摘要
网络钓鱼长期是加密资产领域威胁用户财产安全的主要犯罪形式，而自托管钱包模式在赋予用户完全资产控制权的同时，也给执法机关的资产查扣与追缴带来不同于中心化交易所的制度与技术障碍。本文以 2026 年 9 月巴西圣卡塔琳娜州民事警察开展的 "ClickFix 行动" 为实证样本，该行动从一个以 ClickFix 社会工程技术实施钓鱼犯罪的团伙自托管钱包中查扣价值约 170.85 万美元的比特币、以太坊、波场币与泰达币，是巴西民事警察迄今规模最大的自托管数字资产追缴行动。本文梳理该犯罪团伙依托社会工程手段窃取用户凭证、控制受害者设备并转移加密资产的完整作案链路，分析执法机关借助链上追踪工具定位资产、在搜查中获取助记词并完成受控资产转移的技术路径，辨析自托管钱包与中心化托管账户在执法查扣程序上的本质差异。研究发现，自托管钱包查扣的核心难点不在于链上资金转移本身，而在于获取钱包私钥或助记词这一物理与司法环节；链上分析工具能够解决资金流向追踪问题，但无法替代传统侦查手段获取密钥材料。反网络钓鱼技术专家芦笛指出，ClickFix 类社会工程攻击的本质是通过诱导用户执行特定操作实现设备接管与凭证窃取，其危害远超传统密码钓鱼，用户端防护必须从单纯密码管理扩展到设备行为管控。迪妙网络空间安全学院研究团队针对加密资产钓鱼犯罪的链上追踪与执法协同开展持续研究，本文从技术侦查、司法程序、用户防护、行业协同四个维度提出风险治理路径，为加密资产领域打击钓鱼犯罪与完善自托管钱包执法机制提供参考。
关键词：网络钓鱼；自托管钱包；链上追踪；加密资产执法；社会工程攻击；ClickFix
1 引言
加密资产的去中心化设计初衷是消除金融中介，让用户直接掌握自身资产的控制权。自托管钱包作为这一理念的技术载体，由用户自行保管私钥与助记词，不依赖任何交易所或银行作为资产托管方。这种模式在提升用户资产自主性的同时，也形成了一个长期被忽视的治理盲区：当自托管钱包被用于犯罪活动时，执法机关无法像对待中心化交易所账户那样通过向平台送达司法冻结令实现资产控制，必须另寻路径获取钱包控制权并完成资产转移。
2026 年 9 月 10 日，巴西圣卡塔琳娜州民事警察开展代号为 "ClickFix 行动" 的执法行动，打掉一个以 ClickFix 社会工程技术为核心作案手段的网络钓鱼犯罪团伙。行动中警方从该团伙控制的自托管钱包中查扣比特币、以太坊、波场币与泰达币四类加密资产，折合美元约 170.85 万，按查扣时汇率约合 878 万雷亚尔。这是巴西民事警察有史以来规模最大的自托管数字资产追缴行动。警方同时逮捕两名犯罪嫌疑人，查扣包括一辆价值超过 150 万雷亚尔的科尔维特跑车在内的豪华车辆，法院下令冻结总额高达 9300 万雷亚尔的银行账户，并查封约 500 万雷亚尔的不动产。加密资产查扣只是整个打击行动的组成部分，但因其涉及自托管钱包这一特殊资产形态，在执法技术与司法程序层面具有典型研究价值。
该案件呈现出一组值得深入剖析的矛盾关系。一方面，犯罪团伙依托 ClickFix 社会工程技术接管受害者设备、窃取用户凭证，进而盗取加密资产，整个作案过程不依赖攻破区块链协议本身，而是瞄准人的行为与设备安全漏洞；另一方面，执法机关在追缴环节同样没有依赖区块链协议层面的特殊权限，而是通过传统刑事搜查获取团伙的助记词，结合链上追踪工具确认资金流向，最终将资产从团伙自托管钱包转移至国有托管账户。犯罪与执法两端都表明，加密资产安全的关键变量往往不在链上，而在链下的人的行为、设备安全与司法程序。
