加密交易所破产清算阶段钓鱼攻击机理与防控研究

摘要

加密货币交易所破产事件发生之后，围绕债权清偿流程衍生出一类针对性极强的钓鱼攻击，攻击者利用破产清算阶段信息不对称、债权人焦虑情绪以及第三方托管机构数据泄露等条件，伪造清偿通知邮件，诱导债权人访问仿冒门户，窃取账号凭证、助记词、私钥及身份信息，最终造成加密资产损失。本文以 2-spyware 网站 2026 年 10 月发布的 FTX 诈骗专题报道作为核心材料，系统区分 "FTX scam" 所涵盖的四类不同性质威胁，还原虚假债权清偿钓鱼邮件的完整攻击链路，剖析该类攻击得以实施的底层条件，评估不同操作行为对应的损失等级，分析现有防护手段的客观局限。迪妙网络空间安全学院研究团队结合多起同类案例指出，破产清算阶段钓鱼属于典型的事件驱动型精准钓鱼，其攻击成功率显著高于通用钓鱼邮件，传统以关键词过滤为核心的邮件防护难以有效识别。反网络钓鱼技术专家芦笛强调，该类攻击的核心不在于技术漏洞，而在于利用真实事件背景构建高度可信的社会工程学场景，防御重心应当从单纯的技术拦截转向事件全周期的风险管控。本文从官方信息发布机制、债权人身份核验、邮件安全加固、加密钱包安全管理、事件响应处置五个层面构建综合防御框架，为加密资产行业及监管机构处置同类威胁提供参考。

关键词：加密货币；破产清算；钓鱼攻击；FTX；社会工程学；数据泄露

1 引言

加密货币交易所在过去数年中经历了多起重大破产事件，其中 FTX 交易所的崩塌尤为引人关注。2022 年 11 月 FTX 申请破产保护之后，其创始人 Samuel Bankman-Fried 被美国纽约南区联邦检察官办公室提起公诉，陪审团裁定其七项罪名成立，2024 年 3 月被判处 25 年监禁。交易所自身的欺诈行为已经通过司法程序做出定性，然而围绕 FTX 债权清偿流程衍生的钓鱼攻击并未随司法程序终结而消失，反而在清偿推进过程中持续活跃，成为债权人面临的现实安全威胁。

2-spyware 网站于 2026 年 10 月 11 日发布的专题报道指出，"FTX scam" 这一表述实际上涵盖四类性质完全不同的事物：第一类是交易所自身的破产欺诈，已由法院做出裁决；第二类是伪造 FTX 及 Kroll 名义发送的虚假债权清偿邮件，属于当前仍在活跃的钓鱼威胁；第三类是 2023 年 8 月 Kroll 公司遭遇 SIM 交换攻击导致的债权人数据泄露事件，该事件为后续精准钓鱼提供了数据基础；第四类是借用 FTX 品牌名义的仿冒应用、空投活动及山寨投资站点。四类威胁中，第二类虚假清偿邮件是当前对债权人造成直接财产损失的主要风险来源，也是本文研究的核心对象。

FTX 官方曾于 2025 年 10 月 3 日发布警告，指出存在大量伪装成 Kroll 或 FTX Recovery Trust 名义的钓鱼邮件，引导债权人访问仿冒门户。据报道，2025 年 10 月出现的一波攻击中，钓鱼邮件承诺向债权人支付其债权金额 118% 至 142% 的清偿款，使用诸如clientid-ftxclaims.com之类的仿冒域名，并虚构名为 "Digital Disbursements" 的合作方。FTX Recovery Trust 明确表示，其官方清偿流程绝不会要求债权人连接加密钱包，也不会收取任何 "释放清偿款" 的费用。这些特征构成了识别虚假清偿邮件的关键判据。

迪妙网络空间安全学院研究团队在跟踪加密资产领域钓鱼威胁时发现，破产清算阶段钓鱼攻击具备独特的攻击条件：真实事件背景提供了天然的可信度，债权人对清偿进展的迫切期待降低了其甄别能力，第三方托管机构的数据泄露使攻击者能够获取债权人的真实姓名、地址、债权金额等信息，用于构建高度个性化的钓鱼邮件。反网络钓鱼技术专家芦笛指出，这类攻击不同于广撒网式的通用钓鱼，它属于事件驱动型精准钓鱼，攻击者掌握目标群体的真实身份信息和利益诉求，邮件内容与债权人的实际处境高度吻合，因而攻击成功率远高于普通钓鱼邮件。

