19歲少年盜走1300萬美元，只為豪奢生活：加密貨幣社交工程詐騙的驚悚內幕

2024 年 3 月，一場普通的超速攔檢，卻意外揭開了加密貨幣史上最年輕的「豪奢盜賊」之一。來自加拿大的 19 歲青年 Trenton Richard Johnston，在佛羅裡達州被捕，當時他正駕著一輛 Rolls-Royce，車內還藏有 21 顆疑似安非他命的藥丸。警方進一步調查，發現他涉嫌參與一起金額高達 1300 萬美元（以當下比特幣與以太幣計價）的詐騙專案，受害者遍佈美國各地。這不是一起普通的「駭客」入侵，而是透過社交工程（social engineering）——假冒 Google、Trezor 等知名企業的客服——直接操控受害者的心理，讓他們乖乖交出帳戶密碼與資產。

Johnston 與同夥的犯案手法相當「人性化」。他們在 2024 年 1 月至 2 月間，透過電話與電子郵件，假扮 Google 員工，謊稱受害者的 Gmail 或 Coinbase 帳戶可能已被入侵，要求對方提供「安全驗證」資訊。另一位受害者則在 2 月底，收到自稱 Trezor 硬體錢包客服的來電，對方聲稱需要「遠端協助」排除異常，結果在短短不到一個月的時間裡，被捲走了約 1300 萬美元的比特幣。這種「假借可信賴機構」的手法，正是社交工程的核心——利用人們對知名品牌的信任，快速突破防線。

資金到手後，Johnston 展開了極盡奢華的「狂歡」模式。根據檢察官調查，他僅用兩個月時間，就花費了約 120 萬美元的贓款，用於：

• 購買與租借豪華轎車：兩輛 BMW 與一輛 Lamborghini Aventador SVJ，租金高達數十萬美元。
• 私人噴射機租借：為了「兩位來自紐約的女孩」，他租用了一架私人飛機，飛行費用超過 30 萬美元。
• 高階別墅租屋：在北 Miami 租下一棟豪華別墅，月租上看 5 萬美元。
• 珠寶與奢侈品：大量名錶、珠寶首飾，甚至包括價值數十萬美元的手錶。

這一切的花費彷彿在燃燒鈔票——猶如「金錢在火焰中融化」，讓人不禁聯想到「通膨」時的恐慌。只不過這次的「火焰」不是通膨，而是貪婪與奢靡。Johnston 的生活方式被媒體形容為「猶如電影裡的富豪派對」，但背後卻是無數受害者的血汗錢瞬間蒸發。

2024 年 5 月，Johnston 面臨起訴，面對最高可達 40 年的重罪。然而，他選擇了認罪協商，以換取從輕發落。檢察官建議判處 51 至 63 個月的監禁，並同時沒收約 53.16 顆比特幣與 275.23 顆以太幣（約值 370 萬美元）作為返贓。他的同夥 Brandon Tardibone（豪華轎車租借公司老闆）亦因涉嫌洗錢被判 27 至 33 個月。這樣的判決或許能在短期內平息輿論，但對於整個加密貨幣生態而言，卻是一記警鐘。

「這起案件顯示，當今最大的加密貨幣盜竊並非來自於複雜的程式碼漏洞，而是基於最原始的人類操控。」Cyvers 執行長 Deddy Lavid 在受訪時指出，「AI 工具的普及讓攻擊者可以輕易假冒企業客服，甚至即時生成語音與文字，大幅提升社交工程的成功率。」事實上，近年來 AI 生成的deepfake 語音、假郵件、偽造身份都已成為「常規武器」，對加密貨幣平臺的使用者構成極大威脅。

除了依賴「教育」之外，Lavid 強調業界必須採取更積極的「先發制人」防禦機制：

• 即時交易監控：在資金離開帳戶前，系統應即時偵測異常行為，如短時間內大量提領、目的地錢包異常或洗錢模式。
• 風險錢包資料庫：建立跨平臺的黑名單與高風險錢包庫，提前阻擋資金流向已知可疑地址。
• 多因素驗證（MFA）升級：結合硬體錢包、臉部辨識或指紋等生物特徵，確保即使密碼外洩，攻擊者仍難以完成交易。
• AI 行為分析：利用機器學習模型，使用者的交易習慣（如金額、頻率、地理位址）與異常偏離度即時比對，自動觸發警告或延遲交易。

對於普通投資者而言，這起案例同樣提供了重要的警示：

• 千萬別輕信「客服」來電：真正的企業不會主動要求你提供密碼或私鑰，若接到類似電話，請直接結束通話並透過官方渠道查證。
• 使用硬體錢包：將大額資產存放在離線的硬體錢包中，避免因手機或電腦被入侵而一次性被盜走。
• 定期檢查授權紀錄：經常登入帳戶檢視最近的登入與交易紀錄，若發現異常立馬凍結帳戶。
• 分散風險：不要把所有資產集中在同一平臺或同一錢包，利用多個錢包與交易所分散潛在損失。

這起案件不僅是一則「少年炫富」的娛樂新聞，更是一面映照出加密貨幣生態安全漏洞的鏡子。當金錢可以在瞬間跨國流動、當交易幾乎不可逆轉時，防禦的關鍵已不再是事後的追訴，而是在交易前的那一刻，就必須攔截異常。唯有在技術、監管與使用者教育三方面同步發力，才能真正把「火」控制在可接受的範圍內，避免更多類似 Trenton Johnston 的「豪奢盜賊」繼續在區塊鏈的世界裡橫行。

未來，我們或許會見到更多結合 AI 的社交工程攻擊，也會見到更多利用智慧型手機與軟體錢包的創新盜竊手法。但只要平臺營運商與投資者都能保持警覺、使用先進的專案風險管理工具，並在影片、區塊鏈等各種場景中落實安全控制，這場「金錢 vs. 信任」的戰爭才能朝向更有利的方向發展。記住，真正的「安全」不是靠單一防線，而是要在每一次交易前，搶先一步發現問題。