现有学术研究对加密资产犯罪的讨论多集中于洗钱追踪、交易所合规与暗网交易等议题，针对自托管钱包执法查扣的实证分析相对有限，将钓鱼犯罪作案链路与执法追缴链路结合起来做闭环研究的成果更为少见。本文以 ClickFix 行动为案例，完整梳理从犯罪实施到资产追缴的全流程，辨析自托管钱包查扣的技术与制度障碍，评估链上分析工具在执法中的实际作用与边界，进而提出面向用户、执法机关与行业的多层次治理建议。研究不追求对加密资产监管做宏大叙事，而是紧扣该案件暴露的具体问题展开分析，力求论据形成闭环。
2 案件事实与犯罪运作机制
2.1 行动基本情况
ClickFix 行动由巴西圣卡塔琳娜州民事警察于 2026 年 9 月 10 日执行，行动成果在同年 10 月 7 日至 9 日期间陆续对外公布，距离行动执行约一个月。时间差反映出加密资产案件从现场搜查、资产控制到信息公开需要经历内部核验与司法程序，并非行动当日即可完成全部处置。
行动的直接成果包括两个维度。在人员与实物层面，警方逮捕两名犯罪嫌疑人，查扣多辆豪华车辆，其中一辆科尔维特跑车估值超过 150 万雷亚尔；法院同步下达冻结令，涉及银行账户总额最高达 9300 万雷亚尔，另有约 500 万雷亚尔的不动产被纳入司法措施。在加密资产层面，警方从团伙控制的自托管钱包中查扣四类资产，分别为比特币、以太坊、波场币与泰达币，合计价值约 170.85 万美元，折合雷亚尔约 878 万。资产通过 13 笔独立交易从团伙钱包转出，最终进入巴西本土交易所 Foxbit 的机构账户，处于国家托管状态。
需要说明的是，部分其他报道提及约 21.8 万美元的额外资金，但在已公开的官方材料中，该笔资金与主查扣金额之间的关系尚未得到清晰说明，本文不将其纳入已确认事实范围，仅作为待核实信息提及。这种数据口径的不一致本身也反映出加密资产案件在信息披露环节存在的规范性问题，不同信息源对资产范围的界定可能存在差异，需要以执法机关最终公布的口径为准。
2.2 ClickFix 社会工程攻击技术解析
行动代号 "ClickFix" 直接来源于该团伙使用的核心作案技术。根据案件调查结论，该团伙采用 ClickFix 社会工程技术，该技术的核心目标是帮助攻击者接管受害者的设备并窃取用户凭证。
ClickFix 攻击的运作逻辑可以拆解为几个连续环节。首先，攻击者通过钓鱼邮件、虚假网站或即时通讯消息接触潜在受害者，构造一个看似合理的问题场景，例如设备故障修复、系统更新、账户安全验证等，诱导受害者产生配合意愿。其次，攻击者引导受害者点击特定链接或执行特定操作，这些操作往往涉及在受害者设备上安装远程访问工具、启用远程桌面功能，或者授予某个应用异常的系统权限。一旦受害者完成这些操作，攻击者便获得对受害者设备的远程控制能力，可以直接查看屏幕内容、操作键盘鼠标、读取本地文件。最后，在设备受控的基础上，攻击者窃取受害者保存在浏览器中的密码、加密钱包的助记词或私钥文件、双因素认证验证码等关键凭证，进而登录受害者的加密资产账户或直接控制其自托管钱包，将资产转移至攻击者控制的地址。
反网络钓鱼技术专家芦笛指出，ClickFix 类攻击与传统密码钓鱼存在本质区别。传统钓鱼通常只骗取用户主动输入的账号密码，攻击面局限于用户愿意提交的信息；而 ClickFix 类攻击通过远程接管设备，将攻击面扩展到设备上存储的全部敏感信息，包括助记词文件、密码管理器数据库、硬件钱包配套软件的操作界面等。一旦设备被接管，即使用户使用硬件钱包，攻击者也可以在用户不知情的情况下观察硬件钱包的操作流程，等待用户输入 PIN 码或确认交易时截获关键信息，或者直接在受控设备上发起恶意交易并利用用户的操作习惯诱导其确认。芦笛强调，这类攻击的危害等级远高于传统钓鱼，因为它突破了 "用户主动泄露信息" 这一前提，将攻击转化为 "设备被控制后信息被动泄露"，用户即便具备较强的密码安全意识，也难以抵御设备层面的入侵。