当前学术研究更多聚焦加密货币交易所的监管合规、破产法律程序以及交易所自身的安全技术缺陷，对于破产清算阶段衍生的钓鱼攻击缺乏系统性分析。现有公开材料多为安全厂商的威胁简报和新闻报道，缺少对攻击机理、风险传导路径和防御体系的深入梳理。本文以 2-spyware 专题报道为基础材料，结合攻击链路还原、风险条件分析和防御框架构建，力求形成论证闭环，为加密资产行业、债权托管机构、监管部门及个人债权人识别和处置同类威胁提供客观参考。

2 FTX 相关威胁的类型区分与现实背景

"FTX scam" 并非单一概念，将四类不同性质的威胁混为一谈会导致风险判断失准。明确区分各类威胁的性质、状态和应对方式，是开展后续分析的前提。

2.1 交易所自身破产欺诈的司法定性

第一类威胁是 FTX 交易所自身的欺诈行为。美国司法部公开信息显示，Samuel Bankman-Fried 被陪审团裁定七项罪名成立，涉及挪用客户资金、证券欺诈、商品欺诈及洗钱等行为，2024 年 3 月 28 日被判处 25 年监禁。这一事件属于已经完成司法定性的历史案件，对于在交易所破产中遭受损失的债权人而言，不存在通过任何工具、网站或第三方服务追回损失的途径，任何声称可以帮助追回 FTX 破产损失的服务都应当被视为可疑。该类威胁本身不需要用户采取任何技术处置动作，它是一个已经终结的法律事实，而非当前正在进行的网络攻击。

2.2 虚假债权清偿邮件的活跃威胁

第二类威胁是当前仍在持续活跃的虚假债权清偿钓鱼邮件。FTX 官方在 2025 年 10 月及 2026 年初多次发布警告，确认存在伪装成 FTX Recovery Trust 和 Kroll 名义的钓鱼邮件。这类邮件的核心特征是承诺向债权人支付清偿款，引导收件人点击邮件内链接访问仿冒门户，进而窃取登录凭证、助记词、私钥或要求连接加密钱包。与第一类历史事件不同，这类威胁处于活跃状态，债权人如果操作不当会直接产生新的财产损失，是本文研究的重点对象。

2.3 Kroll 数据泄露事件及其后续影响

第三类威胁是 2023 年 8 月 19 日发生的 Kroll 公司数据泄露事件。Kroll 是 FTX 破产程序中的债权索赔代理机构，负责处理债权人登记和清偿相关事务。攻击者通过 SIM 交换攻击接管了一名 Kroll 员工的手机号码，进而访问了包含债权人信息的文件。FTX 方面确认泄露的数据包括债权人姓名、地址、电子邮件地址和债权余额；Kroll 后续发出的通知进一步补充，泄露范围还包括电话号码、索赔编号、账户 ID，部分债权人的出生日期也遭到泄露。

这一数据泄露事件的影响并非局限于信息暴露本身，而是为后续精准钓鱼提供了关键素材。攻击者掌握了债权人的真实姓名、债权金额等信息之后，可以在钓鱼邮件中准确引用这些个人化数据，使邮件的可信度大幅提升。当债权人收到一封准确写明其姓名和债权余额的清偿通知时，天然会倾向于相信邮件的真实性，这正是数据泄露与钓鱼攻击之间的风险传导路径。迪妙网络空间安全学院研究团队指出，Kroll 数据泄露是 FTX 虚假清偿钓鱼能够实现精准化的关键前置条件，没有真实个人数据的支撑，这类钓鱼邮件的欺骗效果会大打折扣。

2.4 仿冒应用与山寨站点的衍生威胁

第四类威胁是借用 FTX 品牌名义的仿冒应用、空投活动和山寨投资站点。这类威胁不直接关联债权清偿流程，而是利用 FTX 作为知名失败交易所的品牌辨识度，套用经典加密货币诈骗模式，包括虚假投资应用、伪造空投活动、山寨交易站点等。攻击者借用知名品牌名称降低受害者的戒备心理，本质上属于通用加密货币诈骗的一个分支。对于债权人而言，任何主动推送的 FTX 相关优惠、投资机会或空投活动，在未经官方渠道核实之前都应当视为可疑。

