电脑环境体检：远程控制、剪贴板与常驻软件的安全隐患

钱包地址不是账号，电脑是你的「金库地面」

银行账户被盗，钱在银行体系内，有风控兜底；钱包被盗，是有人复制了你签名的能力。而这最容易发生的地方，不是你点错的某个链接，而是你那台常年开着远程工具、装着来路不明软件、从不更新系统的电脑。助记词或私钥只要在这台机器上出现过一次，就已经经过它的键盘、剪贴板和内存。设备环境检查不是极客仪式，而应该像检查门锁一样按月执行。

第一项：远程控制通道盘点

远程软件是所有后门里最「合法」的一类，因此最容易被忽略：合法的远程桌面、远控客户端、屏幕共享工具，一旦被他人安装或被攻破，攻击者看到的就是你的整块屏幕和你敲下的每一次字符。体检动作很简单：打开系统的已安装应用清单，逐个问自己「这个软件我为什么装、最近一次用是什么时候」；检查系统设置里远程桌面、屏幕共享类功能的开关；查看防火墙或网络监控中有哪些程序在长期外连。不认识、想不起用途、长期不用的，直接卸载。

第二项：常驻软件与启动项

键盘记录和剪贴板窃取通常不是一次性脚本，而是开机自启的常驻进程。逐项看系统的启动项与后台常驻列表，重点关注最近一周新增的条目；同时回顾近期是否安装过「游戏辅助」「破解工具」「激活工具」类软件——它们是携带后门的高发区。发现异常时的稳妥做法：立即停止在这台机器上进行任何签名操作，把大额资产转移到用另一台干净设备管理的地址，再做查杀与系统重装。

第三项：更新、权限与习惯

把系统与应用更新打开到自动，多数「古老」的攻击利用的是已被修补的漏洞。检查浏览器的扩展权限（网页剪贴板、全屏、历史数据），浏览器核心用于资产操作的会话避免装任何非必要扩展。日常习惯同样计入体检：不双击运行来路不明的「安装包」，不为看一个 PDF 先装一个陌生阅读器，不在需要运行奇怪插件的页面连接钱包。

一份月度体检清单

每月抽十分钟：一、已安装应用过一遍，删不认识的；二、启动项过一遍，看有无新增；三、远程类功能开关检查；四、系统与安全补丁确认已装；五、扩展清单复查；六、大额资产仍只在「已确认干净的落点」存放。设备体检不需要专业工具，它需要的只是你定期用自己的眼睛扫一遍自己的机器——攻击者最怕的恰恰是这种无聊却规律的十分钟。

手机也是设备

很多人把电脑当金库地面、却把手机当普通消费品，而资产操作恰恰最常发生在手机上。检查逻辑完全一致：已安装应用里有没有「朋友发的安装包」「内测版工具」；截屏、录屏、剪贴板类辅助权限是否被过多 App 持有；无障碍权限是否交给了来历不明的应用——这项权限能读到屏幕上的助记词，是移动端最高危的授权之一，只应给真正的辅助功能场景。老设备上如果曾直接输入过助记词，恢复出厂设置只能算基础卫生，正确动作是把大额资产迁移到只在这台设备之外签名过的地址。记住一条不对称事实：攻击者只需要你的一次疏忽持续存在，而你需要的只是规律地检查自己。

如果体检发现异常且无法确定影响范围，按「三档」处置：第一档，只是多装了陌生软件、没有资产在上面操作过——卸载、全盘查杀、修改重要密码，观察即可。第二档，曾在这台机器上登录过钱包或输入过私钥——即使没发现恶意软件，也应把大额资产迁移，把这台设备降级为只读设备。第三档，已经发生不明交易——直接进入被盗处置流程：设备断网封存、换干净设备迁移资产、撤销授权并保留证据。三档的共同点是：宁可高估一档，不要在「应该没事吧」上省一次迁移的手续。