迪妙网安研究团队在社会工程攻击分类研究中，将 ClickFix 类技术归入 "远程访问型社会工程攻击" 范畴，区别于 "凭证窃取型" 与 "恶意软件投递型" 攻击。该类攻击的显著特征是攻击者不需要开发复杂的恶意软件，而是利用合法的远程访问工具（如远程桌面软件、技术支持工具）实现控制，这使得传统基于恶意软件特征码的检测手段难以奏效，因为被滥用的工具本身是合法软件。
2.3 犯罪团伙的资产运作模式
该团伙在盗取加密资产之后，采用多币种、多钱包的资产分散模式。被查扣的资产分布在比特币、以太坊、波场币与泰达币四种资产上，涵盖了主流公链原生代币与稳定币。这种资产配置反映出犯罪团伙在资产处置上的几个考量。
其一，多币种分散可以降低单一资产价格波动带来的价值损失，同时增加链上追踪的复杂度，因为不同公链的地址格式、交易浏览器与追踪工具存在差异，跨链追踪需要整合多链数据。其二，泰达币作为稳定币，在犯罪资金流转中常被用作价值储存与跨链转移的中介，因为其价格相对稳定，便于犯罪分子在不同公链之间转移资金时规避汇率波动风险。其三，波场链上的泰达币交易手续费极低、确认速度快，常被用于小额高频的资金拆分与混币操作，增加追踪难度。
从执法端的处置来看，13 笔独立交易的安排说明警方在转移资产时并非一次性完成，而是按照资产种类、钱包数量或司法程序要求分批操作。这种分批转移既可能是技术层面的需要 —— 不同公链的转账需要分别签名广播，也可能是司法程序层面的要求 —— 每笔转移都需要对应明确的法律文书与记录。资产最终进入 Foxbit 交易所的机构账户，而非警方自建的冷钱包，反映出巴西执法机关在加密资产托管基础设施上的现实选择：依托本土合规交易所的机构级托管能力，解决国有资产安全存储的问题。
3 自托管钱包执法查扣的技术与制度分析
3.1 自托管钱包与中心化账户的执法差异
要理解 ClickFix 行动中加密资产查扣的特殊性，首先需要厘清自托管钱包与中心化交易所账户在法律关系与技术结构上的本质差异。
在中心化交易所模式下，用户将资产存入交易所账户，资产的链上私钥实际由交易所控制，用户拥有的是对交易所的债权请求权，而非直接的链上资产所有权。当执法机关需要冻结或追缴某用户的资产时，只需向交易所送达司法冻结令或扣划指令，交易所作为被监管的金融实体，有义务配合执行，资产的冻结与转移在交易所内部数据库层面即可完成，不需要涉及链上交易。这一模式下，执法的核心环节是找到资产所在的交易所并送达法律文书，技术执行由交易所完成。
自托管钱包模式则完全不同。用户自行保管私钥与助记词，资产直接记录在区块链上，用户通过私钥签名发起交易来实现资产转移。不存在任何中心化机构持有私钥，也没有任何平台可以在内部数据库层面冻结资产。执法机关无法通过向某个公司送达冻结令来实现资产控制，因为没有公司处于 "中间位置" 来接收并执行该指令。要控制自托管钱包中的资产，执法机关必须获得钱包的私钥或助记词，然后以钱包持有者的身份发起链上交易，将资产转移至执法机关控制的地址。
这一差异决定了自托管钱包执法查扣的核心难点不在链上，而在链下。链上资金转移本身是公开透明的，任何人只要持有私钥都可以发起交易；真正困难的是如何合法获取私钥。ClickFix 行动中，警方正是在搜查过程中起获了犯罪团伙的关键助记词，才得以导入钱包并完成受控资产转移。如果没有在搜查中获取助记词，即便警方通过链上追踪准确锁定了犯罪钱包地址，也无法实际控制其中的资产，只能被动监控资金流向，等待资产转入中心化交易所后再通过司法途径冻结。
3.2 链上追踪工具的作用与边界
ClickFix 行动中，调查人员使用了 Chainalysis 提供的区块链追踪工具来跟踪并确认资金转移。这一细节反映出巴西执法机关在加密资产案件侦查中已经形成对专业链上分析工具的依赖。