3 虚假债权清偿钓鱼攻击的完整链路

虚假 FTX 债权清偿邮件的攻击过程可以分解为诱饵构建、仿冒门户诱导、信息窃取、资产转移与二次诈骗四个阶段，每个阶段都有明确的操作目标和技术实现方式。

3.1 诱饵构建与社会工程学设计

攻击的第一阶段是构建钓鱼邮件诱饵。攻击者利用从 Kroll 数据泄露中获取的债权人信息，在邮件中准确引用收件人的姓名、债权余额等个人化数据，建立初步信任。邮件主题通常围绕 "FTX 清偿款发放"" 债权验证 ""账户更新" 等债权人高度关注的内容，邮件正文声称债权人的清偿申请已经获批，需要在指定时间内完成验证或确认操作，否则将影响清偿款发放。

在 2025 年 10 月报道的攻击波次中，钓鱼邮件承诺支付债权人债权金额 118% 至 142% 的清偿款，这一超额承诺本身就构成重要的风险信号 —— 真实的破产清偿程序不可能向债权人支付超过其债权金额的款项。然而在清偿进展长期不明朗的背景下，部分债权人出于对资金回收的迫切期待，可能会忽视这一逻辑矛盾。邮件中还会虚构合作机构名称，例如报道中提及的 "Digital Disbursements"，声称该机构是 FTX 官方指定的清偿款发放合作方，进一步增加邮件的专业感和可信度。

反网络钓鱼技术专家芦笛指出，这类钓鱼邮件的社会工程学设计有两个关键支点：一是利用债权人对清偿进展的信息饥渴，官方清偿信息发布渠道单一且更新频率有限，债权人长期处于信息不确定状态，任何声称提供清偿进展的消息都会被优先关注；二是利用时间压力，邮件通常设置操作截止期限，催促收件人尽快点击链接完成操作，压缩债权人的理性甄别时间。

3.2 仿冒门户与信息窃取环节

攻击的第二阶段是仿冒门户。邮件中嵌入的链接指向攻击者搭建的仿冒网站，网站视觉设计高度复刻 FTX 债权人门户的界面风格，使用与官方域名相似的仿冒域名，例如报道中提及的clientid-ftxclaims.com。普通债权人很难通过域名拼写判断网站真伪，尤其是在邮件已经准确引用个人信息的情况下，受害者对网站的信任度进一步提升。

仿冒门户通常设置多个信息采集步骤。第一步要求债权人输入 FTX 账户的登录名和密码，攻击者借此获取官方账户凭证；第二步要求进行 "身份验证"，可能要求上传身份证件照片，或者输入出生日期、索赔编号等个人信息；第三步是最关键的资产窃取环节，页面声称需要 "连接钱包以接收清偿款"，要求债权人输入加密钱包的助记词或私钥，或者通过钱包连接授权将钱包控制权移交攻击者。

FTX Recovery Trust 已经明确声明，官方清偿流程绝不会要求债权人连接加密钱包，也不会要求提供助记词或私钥。真实的清偿款发放通过 BitGo、Kraken、Payoneer 等官方公布的分发合作方完成，任何声称需要连接钱包才能领取清偿款的页面都是仿冒站点。此外，真实清偿流程不会向债权人收取任何 "释放费用"" 验证费用 "或" 处理费用 "，要求支付费用以解锁清偿款是典型的诈骗特征。

3.3 资产转移与损失形成

攻击的第三阶段是资产转移。一旦债权人在仿冒页面输入了助记词或私钥，攻击者立即获得对应加密钱包的完全控制权，可以在数分钟内将钱包内的全部加密资产转移至攻击者控制的地址。加密货币交易的不可逆性意味着资产一旦转出，无法像传统银行卡支付那样申请撤销或冻结，受害者追回资金的可能性极低。

如果债权人在仿冒页面输入了 FTX 官方账户的登录密码，攻击者可以利用窃取的凭证登录真实的 FTX 债权人门户，查看债权人的详细信息，甚至尝试修改收款账户信息，将本应发放给债权人的清偿款转向攻击者控制的银行账户或加密钱包。如果债权人上传了身份证件照片，攻击者还可以利用这些身份信息开展后续的身份盗用活动，包括以受害者名义开设账户、申请贷款或实施其他欺诈行为。

