加密货币恶意软件可以记录按键、替换剪贴板地址、窃取浏览器会话，或篡改钱包界面显示的内容。应使用保持更新的操作系统、尽量少安装软件，并对重要资金采用硬件保护的签名方式，同时通过独立渠道核验地址。
风险如何产生#
键盘记录器只是恶意软件的一类。信息窃取程序会针对交易所 Cookie 和扩展数据；剪贴板劫持程序会把复制的地址替换成攻击者的相似地址；远程控制工具则允许攻击者直接操作设备。
作出最终判断#
硬件钱包可以降低私钥被提取的风险，但恶意软件仍能篡改电脑屏幕和剪贴板，因此必须在硬件设备的可信屏幕上核验目标地址和金额。
处理流程#
- 立即停止在疑似感染的设备上进行任何金融操作。 应在更多资产或权限发生转移前完成这一步，并在之后验证账户状态。
- 断开设备网络；如果已经发生损失，应保存证据。 保留原始时间戳、标识信息和未经编辑的记录，确保其他人可以复核结论。
- 使用一台干净设备更换邮箱和交易所凭据。 应在更多资产或权限发生转移前完成操作，并在之后验证实际状态。
- 撤销所有会话和 API 密钥。 应在更多资产或权限发生转移前完成操作，并在之后验证实际状态。
- 重装系统或请专业人员彻底清理设备，再恢复钱包访问。 应在任何资产或签名权限重新进入该设备前完成清理，并验证结果。
不要使用这些捷径#
- 把助记词复制到密码字段中。 这可能泄露根凭据；之后修改密码也未必能切断攻击者访问。
- 安装破解版交易软件或浏览器扩展。 品牌界面可以复制，因此必须通过独立核验的官方渠道重新获取安装程序。
- 把杀毒软件未报警当作设备干净的证明。 这会削弱本应限制恶意软件影响范围的安全判断。
- 在感染清除前恢复钱包。 这会削弱本应限制恶意软件影响范围的安全控制，并可能再次泄露密钥。
处理加密货币键盘记录恶意软件时，干净的结果不只是交易或设置显示完成，而是你能独立核验、重复验证，并在相关服务失效时仍有补救空间的结果。
确认处理结果#
处理恶意软件事件时，不要只看界面是否显示“成功”。应使用即使页面关闭后仍可核验的证据。
| 检查点 | 证据 | 停止条件 |
|---|---|---|
| 停止在疑似感染的设备上进行金融操作 | 订单号、成交价、数量、手续费和当前持仓页面 | 把助记词复制到密码字段中 |
| 断开设备网络，并在发生损失时保存证据 | 隐去敏感数据且带日期的截图或链上记录 | 安装破解版交易软件或浏览器扩展 |
| 使用干净设备更换邮箱和交易所凭据 | 隐去敏感数据且带日期的账户记录 | 把杀毒软件未报警当作设备干净的证明 |
如果交易哈希、官方工单号或带日期的截图有助于记录恶意软件事件，应妥善保存；但绝不要在证据中包含助记词、私钥或验证码。
常见问题#
杀毒软件能检测出所有加密货币窃取程序吗？
不能。杀毒软件只是其中一层防护，并非保证。系统更新、软件来源和交易核验同样重要。
遇到恶意软件后应该更换助记词吗？
如果助记词或私钥曾在感染设备上输入或保存，应把资产迁移到全新生成的钱包。
如何测试剪贴板是否被劫持？
将粘贴后的完整地址与原目标地址及硬件设备屏幕进行比较，不要只核对首尾字符。
相关指南#
资料来源#
风险提示： 加密货币操作可能无法撤销。切勿透露助记词、私钥、密码或验证码，并独立核验每个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