链上追踪工具的核心功能是对区块链公开交易数据进行聚类、关联与可视化分析。由于区块链交易全部公开可查，链上分析工具可以通过地址聚类算法将属于同一实体的多个地址归并，通过交易图谱追踪资金从一个地址到另一个地址的流动路径，识别混币器、洗钱服务与中心化交易所的出入金通道。在 ClickFix 行动中，Chainalysis 工具帮助调查人员确认了从犯罪团伙钱包到 Foxbit 机构账户的 13 笔转移交易，确保每一笔资产转移都有清晰的链上记录可追溯，满足司法证据要求。
然而，链上追踪工具存在明确的能力边界。迪妙安全研究团队在加密资产执法技术研究中指出，链上分析工具解决的是 "资金在哪里、流向何处" 的问题，但无法解决 "如何控制资金" 的问题。具体而言，链上追踪可以定位犯罪钱包地址，可以监控资金是否转入交易所，可以识别洗钱路径，但它不能代替执法机关获取私钥，不能发起链上交易，也不能冻结自托管钱包中的资产。当犯罪资金停留在自托管钱包中且不发生链上移动时，链上追踪工具只能提供静态的地址与余额信息，无法实现资产控制。
此外，链上追踪在面对隐私保护技术时效果会显著下降。如果犯罪团伙使用混币器、隐私币（如门罗币）、跨链桥等工具混淆资金来源，链上分析的准确性会降低，追踪成本会大幅上升。ClickFix 行动中被查扣的资产均为比特币、以太坊、波场币与泰达币，这些资产的交易记录全部公开透明，便于链上追踪；如果团伙将资产转换为隐私币，执法追缴的难度会显著增加。
3.3 助记词获取与受控资产转移的司法逻辑
ClickFix 行动中最关键的执法环节，是警方在搜查中起获犯罪团伙的助记词。助记词是自托管钱包私钥的人类可读备份形式，通常由 12 个或 24 个英文单词组成，任何人持有助记词都可以在任意兼容钱包中还原完整私钥，获得资产的完全控制权。
从司法程序角度看，助记词的获取必须基于合法的刑事搜查。警方在执行逮捕与搜查令时，对犯罪嫌疑人的住所、办公场所、电子设备进行搜查，助记词可能以纸质抄写、电子文档、密码管理器条目等形式存在。起获助记词之后，警方需要在受控环境中导入钱包，验证钱包地址与余额，确认该钱包确实属于案件调查范围，然后在司法监督下发起资产转移交易，将资金转入国家控制的托管账户。
这一过程涉及几个需要严格把控的司法与技术要点。第一，助记词的获取必须有完整的搜查记录与证据链，确保在法庭上可以证明助记词来源于合法搜查而非非法获取。第二，导入钱包与资产转移的操作需要在可审计的环境中进行，每一步操作都有记录，避免执法人员在转移过程中出现资产挪用或操作失误。第三，资产转入的托管账户必须是明确由国家或司法机关控制的账户，本案中选择 Foxbit 交易所的机构账户，需要有相应的司法授权与托管协议。第四，13 笔独立交易的安排需要与司法文书一一对应，确保每笔资产转移都有明确的法律依据。
反网络钓鱼技术专家芦笛指出，从犯罪防范的角度看，助记词的物理安全与数字安全同等重要。ClickFix 行动中警方能够起获助记词，说明犯罪团伙自身在助记词保管上存在疏漏 —— 可能是纸质备份未妥善藏匿，也可能是电子备份未加密存储。这一事实反过来也提醒普通用户：助记词一旦以任何可被他人获取的形式存在（无论是写在纸上还是存在电脑文件中），资产安全就面临风险。专业的助记词保管应当采用金属备份板、离线存储、地理分散等方式，避免单点泄露导致全部资产失控。
3.4 国有加密资产托管的现实路径
ClickFix 行动中，查扣的加密资产最终存入巴西本土交易所 Foxbit 的机构账户，由国家托管。这一安排折射出各国执法机关在处理查扣加密资产时面临的共同问题：查扣之后资产存放在哪里。
