美国联邦调查局互联网犯罪投诉中心（IC3）——该机构收集互联网犯罪投诉并发布公众警报的渠道——11月12日发布公告，描述了多起已报告的FaceStealer案件中，初始入侵与加密货币被盗之间相隔数月乃至一年多的情况。FaceStealer是一项由朝鲜主导的行动，利用被劫持的通讯账户和虚假视频会议诱骗目标安装恶意软件。该警告针对的是那些可能在很久以前就遵循了恶意故障排除指令的人：该机构提醒，没有出现未经授权的转账，并不能证明其钱包凭据仍然保密。

为什么助记词被盗后钱包看起来仍然正常

助记词允许兼容的钱包软件重建用于授权交易的私钥。对于标准的助记词钱包，任何持有助记词的人都可以在另一台设备上恢复访问权限，同时不会移除所有者的访问权限，这意味着双方都可能拥有动用资金的能力。

复制助记词不会转移加密货币。区块浏览器可以显示存款和转账，但无法显示另一个人已获取授权未来提款所需的信息。因此，所有者可以继续正常使用钱包，而攻击者则在等待更大的余额出现。

11月12日公告描述的正是攻击者的这种行为。它没有给出平均等待时间，也没有估计入侵导致延迟盗窃的频率。其结论范围较窄：多起已报告的案件涉及在入侵发生数月至一年多之后的盗窃和通讯账户劫持。

暴露范围取决于攻击者能够访问的内容。存储在被感染计算机上的助记词，与从未被该设备获取过的助记词相比，呈现出不同的风险，而且仅凭一次计算机感染，并不意味着所有者使用的每个钱包都丢失了密钥。

熟悉的联系人如何传递虚假修复方案

FaceStealer行动始于获取过往受害者的通讯账户。攻击者利用该真实账户联系受害者的联系人，以叙旧、合作或投资机会为由搭讪，然后发送虚假会议服务的链接。

在虚假会议中，他们播放被盗的网络摄像头录像，使可辨识的人士看起来正在参与。随后他们声称目标存在音频问题或需要更新。所谓的解决方案要求目标下载文件、运行脚本或输入安装恶意软件的命令。

尽管公告也提到了合成视频，但该行动仍然主要依赖真实被盗的录像。这种欺骗并不需要伪造面孔：真实录像被用于一场被录制的当事人并未参与的对话中。

在捣毁FaceStealer基础设施的行动中，当局查获了900多份受害者的网络摄像头录像。FBI将18个月内超过4亿美元的加密货币盗窃归因于该计划。

清理计算机无法恢复钱包控制权

清除恶意软件可以阻止该软件继续在设备上运行，但无法找回已被复制到别处的助记词。重新安装钱包应用、更改本地密码或在另一台计算机上恢复相同的助记词，都不会改变底层的钱包凭据。

对于已暴露的助记词钱包，更换意味着创建一个使用全新助记词的钱包并转移资产。标准助记词钱包没有发行方可以在助记词被复制后使其失效，这就是为什么更换而非修复才是可行的途径。Phantom的迁移指南解释说，其现有的助记词钱包不能简单地指定新助记词，并建议检查代币、收藏品、质押资产和DeFi头寸，其中一些需要额外的步骤才能转移。

因此，迁移需要考虑的不仅仅是钱包初始屏幕上显示的余额。所有者必须识别仍由已暴露凭据控制的资产和头寸，并停止向旧地址发送未来的付款。

被盗账户使下一位联系人面临风险

钱包访问权限只是被入侵设备的用途之一。FaceStealer攻击者还会获取联系人列表和聊天记录，从而能够围绕较早的对话量身定制接触方式。关于投资或会议的消息可以来自预期的账户，并提及一段真实的关系。

找回账户可以中断这一通往更多受害者的路径，但联系人可能已经收到邀请，或看到了所有者被录下的面孔。他们需要通过另一个既定渠道收到警告。雇主也需要知道工作设备或工作信息何时可能已被暴露，即使没有任何加密货币消失。

对于未来的会议邀请，推荐的做法是独立打开官方应用程序并使用会议代码加入，通过另一个既定的联系渠道确认异常请求，并单独获取更新，而不是运行聊天中提供的脚本或命令。

任何在数月前遵循过可疑"修复"方案的人都应重新评估当时可访问的凭据和账户。由于公告描述的案件涉及在入侵发生数月至一年多之后的盗窃，这一重新评估必须回溯至设备可能被入侵的每一个时期。该审查决定了资金是否需要转移、账户会话是否需要终止以及联系人是否需要收到警告。