作者：慢霧科技
近期，我們收到許多受害者的求助訊息，這都與Telegram 上的「假Safeguard」騙局有關。由於許多用戶對這類攻擊方式不了解，往往在遇到這種騙局時警惕性不夠，無論是新手，還是經驗豐富的玩家都很可能上當，本文將深入剖析這一騙局的攻擊方式，並提供有效的防範建議，幫助使用者保護資產免受損失。
騙局分析
這類騙局主要分為兩種，一種是盜取Telegram 帳號，騙子透過誘導用戶輸入手機號碼、驗證碼，甚至Two-Step Verification 密碼來竊取其Telegram 帳號，另一種是往用戶電腦植入木馬，也是近期出現較多的手法，本文將聚焦在第二種方式。
在某些熱度較高的代幣空投活動中，用戶的FOMO 情緒正上頭時，在Telegram 上看到下圖Channel 介面，肯定就去點擊Tap to verify 了：
點擊Tap to verify 後會開啟一個假冒的Safeguard bot，表面上顯示正在進行驗證，這個驗證視窗極短，給人一種緊迫感，迫使用戶繼續操作。
繼續點擊，結果「假裝」顯示驗證不通過，最終讓使用者手動驗證的提示介面出現了：
騙子很貼心的配置了Step1, Step2, Step3，此時用戶的剪貼簿裡已經有惡意程式碼了，只要用戶沒真的按照這幾個Step 去操作就不會有問題：
但如果使用者乖乖地按照這幾個Step 去操作，電腦就會中病毒。
再舉一個例子－ 攻擊者冒充KOL 並使用惡意機器人進行驗證引導執行Powershell 惡意程式碼。詐騙者創建假冒KOL 的X 帳號，然後他們在評論區附上Telegram 鏈接，邀請用戶加入“獨家” Telegram 群組以獲得投資信息。例如@BTW0205 的評論區出現的Scam account，許多用戶會在評論區看到「令人興奮的消息」：
然後進入了對應的Telegram Channel，引導使用者驗證。
當使用者點擊驗證時，出現了一個假的Safeguard，跟上述過程類似，出現了Step1, Step2, Step3 引導做驗證操作。
此時使用者的剪切板已經偷偷地被植入了惡意程式碼內容。如果使用者真的按指南打開了運行框，並Ctrl + V 把惡意程式碼內容貼進運行框裡，此時的狀態就如下圖，在運行框裡並看不到全部內容，一大片空白的前面是Telegram 字樣及惡意程式碼。
這些惡意程式碼通常是Powershell 指令，執行後會悄無聲息地下載更複雜的惡意程式碼，最終使電腦感染遠端控制木馬（如Remcos）。一旦電腦被木馬控制，駭客便能遠端竊取電腦中的錢包檔案、助記詞、私鑰、密碼等敏感訊息，甚至進行資產竊盜。 （PS. 關於「假Safeguard」 木馬行為可以參考慢霧區白帽Jose 的分析，指引：https://jose.wang/2025/01/17/%E4%BC%AASafeguard%E7%97%85 %E6%AF%92%E5%88%86%E6%9E%90/）
以太坊基金會帳號@ethereumfndn 評論區也曾被這種騙局污染，這種騙局呈現大範圍撒網收割模式。
最新的如Trump 的X 評論區也被這種騙局污染：
如果你是手機上開啟的，騙局會一步一步拿到你的Telegram 權限，發現及時的話，需要盡快在Telegram 設定裡的Privacy and Security -> Active sessions -> Terminate all other sessions，然後加上或修改Two -Step Verification。
如果你不是Windows 電腦，而是Mac 電腦，也一樣有類似的方式來誘導你電腦中毒。套路類似，當在Telegram 裡出現下圖時，你的剪切板已經被偷偷地植入了惡意程式碼內容。
此時還沒出現風險，但如果你按照給的步驟去做，就會出現下圖的後果：
MistTrack 分析
我們選取幾個駭客地址，使用鏈上追蹤和反洗錢平台MistTrack 進行分析。
Solana 駭客地址：
HVJGvGZpREPQZBTScZMBMmVzwiaVNN2MfSWLgeP6CrzV
2v1DUcjyNBerUcYcmjrDZNpxfFuQ2Nj28kZ9mea3T36W
D8TnJAXML7gEzUdGhY5T7aNfQQXxfr8k5huC6s11ea5R
根據MistTrack 的分析，以上三個駭客地址目前共獲利超120 萬美金，包括SOL 和多個SPL Token。
駭客首先會將大部分SPL Token 兌換為SOL：
再將SOL 分散轉移到多個位址，且駭客地址也與Binance、Huobi、FixedFloat 平台有交互作用：
另外，目前地址HVJGvGZpREPQZBTScZMBMmVzwiaVNN2MfSWLgeP6CrzV 仍有1,169.73 SOL 和價值超1 萬美金的Token 餘額。
我們再分析其中一個Ethereum 駭客地址0x21b681c98ebc32a9c6696003fc4050f63bc8b2c6，該地址首筆交易時間為2025 年1 月，涉及多條鏈，目前餘額約13 萬美元。
該地址將ETH 轉到多個平台如：ChangeNOW, eXch, Cryptomus.com：
如何防範
如果你的電腦中招了，需要立即這樣做：
1. 這台電腦用過的錢包、資金都及時轉移，不要認為擴展錢包帶密碼就沒事；
2. 各個瀏覽器保存的密碼或已登陸的帳號，密碼或2FA 都盡可能進行修改；
3. 電腦上的其他帳號，如Telegram 等，能改都改。
你就做最極端假設就行，反正電腦中毒了，你的電腦對騙子來說就是透明的。所以逆向思維，如果你是騙子，完全控制了一台在Web3/Crypto 世界裡活躍的電腦，會做些什麼。最後，電腦重要資料備份後，可以重裝，但重裝後最好安裝國際知名的防毒軟體，如AVG、Bitdefender、Kaspersky 等，全盤殺毒下，處理完畢就問題不大了。
總結
假Safeguard 騙局已經發展成一種成熟的駭客攻擊模式，從仿冒評論引流到植入木馬病毒，再到竊取資產的整個過程都隱蔽且高效。隨著攻擊手段的日益精細化，使用者需要更加警惕網路上的各類誘導性連結和操作步驟，透過提高警覺、加強防護、及時發現並處理潛在威脅，才能有效防範這類騙局的侵害。