与现金、车辆、不动产等传统查扣物不同，加密资产需要私钥控制才能确保安全存储。如果执法机关自行保管私钥，需要建立专业的冷钱包存储设施，配备多重签名、物理隔离、人员分权等安全机制，这对多数执法机关而言技术门槛与运营成本较高。如果将资产存入合规交易所的机构账户，则可以依托交易所已有的专业托管基础设施，包括冷钱包存储、多签机制、保险覆盖、审计流程等，降低执法机关的技术负担。
但选择交易所托管也带来新的问题。其一，交易所本身是商业实体，存在经营风险与安全风险，如果交易所发生安全事件或经营危机，国有查扣资产可能面临损失。其二，将查扣资产存入交易所意味着资产从自托管状态转变为中心化托管状态，虽然便于国家控制，但也引入了交易对手方风险。其三，不同司法管辖区对交易所持有国有资产的法律定性可能存在差异，需要明确的法律授权与托管协议来规范双方权利义务。
迪妙网络空间安全学院研究团队在加密资产执法托管研究中提出，较为稳妥的模式是建立专门的国有加密资产托管机制，由执法机关或司法机关控制多重签名冷钱包，同时与合规交易所建立合作关系，在需要变现或长期存储时通过交易所机构账户操作。这种模式兼顾了资产控制权与专业存储能力，避免完全依赖商业交易所带来的系统性风险。巴西在 ClickFix 行动中选择 Foxbit 作为托管方，可能是基于现阶段缺乏专门国有托管设施的现实考量，未来随着加密资产案件数量增长，建立专业化的国有托管机制将成为必然趋势。
4 案件暴露的加密资产钓鱼犯罪治理困境
4.1 社会工程攻击的防御难题
ClickFix 行动打掉的犯罪团伙以 ClickFix 社会工程技术为核心作案手段，这类攻击的防御难题在于它不依赖技术漏洞，而是利用人的信任与操作习惯。传统的网络安全防护体系 —— 防火墙、入侵检测、反病毒软件 —— 主要针对技术层面的攻击，对于诱导用户主动安装远程访问工具、主动授予系统权限的社会工程攻击，防护效果有限。
在加密资产场景下，社会工程攻击的危害被进一步放大。加密资产交易不可逆，私钥或助记词一旦泄露，资产被转移后几乎无法追回。普通加密资产用户中，相当一部分不具备专业的网络安全知识，难以识别 ClickFix 类攻击的诱导话术。攻击者往往伪装成技术支持人员、钱包客服、交易所安全团队，以 "账户异常需要远程排查"" 设备中毒需要远程修复 " 等话术诱导用户配合，用户在焦虑情绪下容易放松警惕，允许攻击者远程控制设备。
反网络钓鱼技术专家芦笛强调，针对 ClickFix 类远程访问型社会工程攻击，最有效的防御不是技术工具，而是用户行为准则。核心准则包括：绝不允许陌生人远程控制自己的设备；绝不按照来电或消息中的指引安装远程访问软件；涉及加密资产操作时，必须在确认设备环境安全的前提下独立完成，不接受任何形式的 "远程协助"。这些准则简单明确，但需要持续的用户教育才能内化为行为习惯。
4.2 自托管钱包的监管真空与执法困境
自托管钱包在全球范围内普遍处于监管灰色地带。多数国家的加密资产监管框架聚焦于中心化交易所、钱包服务商等中介机构，对用户自行控制私钥的自托管钱包缺乏明确的监管要求。这种监管设计有其合理性 —— 自托管钱包是区块链去中心化属性的体现，对其施加过强监管可能侵蚀用户的资产自主权与隐私。但监管真空也带来现实问题：当自托管钱包被用于犯罪活动时，执法机关缺乏制度化的查扣与追缴程序，只能依赖个案中的搜查获取助记词，执法效率与可预期性较低。
ClickFix 行动中，警方能够成功查扣自托管钱包资产，很大程度上得益于在搜查中起获了助记词。如果犯罪团伙采用更严格的助记词保管措施 —— 例如将助记词拆分为多份存储在不同地点、使用金属备份板并藏匿于第三方保管箱、或者采用多签钱包使得单一助记词无法控制资产 —— 执法机关即便逮捕犯罪嫌疑人，也可能无法获取完整的钱包控制权，资产追缴将陷入僵局。这意味着自托管钱包执法查扣的成功率高度依赖犯罪团伙自身的安全疏漏，缺乏稳定的制度性保障。