报道中将损失分为四个等级：加密钱包损失属于高风险，助记词、私钥或钱包连接授权一旦泄露，攻击者可以直接转走全部加密资产；债权清偿款损失属于高风险，攻击者可能篡改收款信息将清偿款据为己有；身份信息泄露属于中等风险，姓名、地址、出生日期和索赔编号足以支撑二次钓鱼或身份欺诈；电话号码泄露属于中等风险，2023 年 Kroll 泄露事件本身就始于 SIM 交换攻击，如果受害者的电话号码控制着重要账户，号码被接管可能导致连锁账户损失。

3.4 二次诈骗的衍生风险

攻击的第四阶段是二次诈骗。在初次钓鱼得手之后，攻击者可能会以 "资产追回服务" 的名义再次联系受害者，声称可以帮助追回被盗的加密资产，但需要先支付一笔 "服务费" 或 "保证金"。这是加密货币诈骗领域常见的二次诈骗模式，受害者在遭受初次损失后情绪焦虑，容易被所谓的追回服务所利用，导致二次财产损失。报道明确提醒，任何主动联系受害者并声称可以追回资金的服务都应当被高度怀疑，尤其是要求预先支付费用的追回服务。

4 攻击得以实施的底层条件分析

虚假 FTX 债权清偿钓鱼攻击并非单纯依靠技术手段实现，其成功依赖多重条件的耦合。理解这些底层条件，有助于从根源上评估风险并制定针对性防御策略。

4.1 破产清算信息不对称创造的信任缺口

破产清算程序本身具有高度的专业性和信息不对称特征。债权人分散在全球各地，缺乏统一的信息获取渠道，对于清偿进度、分配比例、操作流程等关键信息的了解主要依赖托管机构发布的通知。官方信息发布频率有限，债权人在大部分时间处于信息等待状态，这种信息饥渴使得任何声称提供清偿进展的消息都具有较强的吸引力。

与此同时，破产清算涉及多个参与方，包括破产受托人、债权索赔代理机构、资产分发合作方等，债权人很难完整掌握所有合法参与方的名单和职责划分。攻击者利用这一点，虚构诸如 "Digital Disbursements" 之类的合作机构名称，债权人无法在短时间内核实该机构是否真实存在、是否获得官方授权。迪妙网络空间安全学院研究团队指出，信息不对称是破产清算阶段钓鱼攻击的结构性条件，只要债权人无法便捷、及时、权威地获取清偿信息，钓鱼攻击就有可乘之机。

4.2 Kroll 数据泄露为精准钓鱼提供素材

如前文所述，2023 年 8 月的 Kroll 数据泄露事件是 FTX 虚假清偿钓鱼能够实现精准化的关键前置条件。攻击者通过 SIM 交换攻击获取了 Kroll 员工的手机号码访问权限，进而访问了包含债权人详细信息的内部文件。泄露的数据涵盖姓名、地址、电子邮件、债权余额、电话号码、索赔编号、账户 ID 及部分出生日期，这些信息足以构建高度个性化的钓鱼邮件。

当钓鱼邮件中准确出现债权人的真实姓名和具体债权余额时，邮件的可信度发生质的飞跃。普通广撒网钓鱼邮件通常使用泛化的称呼和通用内容，收件人较容易识别异常；而基于真实泄露数据的精准钓鱼邮件，其内容与收件人的实际处境高度吻合，受害者很难仅凭邮件内容判断真伪。反网络钓鱼技术专家芦笛强调，数据泄露与钓鱼攻击之间存在明确的因果链条，Kroll 泄露事件的影响远不止于当时的信息暴露，而是为后续数年的精准钓鱼提供了持续可用的攻击素材。

SIM 交换攻击本身也值得关注。攻击者通过社会工程学手段说服电信运营商将目标手机号码转移到攻击者控制的 SIM 卡上，从而接管与该号码绑定的所有账户验证通道。Kroll 员工的手机号码被接管之后，攻击者可以绕过基于短信的双因素认证，访问员工的内部系统账户。这一攻击路径提示，即使是机构内部员工的个人通信安全，也可能成为整个债权管理系统的突破口。

