待真正的 Trezor 或 Ledger 设备插入。Kaspersky 发现，恶意软件既可等待来自命令服务器的“启动”信号，也可根据接收到的标志立即发动攻击。

 

当检测到设备连接时，恶意软件会在受信任应用内展示一页硬编码的钓鱼页面，每个钱包品牌的页面布局都不同。该页面会要求用户输入助记词以“恢复”或“验证”钱包。

 

用户以为自己是在正规钱包软件中操作，插入设备后被提示输入助记词。当输入后，恶意软件会捕获助记词，发送到命令服务器，并本地加密保存一份。攻击者随后可随时转移资金。

 

OkoBot 的其他插件极大拓展了攻击范围。OkoSpyware 会整理 100 多个目标应用清单，包括 Exodus 等钱包和 1Password、KeePassXC 等密码管理器，然后用内置 FFmpeg 录制这些窗口的视频，并记录所有按键。

甚至 浏览器扩展钱包也会被这样监控；Kaspersky 的遥测数据显示，MetaMask 和 Tonkeeper 标签页 也会被同样标记并录制。另有独立模块 MC Keylogger，可捕获按键、剪贴板内容（包括复制的图片）、已连接 USB 设备详情，并每五分钟截一次屏。

 

Kaspersky 描绘的画面是：被感染设备处于全面监控之下，核心就是专为助记词设计的陷阱。


当攻击者无可窃取时

SeedHunter 要成功，需要同时满足四个条件。对于默认的 Tangem 设置，这四点全都不存在。

  1. 需要可钓鱼的助记词。这是整个攻击的基础。在 Tangem 标准模式下，私钥在卡片的认证安全芯片内生成，从未离开过芯片。如果用户没有助记词，钓鱼页面就无从下手。
     
  2. 第二，需要可注入的桌面应用。SeedHunter 只针对三种 Windows 桌面进程，均为 Electron 应用。Tangem 并无桌面端应用。
     

  3. 第三，需要可识别的 USB 设备。 恶意软件会通过 USB 扫描已知钱包硬件的厂商和产品 ID。Tangem 卡片则是通过 NFC 与手机通信，只需轻触即可。

     

  4. 第四，需要合理的诱因。 Ledger 和 Trezor 用户习惯于在应用内恢复或验证流程中输入助记词，因此看到相关提示不会警觉。而 Tangem 的标准流程从不要求用户输入恢复助记词。你只需扫描卡片或戒指，输入生物识别或访问码。任何要求输入助记词的提示，对 Tangem 用户来说都是危险信号。

     

Tangem CTO Andrey Lazutkin 认为，助记词本身就是这类攻击的结构性弱点。

 

“很多人购买硬件钱包，是希望设备能保护私钥。但在许多传统钱包中，设备会先将助记词展示给用户，安全责任又回到用户手中。”

 

“从那一刻起，最薄弱的环节已不再是硬件钱包，”他补充道，“而是助记词：一张纸、一块金属板、一个抽屉、一个保险箱、一张不该拍的照片，或是任何可能丢失、损坏、被复制、泄露或被盗的短语。”


钓鱼攻击依然会直接针对助记词，因为一旦助记词泄露，硬件钱包的价格或安全级别都已无关紧要。

手机如何自保？

Tangem 的移动优先、硬件加持模型从结构上规避了 OkoBot。但移动端恶意软件确实存在。我们也询问了 Tangem App 如何抵御 OkoBot 依赖的三大核心手段：伪造覆盖层、键盘记录和屏幕捕获。

据 Lazutkin 介绍，Tangem App 具备全套运行时安全防护：

  • 运行时完整性检查，
  • 反调试，
  • 反模拟，
  • Root 与越狱检测，
  • 加密存储，
  • 安全通信，
  • 证书校验，
  • WebView 保护，
  • 防止界面劫持，
  • 安全输入处理。

 

此外还包括最小权限、代码审查、安全审计和自动化安全检测等措施。其中三项防护正好对应 OkoBot 的攻击方式（界面劫持、键盘记录、视频捕获）。

 

防止界面劫持，是移动端针对 SeedHunter 伪造界面的对策。在移动设备上，覆盖攻击通常表现为在应用窗口上方浮动一个透明或误导性的遮罩，诱使用户误操作。Tangem App 会在用户交互时主动检测界面是否被遮挡，确保在敏感操作区没有任何不可见 UI 覆盖层。若检测到覆盖攻击，会立即阻止。

 

安全输入处理，则针对键盘记录。自定义输入法是常见的窃取手段，App 会在用户输入敏感信息时检测输入法类型，同时禁用自动填充、拼写检查、密码保存和预测文本，防止这些功能悄悄缓存或泄露敏感内容。

 

禁止截屏与录屏，则应对 OkoSpyware 的视频捕获。在显示敏感信息的所有界面，App 均禁止截屏和录屏。OkoSpyware 用于录制 PC 钱包窗口的技术，在手机操作系统层面被直接屏蔽。

