美國聯邦調查局（FBI）透過其網路犯罪投訴中心（IC3）——該機構收集網路犯罪投訴並發布公開警示的管道——於 11 月 12 日發布的公告指出，在多起與 FaceStealer 相關的已通報案件中，初次入侵與加密貨幣遭竊之間間隔了數月至一年以上。FaceStealer 是一項北韓行動，利用劫持的通訊帳號與假視訊會議誘使目標安裝惡意軟體。該警示針對的正是那些可能早已遵循惡意疑難排解指示的人：FBI 提醒，沒有出現未經授權的轉帳，並不代表其錢包憑證仍然保密。

為什麼助記詞被竊後錢包看起來仍正常

助記詞（recovery phrase）可讓相容的錢包軟體重建用於授權交易的私鑰。在標準的助記詞錢包中，任何持有該助記詞的人都可以在其他裝置上恢復存取權，而不會移除原有持有人的存取權，這意味著雙方都能動用這些資金。

複製助記詞並不會移動加密貨幣。區塊鏈瀏覽器可以顯示存款與轉帳，卻無法顯示另一個人已取得授權未來提款所需的資訊。因此，持有人可以繼續正常使用錢包，而攻擊者則等待更大的餘額出現。

11 月 12 日公告描述的正是攻擊者的這種行為。公告未提供平均等待時間，也未估計入侵演變為延遲竊案的頻率。其結論範圍較窄：數起已通報案件的竊案與通訊帳號劫持，發生在初次入侵後數月至一年以上。

暴露範圍取決於攻擊者能夠存取哪些內容。儲存在受感染電腦上的助記詞，與從未讓該裝置接觸過的助記詞，風險並不相同；僅憑電腦感染，並不代表持有人使用的每個錢包都已失去金鑰。

熟悉的聯絡人如何遞送假「修復方案」

FaceStealer 行動從取得過往受害者的通訊帳號開始。攻擊者利用該真實帳號聯繫受害者的聯絡人，以敘舊、合作或投資機會為名，接著傳送仿冒會議服務的連結。

在假會議中，攻擊者播放竊取的網路攝影機影片，讓可辨識的人物看似正在參與。接著他們聲稱目標有音訊問題或需要更新。所謂的解決方案要求目標下載檔案、執行腳本或輸入會安裝惡意軟體的指令。

該行動至今仍主要依賴真實竊取的影片，儘管公告也提到了合成影片。這種欺騙手法不需要虛構的面孔：真實的影片被用在一段當事人並未主導的對話中。

當局在瓦解 FaceStealer 基礎設施的行動中查獲了 900 多段受害者的網路攝影機影片。FBI 將 18 個月內超過 4 億美元的加密貨幣竊案歸因於該計畫。

清除電腦上的惡意軟體無法恢復錢包控制權

移除惡意軟體可以阻止該軟體繼續在裝置上運作，但無法取回已被複製到其他地方的助記詞。重新安裝錢包應用程式、更改本地密碼，或在另一台電腦上恢復同一組助記詞，都不會改變底層的錢包憑證。

對於已暴露的助記詞錢包而言，更換意味著建立一個使用全新助記詞的錢包並轉移資產。標準的助記詞錢包沒有任何發行方可以在助記詞被複製後使其失效，這就是為什麼更換而非修補才是唯一可行的途徑。Phantom 的遷移指南說明，其現有的助記詞錢包無法直接指定新的助記詞，並建議檢查代幣、收藏品、質押資產與 DeFi 部位，其中部分資產在轉移前需要額外步驟。

因此，遷移必須考量的不只是錢包開啟畫面所顯示的餘額。持有人必須找出仍受已暴露憑證控制的資產與部位，並停止將未來的款項導向舊地址。

被竊帳號使下一位聯絡人暴露於風險之中

錢包存取權只是受入侵裝置的用途之一。FaceStealer 攻擊者也會取得聯絡人清單與聊天紀錄，使其能夠圍繞先前的對話量身設計接近方式。一則關於投資或會議的訊息，可能來自預期中的帳號，並提及真實存在的關係。

取回帳號可以阻斷通往更多受害者的這條途徑，但聯絡人可能已收到邀請，或已看過持有人的錄影面孔。他們需要透過另一個既有的可靠管道獲得警告。雇主也需要知道工作裝置或工作資訊何時可能已暴露，即使尚未有任何加密貨幣消失。

對於未來的會議邀請，建議的做法是：獨立開啟官方應用程式並以會議代碼加入；透過另一個既有的聯絡管道確認異常請求；並以另行取得的方式獲取更新，而不是執行聊天中提供的腳本或指令。

任何在數月前遵循過可疑「修復方案」的人，都應重新評估當時可被存取的憑證與帳號。由於公告所述案件中的竊案發生在初次入侵後數月至一年以上，這項重新評估必須回溯至近期活動之前、裝置可能遭入侵的每一個時期。這項檢視將決定資金是否需要轉移、帳號工作階段是否需要終止，以及聯絡人是否需要獲得警告。