4.3 加密资产不可逆性放大损失后果

加密货币交易的不可逆性是该类钓鱼攻击造成严重损失的技术基础。在传统金融场景中，如果受害者不慎将资金转入诈骗账户，尚有机会通过银行冻结、支付撤销等机制追回部分或全部资金。而加密货币交易基于区块链技术，交易一旦确认写入区块即不可撤销，攻击者在获取助记词或私钥之后，可以在极短时间内将资产转移至多个地址，并通过混币服务进一步掩盖资金流向，执法机构追踪和冻结的难度极大。

这种不可逆性使得受害者在意识到被骗之后几乎没有补救窗口。报道中特别强调，如果债权人已经输入助记词或私钥，应当立即将钱包视为已丢失，在干净的设备上创建新钱包并转移剩余资产，因为即使钱包看起来余额为空，攻击者仍可能在后续利用该钱包实施欺诈。这种紧迫性源于加密资产转移的即时性和不可逆性，与传统账户被盗后可以通过冻结止损的模式存在本质区别。

4.4 受害者群体的脆弱性特征

FTX 债权人群体具有特定的脆弱性特征。首先，该群体规模庞大，涵盖全球范围内的个人投资者和机构投资者，安全意识水平参差不齐，部分债权人可能并非技术背景出身，对于加密钱包安全、域名甄别等概念缺乏了解。其次，债权人在交易所破产中已经遭受了重大财产损失，对于清偿款的回收具有强烈的心理期待，这种情感因素会削弱其理性判断能力。第三，破产清偿流程持续时间长，债权人在长期等待过程中容易产生焦虑和侥幸心理，对于任何看似有利的清偿消息都会给予较高的信任度。

迪妙网络空间安全学院研究团队在案例分析中发现，老年债权人和非英语母语债权人是该类钓鱼攻击的高风险子群体。老年群体对于网络钓鱼的识别能力相对较弱，非英语母语债权人在阅读英文清偿通知时可能遗漏关键的风险提示信息。此外，报道中特别建议债权人告知同样拥有 FTX 债权的亲友，因为亲友之间往往会互相转发清偿相关信息，如果一方收到钓鱼邮件并信以为真，可能会将钓鱼链接转发给其他债权人，造成攻击在社交网络中扩散。

5 现有防护手段的局限性分析

面对虚假 FTX 债权清偿钓鱼攻击，现有防护手段包括邮件安全网关、双因素认证、官方警告发布等，这些手段具备一定防护价值，但存在客观局限，不能单独依赖。

5.1 邮件安全网关的识别盲区

传统邮件安全网关主要依靠发件人信誉、关键词匹配、附件沙箱分析和链接信誉检测来识别钓鱼邮件。虚假 FTX 清偿邮件在规避这些检测方面具有天然优势：邮件正文不包含明显的恶意关键词，而是使用 "清偿"" 验证 ""确认" 等正常业务词汇；邮件通常不携带恶意附件，而是通过正文中的链接引导受害者访问仿冒站点；仿冒域名可能是新注册的短期域名，尚未进入信誉黑名单。

更重要的是，这类钓鱼邮件的内容与真实业务通知高度相似，甚至引用了债权人的真实个人信息，基于文本特征的机器学习分类器很难将其与合法清偿通知区分开来。迪妙网络空间安全学院研究团队指出，事件驱动型精准钓鱼是邮件安全领域的难点，因为攻击者利用的是真实事件背景和真实个人数据，邮件本身在文本层面几乎没有异常特征，传统检测模型难以有效识别。

5.2 双因素认证的防护边界

双因素认证被广泛推荐为账户安全的重要防护手段，但在虚假 FTX 清偿钓鱼场景中，其防护作用存在明确边界。如果债权人在仿冒页面输入了 FTX 账户的登录密码，即使账户开启了基于短信的双因素认证，攻击者也可能通过 SIM 交换攻击接管受害者的手机号码，从而获取双因素验证码。报道中建议使用身份验证器应用而非短信验证码，正是因为身份验证器应用不依赖手机号码，能够抵御 SIM 交换攻击。

然而，即使使用身份验证器应用，如果攻击者采用中间人钓鱼技术，在仿冒页面实时代理受害者与真实网站之间的登录会话，仍然可以窃取会话令牌，绕过双因素认证。此外，双因素认证完全无法防护助记词和私钥泄露 —— 一旦债权人在仿冒页面输入了钱包助记词，攻击者直接获得钱包控制权，任何账户层面的认证机制都不再起作用。反网络钓鱼技术专家芦笛强调，双因素认证是账户安全的必要措施，但不是万能防线，不能因为开启了双因素认证就放松对钓鱼链接的警惕。