 

在所有防护措施之下，完整性检查是基础。App 会在运行时自检代码完整性，发现篡改即阻止潜在的恶意或未授权版本运行。这属于 运行时应用自我保护（RASP）范畴。Tangem 采用了 Licel 的 DexProtector，与主流银行和支付 App 使用的同类嵌入式防护一致，也是 首个通过 EMVCo 认证、适用于 Android 和 iOS 的软件保护工具。

供应链风险

OkoBot 通过伪造的 GitHub 仓库传播，这些仓库被搜索引擎收录并在常见软件关键词下排名靠前。用户搜索正规工具时，首先看到的却是恶意版本。

 

它还利用了被植入木马的依赖库。Kaspersky 追踪到最终有效载荷为恶意 protobuf.dll，被捆绑进一个开源工具。该库表面与正版一致，但解密后会加载真正的恶意插件调度器。

 

当正规程序加载该库时，也会一同加载恶意代码。这类攻击与多起重大软件项目被“投毒依赖”事件类似——一旦信任的依赖被污染，所有下游项目都将受到影响。

 

我们向 Tangem CISO Anton Afanasyev 询问了 Tangem 如何保护自身构建流程，防范此类风险。

 

他说：“我们采用多重措施。” 首先是对关键部分尽量减少对外部代码的依赖。“我们对部分关键外部库进行了 fork 或重写，由内部维护。” 这样一来，库就不会像公开依赖那样被静默替换成木马版本。

 

第二层是流程规范。“我们实行安全开发流程，对所有依赖进行漏洞检测，采用受控的更新窗口、代码审查等。” 受控更新窗口很关键：依赖不会在新版本发布时自动拉取，正是防止被污染包趁机混入。所有更新都需人工审查后引入。

 

我们还向 Lazutkin 询问了另一种风险：如果攻击者盗取开发者凭证，通过官方应用商店推送恶意更新怎么办？


他表示，这类攻击要成功，攻击者需要攻破开发者凭证、绕过多因素认证和内部访问控制、通过发布审核流程、将恶意代码注入官方构建、通过 Apple 或 Google 审核、保持官方应用身份、避开平台恶意软件检测，并且不被团队、监控系统和开源社区发现。

威胁监控与应对

OkoBot 通过伪造仓库排名和模仿知名品牌获取用户信任。防御这种分发方式，需要持续威胁监控。我们询问了 Afanasyev，Tangem 如何发现冒牌应用、假仓库和仿冒品牌的钓鱼页面。


他说：“Tangem 会持续关注安全威胁情报和相关新闻渠道，监控与用户相关的恶意软件家族和攻击活动，这部分我本人直接负责。” 针对仿冒和冒牌问题，他补充道：“我们会监控各种资源和非官方 Android 应用商店，包括 GitHub。”


钓鱼处理依赖两条线索协作。“我们的用户会向我们举报钓鱼网站、假冒社交媒体和通讯账号。” Afanasyev 说。第二条线索为内部渠道。当识别到钓鱼资源时，Tangem 会与相关方协作处理下架。


我们把最尖锐的问题留到最后：是否有已知的窃取类或间谍软件将 Tangem App 纳入监控名单，像 OkoSpyware 针对 MetaMask 和 Tonkeeper 那样？ 

 

Afanasyev 表示：“目前我们尚未发现有此类移动端恶意软件。” 他也明确指出，确实存在一种情况：在桌面端，攻击者曾发起过诱导用户下载假冒“ Tangem Desktop ”应用的活动。“这些只是普通的远程控制病毒，会开启受害者电脑的远程访问。” 这类攻击并非针对助记词的定向窃取工具 SeedHunter。由于缺乏攻击目标，攻击者只能退而求其次，采用通用的远程控制恶意软件。


总结

SeedHunter 是针对特定设计的高水平攻击：即连接物理设备的桌面钱包应用，并在某个环节向用户展示助记词。

 

Tangem 并不具备上述三大特征。因此，这套复杂的攻击框架即使来到 Tangem 用户面前，也无从下手——它扫描不到 USB 钱包，找不到桌面进程可注入，也没有任何被写下的助记词可钓鱼。


这一结果，正是 Tangem 安全理念的直接体现：通过“减法”而非“加法”，让最核心的私钥始终封存在芯片内部，无需信任与电脑的交互。


当然，用户自身依然承担一定责任。如果用户将外部助记词导入 Tangem，并保留纸质备份，就重新引入了 SeedHunter 针对的薄弱环节，仍有可能通过其他渠道遭遇钓鱼攻击。

参考资料

Andrey Lazutkin 为 Tangem 首席技术官，Anton Afanasyev 为 Tangem 首席信息安全官。

Author logo
作者 Patrick Dike-Ndulue

Senior editor covering crypto, onchain equities, and technology.
Author logo
經審核 Andrey Lazutkin

Chief Technology Officer at Tangem.
別錯過這些

其他文章