Trezor和Ledger用户遭实体信件诈骗锁定，诱导扫码窃取助记词 | 加密百科深度分析

加密百科独家解读

这件事的本质，就是骗子把互联网上常见的“钓鱼”攻击，搬到了现实世界里，进行了一次“降维打击”。他们不再只发送诈骗邮件或短信，而是直接给你寄了一封看起来非常正式、专业的实体信件。

具体是怎么一回事？

想象一下，你突然收到一封来自“Trezor安全中心”或“Ledger官方支持”的挂号信，信纸、logo、格式都做得很逼真。信里说，由于最近的网络攻击或系统升级（他们可能会提到坎昆升级后网络复杂等听起来专业的理由），为了你的资产安全，需要进行一次“钱包安全验证”或“身份确认”。

关键的一步来了：信件里会印有一个二维码。信里用紧急的口吻催促你：“请立即用手机扫描此二维码，完成验证，否则您的账户可能被暂停。”

一旦你扫了码，手机会跳转到一个与Trezor或Ledger官网几乎一模一样的假冒网站。当你按照提示输入你的24个英文单词的“助记词”（也叫恢复短语）时，你的钱包控制权就在瞬间被骗子完全窃取。接下来，你钱包里的所有加密货币都会被他们转走。

为什么这种骗局很危险？

1. 实体信件的“信任光环”：相比可疑的电子邮件，盖着邮戳的实体信件给人的心理感觉更正式、更可信，尤其是对不熟悉数字原住民套路的新手用户。人们会下意识地认为“能寄信来的，应该是正规机构”。

2. 利用权威和恐慌：骗子冒充官方，并制造安全危机感（如“检查”、“验证”、“否则将冻结”），让人在紧张中降低防备，匆忙操作。

3. 精准锁定目标：骗子很可能通过之前泄露的电商数据、网络信息等，获得了硬件钱包购买者的姓名和住址。这意味着你不是被随机骚扰，而是被精准定位的“高价值目标”。

你必须牢记的终极安全法则（铁律）：

你的助记词就是你的全部资产。 它等同于银行卡密码加上印钞机的控制权。

任何情况下，真正的Trezor、Ledger或其他正规钱包公司，都绝不会通过信件、邮件、电话、短信等任何方式，主动向你索要助记词或私钥。 主动来要的，100%是骗子。

永远不要用手机或电脑扫描来历不明的二维码来访问钱包相关网站或输入助记词。 正确的做法是：在绝对确认安全的情况下，手动在浏览器地址栏输入官方网址。

硬件钱包的核心安全逻辑是“离线签名”。所有交易确认操作都应在你的硬件设备屏幕上完成并确认，任何引导你在外部网站、APP上输入核心机密信息的步骤，都是陷阱。

这次事件提醒我们，安全威胁已经从纯数字空间，渗透到了物理世界。保护资产，既要防黑客，也要防“戏精”。

背景资料 (原快讯)

注：以上背景资料自公开行业资讯，加密百科网仅作科普解读。