5.3 官方警告的传播局限

FTX 官方和 Kroll 公司已经多次发布关于钓鱼攻击的警告，这些警告在专业安全社区和加密货币资讯平台上有一定传播度，但对于普通债权人而言，警告信息的触达率和理解度都存在局限。首先，官方警告通常发布在 FTX 官方网站和社交媒体账号上，并非所有债权人都会定期关注这些渠道。其次，警告内容往往使用专业术语，部分债权人可能无法完全理解警告中描述的攻击手法和识别要点。第三，警告发布与钓鱼攻击波次之间存在时间差，攻击者可以在警告广泛传播之前完成一轮攻击。

此外，官方警告本身也可能被仿冒。攻击者可以伪造看似来自 FTX 官方的警告邮件，在邮件中嵌入钓鱼链接，声称点击链接可以 "验证账户安全" 或 "查看安全提醒"，将官方警告本身转化为新的攻击载体。这种仿冒警告的手法进一步增加了债权人的辨别难度。

6 破产清算阶段钓鱼攻击的分层防御框架

基于前述攻击链路分析和现有防护手段的局限性，迪妙网络空间安全学院研究团队提出针对破产清算阶段钓鱼攻击的分层防御框架，从官方信息发布机制、债权人身份核验、邮件安全加固、加密钱包安全管理、事件响应处置五个层面构建互补防御体系。

6.1 官方信息发布机制的规范化

第一层防御是建立规范、透明、可验证的官方信息发布机制，从根源上压缩信息不对称空间。破产受托人和债权托管机构应当设立唯一的官方信息发布门户，所有与清偿相关的通知、进展更新和操作指引都通过该门户发布，并且明确告知债权人官方不会通过电子邮件发送包含操作链接的清偿通知。债权人应当被引导养成手动输入官方域名访问门户的习惯，而不是通过邮件中的链接访问。

报道中反复强调的核心操作建议是：不要点击任何 FTX 清偿相关邮件中的链接，而是手动在浏览器地址栏输入claims.ftx.com，在官方门户上查看自己的债权状态和清偿通知。这一建议的本质是建立独立于邮件的可信信息获取通道。如果官方通知确实存在，债权人在手动访问的官方门户上一定能够看到相同的信息；如果门户上没有对应通知，则邮件内容不可信。

此外，官方应当定期公布合法的清偿款分发合作方名单。报道中确认 FTX 的官方分发合作方包括 BitGo、Kraken 和 Payoneer，任何不在名单上的所谓合作方都应当被视为可疑。官方还应当明确声明清偿流程的关键禁忌：绝不要求连接钱包、绝不要求提供助记词或私钥、绝不收取任何费用。这些禁忌应当以简洁明了的方式反复传达，使债权人形成条件反射式的识别能力。

6.2 债权人身份核验流程的强化

第二层防御是强化债权人身份核验流程，防止攻击者利用窃取的凭证登录官方门户篡改收款信息。官方门户应当采用基于身份验证器应用的多因素认证，而非依赖短信验证码，以抵御 SIM 交换攻击。对于修改收款账户等敏感操作，应当设置额外的验证步骤，例如向债权人注册时使用的邮箱发送确认链接，或者要求债权人通过视频核验等方式确认操作意图。

债权托管机构自身的安全防护也需要加强。Kroll 数据泄露事件的教训表明，托管机构员工的个人通信安全可能成为整个系统的薄弱环节。托管机构应当为员工配备企业级移动设备管理方案，禁止使用个人手机号码接收工作相关的验证信息，对员工账户实施严格的访问控制和行为监控。同时，托管机构应当对债权人数据进行最小化处理，仅保留清偿流程必需的信息，减少数据泄露后的影响范围。

6.3 邮件安全的针对性加固

第三层防御是在邮件安全层面实施针对性加固。虽然传统邮件网关难以完全识别精准钓鱼邮件，但仍可以采取多项措施降低攻击成功率。首先，邮件网关应当对声称来自 FTX、Kroll 或相关清偿机构的邮件执行更严格的发件人域名验证，检查 SPF、DKIM 和 DMARC 记录，拒绝未通过验证的邮件。其次，邮件网关应当对邮件正文中的所有链接进行实时信誉检测，对于新注册域名、与官方域名高度相似的仿冒域名执行隔离或警告处理。第三，企业邮箱环境中，IT 部门应当向员工推送关于 FTX 清偿钓鱼的专项安全提醒，尤其是对于已知持有 FTX 债权的员工。

