加密钱包在 Mac 上是怎么被盗空的，以及如何防范。

1窃密程序在哪里找你的助记词

Mac 窃密程序会直奔钱包而去。Atomic（AMOS）瞄准约 50 个浏览器钱包扩展和 Electrum、Exodus 等桌面钱包，还有钥匙串以及桌面和文稿里的文件（BleepingComputer，2023 年）。MacSync 在 2025 和 2026 年通过诱导粘贴终端命令传播，会连同钥匙串一起窃取加密钱包助记词（The Hacker News，2026年3月16日）。

所以，敲进备忘录、存成 .txt 文件、留作截图或用邮件发给自己的助记词，对任何在这台 Mac 上运行过的窃密程序来说都只差一次搜索，哪怕它只运行了一分钟。

2找出你留在 Mac 上的助记词

下面的命令会列出 Mac 上包含人们常写在助记词旁边的那些词的文件。它们只搜索，不会打开或发送任何东西：

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

也要翻一翻你的截屏：在“照片”里搜索“recovery phrase”“seed”或“wallet”，“照片”能找到图片里的文字。把助记词抄到纸上之后，删除找到的内容，再清空废纸篓和最近删除相簿。

3剪贴板替换

剪贴板劫持程序会盯着你的剪贴板。当你复制看起来像加密地址的内容时，它会换成攻击者的同类地址，于是你粘贴的已经不是你复制的。

防住它的习惯：粘贴之后，把整个地址与你要用的地址比对，而不只是看开头和结尾几位。用硬件钱包时，确认之前在设备屏幕上比对。

4地址投毒：交易记录里的相似地址

攻击者会从开头和结尾都与你用过的地址相同的地址，向你发送极小的金额，于是一个相似地址就躺在了你自己的交易记录里。只要从记录里复制一次，钱就到了他们手里。

这招确实有效：2025 年 12 月到 2026 年 1 月，有两个人因此损失超过 6200 万美元，一人约 5000 万美元，另一人 1220 万美元，后者正是从交易记录里复制了地址（Cointelegraph 引用 Scam Sniffer 的数据，2026年2月9日）。

MLX 也遇到过：2026 年 11 月 2 日 MLX 刚把资金转入新的冷钱包，相似地址就开始在 Solana 和 BNB Chain 上向它们发送粉尘。

• 永远不要从交易记录里复制地址。
• 把常用的收款地址存为联系人，从联系人里选择。
• 忽略陌生地址转来的极小金额，不要转回去。
• 向任何新地址先转一小笔测试，并确认已到账。

5五分钟钱包检查

1. 在 Mac 上搜索写下来的助记词（上面的命令），并检查你的截屏。
2. 打开浏览器的扩展页面。只保留你自己通过钱包官方链接安装的钱包，删除任何你不认识的扩展。
3. 确认 macOS 已是最新版本：系统设置 → 通用 → 软件更新。
4. 在 EVM 链上，检查不再需要的旧代币授权并撤销，例如使用 Revoke.cash。
5. 如果你曾把网页上的命令粘贴进终端，也请做一遍 Mac 检查。

6如果你的钱包被盗空了

1. 把剩下的资金转到在干净设备上新建的钱包，使用新的助记词。永远不要再用旧的助记词。
2. 在那台干净的设备上修改电子邮件和交易所账户的密码，并开启双重认证。
3. 如果资金转进了某个交易所的充值地址，立即带着交易 ID 向该交易所报告。
4. 区块链转账无法撤回。任何说收费帮你找回加密货币的人，都是在进行第二次诈骗。

7常见问题

我的钱包被盗空了，该怎么办？

把剩下的资金转到在干净设备上新建、使用新助记词的钱包，并在那台设备上修改电子邮件和交易所密码。如果资金转进了交易所，把交易 ID 报告给该交易所。然后查清助记词是怎么泄露的，再用这台 Mac 处理加密货币。

什么是地址投毒？

攻击者从看起来像你用过的地址向你发送极小的金额，于是一个相似地址出现在你的交易记录里。如果你从记录里复制地址，就会转给他们。这在所有链上都会发生，包括 Ethereum、BNB Chain、Tron 和 Solana。请改从已保存的联系人里选择地址。

助记词应该存在哪里？

抄在纸上或刻在金属上，离线保存在两个不同的地方。永远不要存在备忘录、文本文件、截图、照片、电子邮件或云盘里。金额较大时，使用硬件钱包，让私钥永远不接触电脑。

把助记词存在密码管理器里安全吗？

这比存在备忘录或截图里好得多，但它仍在电脑上：以你的身份运行的窃密程序有时能拿到它。对于你承受不起损失的资产，请把助记词离线保存。

被盗的加密货币能追回吗？

通常不能：区块链上的转账是最终的。如果资金转进了交易所，你尽快报告的话，交易所可能会冻结它。不要理会任何收费帮你追回的人。