macOS恶意软件劫持Telegram会话盗取加密资产

核心提要：区块链安全公司SlowMist披露一种新型macOS信息窃取恶意软件，可绕过两步验证，通过重用本地会话数据入侵Telegram并盗取多种软件与硬件钱包数据，攻击链涵盖离线破解与虚假恢复流程。

恶意软件利用本地会话数据绕过双重验证，实现跨平台钱包劫持

区块链安全机构SlowMist发布最新报告，揭示一种针对macOS系统的新型信息窃取型恶意软件，其攻击路径可穿透Telegram Desktop会话，并进一步渗透至多类加密货币钱包系统。该恶意程序不依赖传统暴力破解或社交工程手段，而是通过提取设备上已认证的本地会话文件，实现无感知的账户接管。

会话重用技术突破常规登录防护机制

该恶意软件的核心能力在于从macOS钥匙串、Safari Cookie、Apple备忘录及Telegram本地数据库中提取敏感凭证，尤其聚焦于已建立身份验证状态的会话数据。在测试环境中，研究人员成功在另一台未授权的Mac上复现了被窃取的会话，全程无需输入电话号码、验证码或二次验证密码，表明其绕过了传统防护逻辑。

覆盖范围扩展至软件钱包、硬件管理器与全节点客户端

攻击不仅限于即时通讯工具，还深入到多个钱包生态。受影响对象包括Exodus、Atomic、Electrum、Wasabi等主流软件钱包，以及Ledger Live和Trezor Suite这类硬件钱包的配套管理软件。此外，比特币核心、莱特币核心、达世币核心与狗狗币核心等全节点客户端所存储的钱包数据也被列入目标清单，凸显本地数据存储的潜在风险。

双重攻击路径：离线解密与假冒应用诱导

一旦获取钱包数据库与认证信息，攻击者可采取两种策略：一是离线尝试解密钱包文件，避免触发在线验证限制；二是以伪装应用替换正版Ledger/Trezor客户端，诱使用户在虚假界面中输入恢复短语——此行为可能直接导致资金永久丢失。实验环境验证了整个攻击链可独立执行，具备高度可行性。

现有安全措施面临根本性挑战

尽管用户启用了两步验证，但该攻击模式从根本上改变了威胁模型。由于恶意软件并非发起新登录，而是直接调用已有会话材料，因此传统保护机制失效。这使得“已开启双重验证”不再构成有效安全保障。专家建议立即终止所有活跃会话，更新验证密码，并在可信设备上生成全新恢复短语，将资产转移至新地址，切断受污染环境与资金之间的关联。