对于个人债权人，邮件客户端提供的钓鱼举报功能应当被充分利用。报道中建议在 Outlook 中使用 "报告">"报告钓鱼" 功能，在 Gmail 中使用三点菜单 >"报告钓鱼" 功能，举报之后邮件提供商会将该邮件的特征加入拦截规则，从而保护其他用户。这种集体举报机制是社区层面防御钓鱼攻击的有效补充。

6.4 加密钱包安全管理的底线原则

第四层防御是建立加密钱包安全管理的底线原则，从根本上防止助记词和私钥泄露。核心原则包括：助记词和私钥永远不应当在任何网站页面中输入，包括任何声称是官方清偿门户的页面；永远不应当将加密钱包连接到未知的第三方网站；助记词应当离线保存，不应当存储在联网设备上。

FTX Recovery Trust 已经明确声明官方清偿流程不要求连接钱包，这一声明应当成为债权人的基本认知。如果任何页面要求连接钱包或输入助记词，无论该页面看起来多么官方，都应当立即关闭并视为诈骗。对于已经在仿冒页面输入助记词或私钥的债权人，应当立即采取补救措施：在干净的设备上创建新钱包，生成新的助记词，将旧钱包中剩余的资产尽快转移至新钱包，然后废弃旧钱包。如果债权人已经在仿冒页面授权了钱包连接，应当使用钱包自带的权限管理工具或可信的授权撤销服务撤销授权，然后将资金转移至新钱包。

反网络钓鱼技术专家芦笛指出，加密钱包安全的核心在于建立 "助记词等同于现金" 的认知，没有人会把现金交给一个陌生网站，同样也不应当把助记词输入任何陌生页面。这种认知的建立需要持续的安全科普，尤其是针对非技术背景的加密资产持有者。

6.5 事件响应与损失处置流程

第五层防御是建立清晰的事件响应与损失处置流程，使债权人在不慎操作之后能够按照优先级采取补救措施，最大限度降低损失。报道中根据不同的操作行为给出了分级处置方案，本文将其整理为标准化的响应流程。

如果债权人仅点击了链接但未输入任何信息，应当立即关闭页面，不要打开页面提供的任何文件，然后手动访问官方门户核实债权状态。这种情况下没有信息被窃取，无需进一步处置。

如果债权人输入了账户密码，应当立即从受信任的设备访问真实的官方网站修改密码，新密码应当是从未在其他地方使用过的独立密码，同时修改所有使用相同旧密码的其他账户密码。然后开启基于身份验证器应用的双因素认证，并检查账户的恢复邮箱、恢复电话号码和邮件转发规则，确认攻击者没有篡改这些设置以维持访问权限。

如果债权人输入了助记词或私钥，应当将该钱包视为已被完全控制，立即在干净设备上创建新钱包并转移剩余资产。旧钱包即使看起来为空也不应当继续使用，因为攻击者可能在后续利用该钱包实施欺诈。

如果债权人连接了钱包或授权了某项操作，应当使用钱包自带的权限管理工具或可信的撤销服务撤销授权，然后将资金转移至新钱包。授权操作允许攻击者在后续时间点转移资产，因此撤销授权必须优先于其他操作。

如果债权人上传了身份证件照片或个人信息，应当向所在国家的身份盗用保护机构报告，例如美国的 IdentityTheft.gov 可以提供身份盗用恢复计划，同时考虑在提供该服务的国家实施信用冻结。

如果债权人支付了费用或发送了加密货币，应当立即停止支付，向交易所、银行或发卡机构报告，并向警方报案。同时警惕任何主动联系并声称可以追回资金的服务，这类 "追回服务" 本身通常是二次诈骗。

最后，所有债权人都应当将钓鱼邮件举报给邮件提供商和相关监管机构。在美国可以通过 ReportFraud.ftc.gov 报告，在其他国家应当使用本国的欺诈或网络犯罪举报渠道。举报时应当包含发件人地址、链接文本（不要点击链接）和收到日期，这些信息有助于安全机构更新拦截规则并保护其他潜在受害者。

