剪贴板劫持（Clipboard Hijacking）是一种专门针对加密货币用户的恶意软件攻击方式。当你复制一个钱包地址准备转账时，恶意软件会在后台偷偷将剪贴板中的地址替换为黑客的地址。如果你没有仔细核对就粘贴并确认转账，资产就直接进了黑客的口袋。
这种攻击技术简单但效果惊人，据估计每年造成数千万美元的损失。本文将详细讲解其原理和防范方法。
剪贴板劫持是怎么工作的？
攻击原理非常简单：
- 用户的电脑或手机被安装了恶意软件（可能通过下载盗版软件、点击恶意链接等方式感染）
- 恶意软件在后台持续监控系统剪贴板
- 当检测到剪贴板内容符合加密货币地址格式时（如以"0x"开头的42位字符串，或以"T"开头的TRON地址）
- 恶意软件立即将剪贴板内容替换为黑客预设的同类型地址
- 用户在转账页面粘贴时，贴出的已经是黑客的地址
- 用户没有仔细核对就确认转账，资产被发送到黑客地址
替换过程的速度通常在毫秒级别，用户几乎无法察觉。而且恶意软件通常会选择一个与原地址前几位或后几位相似的替换地址，进一步降低被发现的概率。
剪贴板劫持恶意软件的传播途径
电脑端：
- 盗版软件和破解工具——这是最主要的传播途径
- 浏览器恶意扩展
- 钓鱼邮件中的附件
- 受感染的开发工具和代码库
- P2P下载的文件
手机端：
- 第三方应用市场中的App
- 伪装成实用工具的恶意App
- 被篡改的钱包App安装包
浏览器端：
- 恶意浏览器插件
- 某些网页通过JavaScript修改剪贴板内容（需要用户授权）
如何检测是否感染了剪贴板劫持软件？
进行以下简单测试：
- 复制一个加密货币地址
- 打开记事本或任何文本编辑器
- 粘贴并对比——如果粘贴出的地址与你复制的不同，你的设备已被感染
你也可以多次复制粘贴同一个地址，看结果是否每次都一样。有些恶意软件并非每次都替换，而是有一定概率触发。
更彻底的检测方法：
- 运行全盘杀毒扫描
- 检查系统启动项中是否有可疑程序
- 检查浏览器扩展列表中是否有不认识的插件
- 使用Process Explorer等工具检查可疑进程
发现感染后怎么处理？
- 立即停止所有转账操作
- 断开网络连接
- 使用可靠的杀毒软件进行全盘扫描
- 如果无法清除，考虑重装系统
- 更换所有密码：包括交易所、邮箱、钱包等
- 检查近期交易记录：确认是否有资金被转到了错误地址
如何防范剪贴板劫持？
习惯层面：
- 每次粘贴地址后都要手动核对至少前10位和后10位
- 大额转账前先发送小额测试
- 使用钱包的地址簿功能保存常用地址
- 在交易所设置提币白名单
技术层面：
- 不要安装来源不明的软件和浏览器插件
- 保持操作系统和杀毒软件更新
- 不要使用盗版软件——这是最常见的感染途径
- 使用硬件钱包进行转账——硬件钱包在设备屏幕上显示完整地址供你核对
安全提醒
剪贴板劫持虽然手法简单，但利用了人们的操作疏忽：
- 永远核对粘贴后的地址：这是最有效的防范措施
- 保持设备清洁：不安装盗版软件、不点击可疑链接
- 使用地址簿和白名单：减少手动复制粘贴的机会
- 大额转账分步操作：先小额测试确认地址正确
- 定期检查设备安全：运行杀毒扫描，清除可疑程序
- 备用设备隔离操作：用专门的设备进行加密货币转账
交易所的白名单功能是防范剪贴板劫持的有效辅助手段。币安官网启用提币白名单保护资产，或币安官方APP，苹果用户参考iOS安装教程在手机上安全操作。
手机上也会遇到剪贴板劫持吗？
会。安卓手机上的恶意App同样可以监控和修改剪贴板。iOS因为沙盒机制相对安全一些，但也不能完全排除风险。在手机上进行加密货币操作时同样需要核对地址。
使用扫码转账能避免剪贴板劫持吗？
能在很大程度上避免。扫描二维码直接获取地址不经过剪贴板，恶意软件无法拦截。但仍需在确认转账前核对显示的地址是否正确，因为二维码本身也可能被篡改。
浏览器网页能修改我的剪贴板吗？
现代浏览器对剪贴板访问有严格限制。网页需要用户主动触发（如点击"复制"按钮）才能写入剪贴板。但恶意浏览器扩展拥有更高的权限，可以随时修改剪贴板内容。
重装系统能彻底清除剪贴板劫持软件吗？
完全重装系统（格式化后全新安装）可以清除所有恶意软件。但要注意不要在重装后又安装被感染的软件，否则会再次感染。建议重装后只安装来源可靠的正版软件。