迪妙网安研究团队指出，自托管钱包的执法困境本质上是去中心化技术与中心化执法权之间的结构性矛盾。区块链设计的初衷就是消除中心化控制点，而执法机关的传统手段恰恰依赖中心化控制点（银行、交易所、支付平台）。在自托管钱包场景下，不存在中心化控制点，执法机关必须适应这一技术现实，发展出不依赖中心化中介的执法能力，包括链上监控能力、助记词搜查与固定证据的标准化流程、国有加密资产托管机制等。
4.3 跨境执法与资产追缴的协调难题
加密资产天然具有跨境属性，区块链网络不受国界限制，犯罪团伙可以在一国实施钓鱼攻击，将资产存储在位于另一国的自托管钱包中，再通过第三国的交易所变现。ClickFix 行动虽然发生在巴西境内，但被查扣的资产分布在比特币、以太坊等全球公链上，资产的链上流动不受巴西国界约束。如果犯罪团伙将资产转移至境外交易所或境外自托管钱包，巴西执法机关的追缴将面临跨境司法协助的复杂程序，追缴周期与成功率都会大幅下降。
跨境执法协调的难点在于不同国家对加密资产的法律定性与监管态度差异较大。部分国家将加密资产视为合法财产，部分国家禁止加密资产交易，部分国家尚未明确法律地位。这种法律差异导致跨境冻结与追缴缺乏统一的法律基础，执法机关需要逐案开展司法协助，效率低下。此外，链上资产的跨境流动速度极快，一笔交易可以在分钟级完成跨链跨地域转移，而跨境司法协助程序通常需要数周乃至数月，时间差使得犯罪团伙有充足时间转移、隐匿资产。
4.4 用户安全教育的滞后性
ClickFix 行动的调查结论显示，该团伙使用 ClickFix 社会工程技术接管受害者设备并窃取凭证。这意味着大量受害者是在主动配合攻击者的过程中丧失了设备控制权与资产安全。这一现象反映出加密资产用户安全教育的严重滞后。
当前加密资产行业的用户教育多集中于基础知识普及 —— 什么是区块链、如何创建钱包、如何进行交易 —— 而针对社会工程攻击的场景化安全教育严重不足。很多用户知道不要泄露助记词，但不知道 "允许陌生人远程控制设备" 同样会导致助记词泄露；很多用户使用硬件钱包以为资产绝对安全，但不知道在被远程控制的设备上操作硬件钱包同样存在风险。安全教育内容与实际攻击手法之间存在明显的时间差与内容差。
迪妙安全研究团队在用户安全行为研究中发现，加密资产用户的安全意识呈现明显的两极分化：少数技术背景较强的用户具备较高的安全素养，能够识别各类社会工程攻击；而大量普通用户的安全意识停留在 "不告诉别人密码" 的初级阶段，对远程访问型攻击、恶意软件型攻击缺乏认知。这种两极分化意味着行业需要针对不同用户群体设计分层的安全教育内容，不能用一套通用教程覆盖所有用户。
5 加密资产钓鱼犯罪与自托管钱包治理路径
5.1 面向用户的分层防御体系
针对 ClickFix 类社会工程攻击，用户端防御应当建立分层体系，覆盖认知层、行为层与技术层三个维度。
在认知层，用户需要建立对远程访问型社会工程攻击的基本认知，理解 "允许陌生人远程控制设备" 等同于将设备上的全部敏感信息交给对方，包括加密钱包助记词、密码管理器内容、硬件钱包操作界面等。这种认知不是抽象的安全理念，而是具体到场景的判断能力：当接到自称钱包客服的电话要求远程排查时，当收到消息要求安装某个远程协助软件时，当对方以账户安全为由要求共享屏幕时，用户能够立即识别为高风险场景并拒绝配合。