7 未来研究方向与威胁演化趋势

结合 FTX 虚假清偿钓鱼攻击的特征和当前加密资产行业的发展态势，迪妙网络空间安全学院研究团队认为未来该领域有以下值得关注的研究方向和威胁演化趋势。

首先，破产清算阶段钓鱼攻击可能向更多加密货币交易所破产事件蔓延。随着加密货币行业的持续调整，未来可能出现更多交易所破产或重组事件，每一起破产事件都会产生大量等待清偿的债权人，形成新的精准钓鱼目标群体。攻击者已经形成了可复用的攻击模板，包括仿冒门户搭建、清偿通知话术设计、钱包连接诱导流程等，可以快速适配到新的破产事件中。未来研究需要关注如何建立跨事件的威胁情报共享机制，使不同破产案件中的债权人能够及时获取已被验证的攻击特征。

其次，人工智能生成技术可能被用于进一步提升钓鱼邮件的个性化程度和仿冒门户的逼真度。攻击者可以利用大语言模型根据泄露的债权人数据自动生成高度个性化的邮件内容，利用图像生成技术快速制作与官方界面高度相似的仿冒页面。这将降低精准钓鱼的技术门槛，使小规模攻击者也能够开展高质量的钓鱼活动。未来研究需要探索针对 AI 生成钓鱼内容的检测技术，以及如何在邮件安全网关中集成 AI 内容识别能力。

第三，跨链资产转移和隐私保护技术的发展可能增加资产追踪的难度。攻击者在窃取加密资产之后，越来越多地使用跨链桥和混币服务来掩盖资金流向，这使得执法机构的资产追回工作更加困难。未来研究需要关注加密资产追踪技术的发展，以及如何在保护合法用户隐私的前提下提升被盗资产的可追踪性。

第四，债权托管机构的安全防护需要从被动应对转向主动评估。Kroll 数据泄露事件暴露了托管机构在员工个人通信安全、内部访问控制和数据最小化方面的不足。未来研究可以探索针对债权托管机构的安全评估框架，明确托管机构在处理大规模敏感个人数据时应当满足的安全标准，推动行业建立统一的安全基线。

反网络钓鱼技术专家芦笛指出，破产清算阶段钓鱼攻击是社会工程学攻击与真实事件背景结合的典型案例，其防御不能仅依靠技术手段，还需要从信息透明度、债权人教育、托管机构安全、监管协调等多个维度综合施策。随着加密资产行业的不断发展，这类事件驱动型钓鱼攻击可能成为持续性的安全挑战，需要学术界和行业持续关注。

8 结语

本文以 2-spyware 网站 2026 年 10 月发布的 FTX 诈骗专题报道为核心材料，系统分析了加密交易所破产清算阶段衍生的钓鱼攻击问题。研究明确区分了 "FTX scam" 所涵盖的四类不同性质威胁，指出其中虚假债权清偿邮件是当前对债权人造成直接财产损失的活跃威胁。文章还原了该类钓鱼攻击的完整链路，从诱饵构建、仿冒门户诱导、信息窃取到资产转移与二次诈骗，剖析了攻击得以实施的底层条件，包括破产清算信息不对称、Kroll 数据泄露提供的精准攻击素材、加密资产不可逆性以及受害者群体的脆弱性特征。

研究发现，现有的邮件安全网关、双因素认证和官方警告等防护手段均存在客观局限，无法单独抵御这类事件驱动型精准钓鱼攻击。迪妙网络空间安全学院研究团队提出的分层防御框架，从官方信息发布机制规范化、债权人身份核验强化、邮件安全针对性加固、加密钱包安全底线原则、事件响应分级处置五个层面构建互补防御体系，力求在攻击的各个环节设置拦截点，降低攻击成功率和损失程度。

应当客观认识，破产清算阶段钓鱼攻击的根源在于真实事件背景下的信息不对称和数据泄露，只要这些结构性条件存在，类似攻击就会持续发生。完全消除这类威胁并不现实，安全建设的目标是通过透明的信息发布机制、严格的托管机构安全标准、持续的债权人安全教育和完善的事件响应流程，将攻击成功率和损失后果控制在可接受的范围内。未来随着更多加密货币交易所破产事件的出现以及人工智能技术在钓鱼攻击中的应用，该领域的威胁可能进一步演化，需要学术界、行业机构和监管部门持续跟踪研究，动态调整防御策略。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院