“不付款就把你的记录群发通讯录”：邮箱勒索类攻击的信号与处置

勒索信为什么盯着加密货币用户

“我已黑进你的设备/你的交易所账号，不按要求支付就群发你的记录。”这类邮件的话术模板并不新，但它对加密用户格外有杀伤力，原因有两层：第一，加密圈子网文化重，很多用户的邮箱、用户名与持仓身份长期绑定，隐私泄露的第二代价（被定向社工、被熟人围观财富）比一般用户高；第二，转账支付对攻击者来说回收成本低、链路短。要对付它，先得冷静判断对方手里的“料”到底是哪一种。

三种素材来源，对应三种处置

第一种，撞库泄露库。勒索者手里其实没有你的设备，他只有你邮箱地址加某个历史泄露事件里出现过的旧密码（有时故意在邮件里贴出你的旧密码证明“我进过你的系统”）。这封邮件本身是虚张声势，但它指向一个真问题：这个邮箱或其密码在某个泄露库中真实出现过。处置重点不在付钱，而在把这条泄露链剪断：该邮箱及所有复用此密码的账户立即改密并开启双重验证，检查交易所与钱包服务商账号的登录设备与会话列表，踢掉陌生会话。第二种，真实账号入侵。勒索者确实登录过你的邮箱，能引用你近期的真实邮件内容。此时处置升级为清场：在自己的设备登录网页版邮箱，检查转发规则、恢复邮箱、已授权第三方应用、已登录设备——勒索者常在邮箱里埋一条自动转发或隐藏规则作为后门，只在改密码不清规则等于没关门；随后对所有能收到“验证码”的账户（交易所、钱包云备份、社群账号）按优先级改密、重登、撤会话。第三种，真实设备沦陷，对方能出示你的屏幕截图或文件目录。这是入侵事件：立即断网隔离设备、从干净设备改全部凭证、按事件流程评估钱包是否受累（剪贴板、浏览器钱包插件、本地密钥文件都在侦察面内），主要资产按暴露流程迁移。分辨自己属于哪种的土办法：对方引用的内容是不是你最近的、不在任何泄露库里的信息；只敢引用旧密码的多是吓唬，能引用昨天邮件的必须当真实入侵处理。

付钱从来不是选项

无论哪种情况，支付都不解决问题：勒索者收钱后继续要下一轮是常态剧本，而“付过款”反而把你标记为可反复收割的目标。加密身份暴露后的正确止损是把链条剪断（改密、清规则、断会话）加上把注意力降温（对熟人圈统一简短说明“我邮箱被盗，涉及我的异常消息请勿理会”），而不是用转账买一个不被兑现的承诺。

日常预防清单

邮箱分级：接收重要账户验证码的邮箱不参与任何论坛注册与公开活动；密码管理器开启重复密码检查，一处泄露不再连锁引爆；每季度跑一次主流泄露库检查工具看你邮箱是否上榜，上榜就按第一种情况处理而不必等勒索邮件来敲门；对高价值目标，把交易所与钱包的重置路径从纯邮箱升级为“邮箱加设备加人工”多重验证。

勒索攻击的本质是把你的隐私定价，然后赌你不敢查、不好意思说。剪断泄露链、公开说破、拒绝付款，这三步做齐，它的商业模型就崩了。

值得多说一句“公开说破”的分寸：不需要向所有人自证清白，只需要向你的直接联系人（家人、常用合作者、可能被冒充触达的群管理员）发一条简短、提前准备好的模板通知，说明你的邮箱被盗、任何索要转账或点击链接的“你”都是假的。这条通知最好平时就写好存在密码管理器备注里，事发时群发一分钟完成——勒索者抢的是你措手不及的当天，一条体面而明确的官方口径能瞬间把他的谈判筹码清零，也是防止骗子用你的语气向熟人借钱的最佳疫苗。

风险提示：本文为安全知识科普，不构成任何投资建议；涉及私钥、签名与转账的操作请通过官方渠道谨慎处理。