【驚悚片】FBI局長加持的服飾店 秒變「偷幣」陷阱！

你有沒有想過，當你在網路上挑件潮流 Hoodie，順便支援下「聯邦調查局」的形象，竟然會讓自己的加密貨幣錢包遭到「清空」？最近一家叫 Based Apparel 的服飾官網因為與 FBI 局長本人有關聯，突然成為駭客最新的「crypto‑stealer」溫床。

這件事的開端，是網上有不少網友在 X（舊稱 Twitter）上警告，說點進 Based Apparel 的官網後，macOS 使用者會被強迫複製一行指令貼到終端機裡執行。這段指令正是俗稱的「ClickFix」木馬，它的本質是一種資訊竊取惡意軟體（infostealer），會在後臺悄悄撈走你的瀏覽器Session Token、Coo​kie、甚至你的去中心化錢包（如 MetaMask）裡的私鑰。

實際上，MetaMask 在使用者嘗試開啟該網站時，已經自行彈出「潛在風險」警示，直接寫明「可能涉及導致資產被盜的惡意交易」。這個警訊被不少玩家忽視，因為大家只看到「購買 Hoodie」的優惠碼，卻沒細想背後的安全警示。

美國 PCMag 成功在測試環境中重現了完整的攻擊流程：先用瀏覽器拜訪網站，隨即彈出名為「ClickFix」的指示，使用者一旦把指令貼上 terminal，系統立馬被植入木馬。此時，所有未保護的 Web3 錢包就會被自動授權轉帳，等你回神時，餘額已經不翼而飛。這個手法與過去兩年間在 Steam 平臺上發現的「遊戲暗藏木馬」事件驚人相似，FBI 曾在兩個月前公開表示正在調查多款 PC 遊戲。

截至目前為止，Based Apparel 的月間訪問量大約落在 33,600 次左右（ahrefs 統計），其中「迷彩 Hoodie」是最受歡迎的頁面。雖然官方已經將網站下線，僅留下「即將重新上線，敬請期待」的簡短公告，但網友們仍在猜測這波「暗箱操作」是否已經造成實際的金錢損失。沒有人敢保證沒有人受傷——因為盜賊往往在暗中完成「提款」，受害者往往在資產不見後才驚覺。

說到公司背景，Based Apparel 的持有人除了前 FBI 局長 Kash Patel，還有 Andrew Ollis──他同時擔任 Kash Foundation 的執行長。根據《The Guardian》報導，Kash Foundation 的官方網站裡會把訪客引導至 Based Apparel 的購物頁面，表面上像是公益與商業的結合。雖說組織近期已對外公佈，聲稱 Patel 本人已經與基金會不再有實質關聯，但在區塊鏈的世界裡，這一切都可能只是「煙霧彈」。

如果你自認是「區塊鏈愛好者」或「DeFi 老手」，千萬別以為自己不會被這種低階的「社交工程」擊倒。以下是你現在立刻該檢查的事項：

• 千萬不要在終端機裡執行來路不明的指令——即使是看起來像是「快速啟動」或「更新」的指令，也可能是木馬的下載器。
• 使用硬體錢包（如 Ledger、Trezor）來保管你的私鑰，千萬別把所有資產放在熱錢包裡。
• 定期檢查瀏覽器的擴充功能許可權，若發現奇怪的許可權（例如未經同意的「讀寫Clipboard」）立馬移除。
• 在進行任何「點選」操作前，先確認網站的 SSL 憑證是否正常，且使用知名的防護外掛（如 Metamask、Rabby）顯示「安全標記」。
• 若真的不小心執行了指令，立即斷網、清除瀏覽器的快取與Cookie，並把自己的錢包資產緊急轉移到新地址。

這起事件的教訓很簡單：當你看見「知名人物」或「官方機構」的背書時，千萬別直接把「信任」當成「安全」。在區塊鏈的領域裡，攻擊者可以輕易利用「名人的光環」來誘惑使用者，就像在股市裡「內線訊息」常常伴隨著巨大的陷阱一樣。千萬記住，真正的安全不是靠「名氣」，而是靠「防禦機制」與「警覺心」。

別讓下一件「帥氣 Hoodie」成為你加密資產的葬禮。現在就分享給身邊的朋友，提醒他們小心這種「穿著FBI外套」的盜賊吧！