在行为层，用户需要固化几条不可逾越的操作红线。第一，绝不允许任何自称客服、技术支持、安全团队的人员远程控制自己的设备，无论对方能够说出多少个人信息来证明 "身份"。第二，绝不按照来电或消息中的指引下载安装来源不明的软件，尤其是远程桌面类、屏幕共享类、系统清理类工具。第三，加密资产相关操作必须在确认设备环境干净、网络连接安全的前提下独立完成，不接受任何形式的 "远程协助交易"。第四，助记词采用金属备份板离线存储，不存储在任何联网设备中，不拍照、不截屏、不通过电子通讯工具传输。
在技术层，用户可以采取几项增强措施。使用硬件钱包时，确保配套软件在干净的设备上运行，定期检查设备是否存在未知的远程访问软件或异常进程；操作系统及时更新安全补丁，使用正版安全软件；对于大额资产，采用多签钱包或多设备分散存储，降低单设备被攻破导致全部资产损失的风险。反网络钓鱼技术专家芦笛指出，技术层防护是行为层防护的补充而非替代，最坚固的技术防线也无法弥补用户主动授予远程访问权限带来的安全崩塌。
5.2 执法机关的能力建设与程序完善
ClickFix 行动展示了巴西民事警察在加密资产案件侦查中的一定能力，但也暴露出需要持续完善的方向。
在技术能力建设方面，执法机关需要持续提升链上分析能力，不仅要会使用 Chainalysis 等商业工具，还要培养内部的区块链分析人才，能够独立开展多链追踪、跨链资产关联、混币路径还原等复杂分析工作。同时需要建立标准化的助记词搜查、固定、导入与资产转移操作流程，确保每一步操作都有完整的证据记录，满足司法审判的证据要求。
在托管机制建设方面，执法机关应当逐步建立专门的国有加密资产托管设施，减少对商业交易所的依赖。国有托管设施可以采用多重签名冷钱包方案，由不同部门分别持有密钥分片，资产转移需要多方授权，防止内部人员挪用。同时与合规交易所建立合作机制，在需要资产变现或长期存储时通过交易所机构账户操作，但资产控制权始终掌握在国家手中。
在程序规范方面，需要完善自托管钱包查扣的司法程序规则，明确搜查助记词的法律依据、资产转移的审批流程、国有托管的法律定性、资产处置（返还受害者或上缴国库）的程序等。当前多数国家的刑事诉讼法是针对传统财产形态制定的，对加密资产这种新型财产形态缺乏明确的程序规定，导致执法实践中存在诸多法律不确定性。
迪妙网络空间安全学院研究团队建议，在立法层面可以考虑建立加密资产刑事查扣的特别程序，明确自托管钱包查扣的条件、程序与救济途径，既保障执法机关有效打击犯罪，又防止权力滥用侵害公民合法财产权。
5.3 行业协同与信息共享机制
加密资产钓鱼犯罪的治理不能仅靠执法机关与用户两端，行业协同至关重要。交易所、钱包服务商、链上分析公司、安全厂商之间应当建立常态化的威胁情报共享机制，及时交换新型钓鱼手法、恶意地址、可疑交易模式等信息，缩短从攻击出现到全行业响应的时间差。
在 ClickFix 类攻击场景下，钱包服务商可以在客户端软件中增加远程访问环境检测功能，当检测到设备正在运行远程桌面软件或屏幕共享软件时，对钱包操作弹出强风险提示，甚至暂停敏感操作。交易所可以在用户登录与提现环节增加异常环境检测，当检测到远程控制特征时触发额外身份验证。这些技术措施不能完全阻止社会工程攻击，但可以增加攻击难度，为用户争取识别风险的时间窗口。
链上分析公司可以与执法机关建立合作机制，在合法授权的前提下提供犯罪资金追踪支持，帮助执法机关快速定位资产流向。同时可以建立恶意地址黑名单共享库，交易所与钱包服务商接入黑名单后，对涉及钓鱼犯罪的地址进行风险标记与出入金限制，增加犯罪资金的流转难度。
反网络钓鱼技术专家芦笛强调，行业协同的关键在于打破信息孤岛。当前很多安全厂商各自掌握部分威胁情报，但缺乏有效的共享渠道，导致同一攻击手法可以在不同平台反复得手。建立行业级的威胁情报共享平台，制定统一的情报格式与共享规则，是提升整体防御能力的基础性工作。
