macOS恶意软件悄然劫持Telegram会话，直击加密钱包核心防线

我们认为，市场严重低估了此次macOS Telegram劫持事件的系统性风险——它不是一次孤立的终端攻击，而是加密原生信任范式崩塌的早期预警信号。 本质在于，攻击彻底绕开了‘链上不可篡改’这一技术幻觉，直击人类操作链最脆弱一环：钱包助记词从未真正‘上链’，却长期以明文形态游走于操作系统、剪贴板、聊天记录甚至截图缓存中。市场惯性误读为‘只要私钥不上网就安全’，却忽视macOS默认启用iCloud同步、Spotlight全局搜索、Time Machine自动备份等机制，已将助记词变成可被批量提取的‘结构化数据’。SlowMist报告中提到的‘伪造PDF阅读器诱骗输入12词’，恰恰暴露一个残酷事实：90%的用户根本分不清‘钱包文件加密’和‘助记词保密’是两回事——前者防硬盘丢失，后者防社会工程，而当前所有UI设计都在模糊这个界限。 从技术维度看，该恶意软件采用‘无文件驻留’策略，仅通过AppleScript和JavaScriptCore引擎动态加载payload，规避Xcode签名检测；监管维度则凸显真空——苹果App Store对开发者资质审核宽松，而macOS侧载应用缺乏类似Android的安装来源警告，更无类似Windows SmartScreen的实时信誉拦截。资金流层面，攻击者无需立即变现，只需静默监控Telegram群组中的空投公告、NFT铸造链接或跨链桥操作，即可在用户执行关键交易前0.5秒完成劫持，这种‘延迟套利’模式比直接盗币更具隐蔽性和收益效率。市场情绪上，散户恐慌将集中于‘我的硬件钱包还安全吗？’，但真正危险的是他们开始用手机扫码授权时，却不知Mac端Telegram早已被劫持并转发了所有二维码请求。 历史参照：2021年Trezor助记词泄露事件源于用户截图上传至云盘，损失超2000万美元；2023年MetaMask钓鱼插件通过伪造Chrome更新页面窃取37万账户——二者共性是‘信任转移失败’：用户把对平台的信任，错误嫁接给了未经验证的交互载体。横向对比，iOS因沙盒严格暂未出现同类攻击，但其iMessage漏洞同样可劫持短信验证码，说明问题不在系统差异，而在‘通讯层即资产层’的架构缺陷。 给散户的操作提示：第一，立即禁用Telegram的‘同步聊天历史到云端’功能，并关闭macOS的iCloud钥匙串自动填充；第二，助记词永远手写于防火防水纸上，杜绝任何形式的电子存储（包括OCR截图、PDF文档、备忘录）；第三，任何要求输入助记词的‘升级提示’‘安全验证’‘空投领取’均为100%诈骗，唯一合法场景只有钱包首次创建时的离线环境。记住：助记词不是密码，它是资产所有权本身——没有‘找回’选项，只有‘永久丢失’或‘即时转移’。