加密貨幣族當心！資安公司揭大規模手機號碼釣魚行動，逾 88 萬筆資料外洩

你最近有沒有收到自稱交易所客服的奇怪電話？或者收到聲稱你的錢包有安全問題的 Email？老實說，這些可能不是真的有人在關心你的資產——而是一場精密設計的釣魚攻擊。最新曝光的「Operation Asterix」案件，規模大到讓人睡不着覺。

88.5 萬筆手機號碼被鎖定，攻擊成功率達 13.6%

根據資安公司 Rapid7 在 2026 年 8 月發布的報告，他們發現一起代號為「Operation Asterix」的大規模加密貨幣釣魚行動。攻擊者針對全球約 88.5 萬筆手機號碼發動攻擊，目的只有一個：盜走你的加密貨幣資產。

這批資料的來源相當廣泛，其中最大宗的德國手機號碼檔案就超過 31.6 萬筆，還包括香港、保加利亞、英國、美國、加拿大等國家的資料，甚至有與硬體錢包 Ledger 相關的用戶名單。

13.6% 命中率是什麼概念？

Rapid7 分析師 Anna Sirokova 與 Jan Recinsky 進一步指出，光是德國的 31.6 萬筆號碼中，就有 4.3 萬個帳號成功對應到實際的加密貨幣交易所用戶。這意味著攻擊者的「命中率」高達 13.6%——每 100 個被聯繫的受害者中，就有超過 13 個可能是真正的加密貨幣投資人。

更扯的是，這些資料被用來對 5,576 個 Binance 帳號進行「攻擊排程」，受害者的帳戶資料已經被列入等待下手的名單。

假錢包 App 與假冒客服，攻擊手法大解析

這次攻擊不是隨機亂槍打鳥，而是有完整的「 kill chain」（攻擊鏈）。讓我們把它拆開來看：

第一步：廣撒網撈名單

攻擊者先取得大量手機號碼，然後透過「帳號比對器」（checker）批量驗證這些號碼是否註冊在 Binance、Kraken 等主流交易所。這些比對程式能自動化篩選出「有價值」的目標。

第二步：假冒官方 Contact

鎖定目標後，攻擊者會透過假冒的客服 Email 和電話聯繫受害者。他們會假扮成 Ledger、Trezor、Exodus 等知名硬體錢包的官方支援人員，聲稱你的帳戶出現異常或需要驗證。

第三步：誘導安裝假 App

這是最關鍵的一步。受害者會被要求下載所謂的「官方 App」來「保護資產」，但這些 App 其實是偽裝成 Ledger Live、Trezor Suite 的木馬程式。一旦安裝並輸入助記詞（seed phrase），你的資產就瞬間蒸發。

AI 幫手來助攻

Rapid7 在攻擊殘留物中發現，攻擊者大量使用 AI 工具來生成真假難辨的客服對話、仿冒網站和 Email 內容。這讓整個詐騙流程變得更高效、更難被察覺。

損失金額持續飆升，2026 年 Q1 已逾 3 億美元

根據區塊鏈安全公司 Hacken 的統計，2026 年第一季加密貨幣產業因詐欺與社交工程攻擊損失的金額達到 3.06 億美元，佔整季總損失 4.82 億美元的 63%。這個比例高得嚇人——也就是說，大多數加密貨幣被盜案件，其實不是因為智能合約有漏洞，而是因為人被騙了。

類似的事件層出不窮：

• 2026 年 12 月，一位投資人因「地址poisoning」（地址投毒）騙局損失 5,000 萬美元
• 2026 年 7 月，有投資人因簽署惡意代幣授權交易損失近 100 萬美元
• 2026 年 11 月，微軟商店上的假 Ledger Live App 在 38 筆交易中盜走 58.8 萬美元

如何保護自己的加密資產？

面對這種層出不窮的釣魚攻擊，我們該怎麼自保？以下是從這次案例整理出的防護要點：

1. 永遠不要在非官方網站輸入助記詞：真正的錢包官方永遠不會要求你輸入 12 或 24 個單字。
2. 檢查網址是否正確：攻擊者常使用拼寫相似的網域（如 leedger.com 而非 ledger.com），千萬別直接點擊 Email 中的連結。
3. 啟用雙重驗證（2FA）：即使是交易所帳戶，也建議使用硬體錢包或 Authy 等 App 進行 2FA。
4. 對任何「主動聯繫」保持警覺：官方客服不會主動打電話給你，也不會要求你下載任何 App。
5. 定期檢查帳戶活動：如果發現任何異常登入紀錄，立即更改密碼並撤銷可疑的代幣授權。

FAQ 常見問題

Q1: 我收到自稱交易所客服的電話，該怎麼辦？

千萬不要在電話中透露任何個人資訊或帳戶資料。直接掛斷電話，然後透過官方網站或 App 內建的客服管道，主動聯繫交易所確認是否有這回事。

Q2: 如何確認我下載的錢包 App 是真的？

只從官方網站下載 App，不要從第三方網站或非官方應用商店取得。iOS 用戶請確認 App Store 的開發者名稱、Android 用戶請確認 APK 簽名。另外，安裝前查看評價和評論也有幫助。

Q3: 如果已經輸入助記詞了，資產還有救嗎？

一旦助記詞被盜，攻擊者可以立即轉走所有資產，很難追回。建議立即將剩餘資產轉移到新的安全錢包（使用全新的助記詞），並且監控原有地址的異動。

Q4: 硬體錢包真的比較安全嗎？

硬體錢包的安全性在於助記詞不會暴露在網路連線的設備上，但仍可能被假冒的電腦端軟體欺騙。關鍵是無論使用什麼錢包，都不要在電腦或手機上輸入助記詞——只有在硬體錢包本身的螢幕上確認交易才是安全的。

加密貨幣的世界很自由，但也因為缺乏監管，成為詐騙者的溫床。這次 88.5 萬筆手機號碼外洩不是結束，而是提醒：我們每個人都必須成為自己資產的第一道防線。多一分警覺，少一分損失。