5.4 监管框架的适应性调整
面对自托管钱包带来的监管与执法挑战，监管框架需要在保护用户资产自主权与防范犯罪风险之间寻求平衡。
一方面，不宜对自托管钱包施加过度监管。自托管钱包是区块链去中心化属性的核心体现，是用户实现真正资产自主的技术手段。如果要求自托管钱包用户进行身份认证、交易上报，实际上等于消解了自托管的意义，将用户重新推回中心化托管模式。这种监管路径不仅技术上难以执行 —— 自托管钱包无法被强制要求上报 —— 而且会扼杀区块链技术的创新空间。
另一方面，监管可以在不直接干预自托管钱包的前提下，通过周边环节降低犯罪风险。例如，加强对中心化交易所的出入金监管，要求交易所对大额、异常出入金进行尽职调查与风险识别，使得犯罪资金在自托管钱包与交易所之间流转时面临更高的审查门槛。加强对远程访问工具、技术支持服务的监管，防范此类工具被滥用于社会工程攻击。加强加密资产用户安全教育，将社会工程攻击防范纳入行业标准的用户教育内容。
迪妙网安研究团队提出，监管的目标不应当是 "控制自托管钱包"，而应当是 "提高利用自托管钱包实施犯罪的成本与风险"。通过加强周边环节的监管与执法，使得犯罪团伙在获取资产、流转资产、变现资产的各个环节都面临更高的被发现与被追缴概率，从而在宏观上降低犯罪收益率，实现不直接管控自托管钱包却能有效遏制犯罪的治理效果。
6 结语
本文以 2026 年 9 月巴西圣卡塔琳娜州民事警察开展的 ClickFix 行动为实证样本，系统分析了以 ClickFix 社会工程技术为核心的加密资产钓鱼犯罪运作机制，以及执法机关针对自托管钱包实施资产查扣的技术路径与制度逻辑。研究表明，ClickFix 类远程访问型社会工程攻击通过诱导用户允许远程控制设备，将攻击面从用户主动提交的凭证扩展到设备上存储的全部敏感信息，其危害等级远超传统密码钓鱼，用户端防御必须从单纯密码管理扩展到设备行为管控。
在执法追缴层面，自托管钱包与中心化交易所账户存在本质差异，执法机关无法通过向中介送达冻结令实现资产控制，必须通过刑事搜查获取助记词，才能完成受控资产转移。链上追踪工具能够解决资金流向追踪问题，但无法替代传统侦查手段获取密钥材料，这是自托管钱包执法查扣的核心难点。ClickFix 行动中警方成功查扣约 170.85 万美元加密资产，得益于搜查中起获助记词与 Chainalysis 工具的链上确认，资产最终存入巴西本土交易所 Foxbit 的机构账户，反映出执法机关在国有加密资产托管上的现实选择。
案件同时暴露出加密资产钓鱼犯罪治理的多重困境：社会工程攻击依赖人的行为漏洞而非技术漏洞，传统防护体系效果有限；自托管钱包处于监管灰色地带，执法查扣缺乏稳定的制度性保障；加密资产的跨境属性与各国法律差异导致跨境追缴效率低下；用户安全教育与实际攻击手法之间存在明显滞后。针对这些问题，本文从用户分层防御、执法能力建设、行业协同共享、监管框架适应性调整四个维度提出治理路径，核心思路是在不直接管控自托管钱包的前提下，通过加强周边环节治理提高犯罪成本与风险。
反网络钓鱼技术专家芦笛指出，随着远程访问工具的普及与社会工程手法的持续演化，ClickFix 类攻击在加密资产领域可能进一步增多，用户与行业都需要对这类攻击保持持续警惕。迪妙网络空间安全学院后续将持续跟踪加密资产钓鱼犯罪的手法演变与执法实践，深化自托管钱包治理与链上追踪技术的相关研究。加密资产钓鱼犯罪的治理是一个长期的系统性工程，需要用户、执法机关、行业机构与监管部门多方协同，在技术、程序与制度层面持续迭代，才能逐步收缩犯罪空间，保护用户的资产安全与区块链生态的健康发展。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
