剪贴板劫持是未经授权读取、监视或替换你复制粘贴的内容。MITRE ATT&CK 把它列为 T1115“剪贴板数据”（Clipboard Data）技术，危害最大的形式是加密货币地址替换恶意软件：它等你复制钱包地址，在粘贴前换成攻击者的地址。同一个恶意软件还可能从剪贴板窃取密码或恢复码。

关键要点

剪贴板出错不一定是劫持；要确认复制和粘贴的值确实出现了意外差异。

长的付款地址不能只扫一眼：要核对开头、中间、结尾、网络和收款方。

把密码、恢复短语、付款资料和管理命令视为高风险的剪贴板数据。

恢复措施取决于数据只是被复制、在使用前被替换，还是已被提交、付款或执行。

剪贴板防护应纳入更全面的网络安全习惯。它不能替代设备更新、应用控制、MFA、交易核验或恶意软件扫描。

剪贴板劫持怎样发生？

剪贴板是系统和应用使用的临时交换区，复制的文字、图片或文件引用存放在那里，供另一个输入框或应用取用。

劫持者不必改动所有复制内容，它可以监视可识别的模式，如长钱包地址、付款标识、密码管理器输出、恢复码或命令；一旦匹配，就读取、替换该值或把数据发给攻击者。

这与网站要求你手动粘贴文字不同。欺诈页面可能让你复制并运行命令，有时作为假更新或验证流程的一部分；那是借助剪贴板的社会工程，自动读取或替换才是剪贴板劫持。两者都危险，但证据和应对不同。

MITRE ATT&CK T1115 怎样描述剪贴板数据？

MITRE ATT&CK 把 Clipboard Data（T1115）归入“收集”（Collection）战术，适用于 Windows、macOS 和 Linux。它指出攻击者可能先监视、再替换剪贴板内容，并记录了 Metamorfo、Mispadu 等把复制的加密货币钱包地址换成攻击者地址的恶意软件家族。MITRE 还说明，这项技术滥用的是正常系统功能，难以靠预防性控制拦截，因此其指引侧重于发现异常读取剪贴板的进程。［1］

对你来说，这意味着没有哪一个设置能单独堵住缺口。在批准时核对目标地址、排查疑似监视剪贴板的软件，比任何单个开关都更重要。

剪贴板数据泄露可能暴露或改变什么？

风险取决于复制的值，以及你之后拿它做什么。

剪贴板内容	可能的滥用	使用前的核验
加密货币地址	把目的地替换成攻击者的地址	核对多组字符，并向收款方确认网络
密码或一次性验证码	用来登录或完成账号接管	优先用密码管理器直接填充，绝不把验证码交给他人
恢复短语或私钥	控制钱包或受保护的账号	不要把长期有效的恢复机密放到通用剪贴板上
银行或付款资料	转移转账去向，或暴露卡号、账户资料	通过已知的发票、联系人或官方账户确认
邮箱地址或账号 ID	转移消息、邀请或付款请求的去向	提交前读完整个粘贴的标识
命令或脚本	以你的用户或管理员权限运行软件	不要运行意外页面、弹窗或陌生人提供的命令

微软描述过 Android 剪贴板暴露问题，以及恶意软件窃取或修改复制内容（包括替换钱包地址）的可能。［2］其对加密货币窃取软件（cryware）的研究还记录了“剪切并替换”，即在交易提交前替换已复制的地址。［3］

哪些迹象能支持劫持判断？

最有力的迹象是可重复的不一致：复制一个值，粘贴到普通的可信输入框，却在没有有意转换的情况下得到另一个值。单次不一致仍可能来自自动更正、格式处理、应用模板、选错内容或剪贴板里的旧内容。

以下信号同时出现时更值得警惕：

付款地址在复制后立即变化；
粘贴出的文字属于陌生的收款方；
剪贴板在你没有操作的情况下被清空或改变；
某个新应用反复请求无障碍、自动化、悬浮窗或与剪贴板相关的权限；
安全软件报告了不需要的程序；
浏览器跳转到要求你把命令粘贴进终端或系统对话框的页面；
下载后出现了意外的进程、扩展或启动项。

不要在真实付款表单里做实验。需要比对时，用不含机密的普通本地文本框，比对后不保存即关闭。排查期间避免反复复制真实的密码、密钥或金融资料。

怎样核对付款地址，防止剪贴板地址替换？

只核对前后四位聊胜于无，但不是完整控制。攻击者能准备外观相似的地址，人对长字符串的注意力也有限。

采用分层检查：

确认正确的付款网络和资产。
从可信渠道获取目的地址，而不是从带着施压的消息中获取。
核对多组相互分开的字符，包括中间的一段。
如果应用支持地址簿或已验证收款方，确认其保存的身份。
对新的或大额的收款方，独立向对方个人或机构确认地址。
在批准前，于签名设备或硬件钱包上再次查看最终目的地址。
在适当时进行小额测试转账，同时清楚手续费和不可撤回的转账依然存在。

最终批准时显示的目的地址，比你记得复制的值更重要；不一致就停下。剪贴板未必是唯一原因，原始消息、网页、账户或收款人记录也可能被篡改。

怎样降低剪贴板数据泄露风险？

尽量使用直接且范围受限的机制：密码管理器自动填充可避免密码进入通用剪贴板；硬件钱包能在独立可信屏幕上显示最终地址；平台分享菜单或已验证收款人列表能减少手动复制，但仍需检查。

保持系统、浏览器、扩展和安全工具最新。只从可核实来源安装软件，删除不再信任的应用或浏览器扩展。检查无障碍、自动化、悬浮窗、键盘和设备管理权限，它们能暴露的远不止剪贴板。

自动清除能缩短机密停留时间，但不是保证：实时监视剪贴板的恶意软件可能在清除前就读到了值。更安全的是一开始就不复制长期有效的机密。

怀疑有剪贴板恶意软件时怎么办？

按已经完成的最高操作级别应对。

只复制了秘密，没有粘贴或提交

假定有剪贴板访问权的软件可能已看到它。在可信设备上更换已复制的密码或恢复码；钱包恢复短语或私钥请按钱包提供商的迁移流程处理，仅清空剪贴板无法让已暴露的机密恢复私密。

地址变了，但尚未付款

在不复制更多机密的前提下保留原始值和被替换值。让受影响设备退出敏感流程，用最新安全软件扫描，检查最近安装的程序和扩展，紧急账号变更改用另一台可信设备。关于什么是恶意软件的通用指南解释了为什么删除一个可疑文件并不能证明设备已经干净。

已提交凭据或付款资料

在可信设备上修改受影响的密码、撤销会话、开启 MFA，并通过官方渠道联系金融服务商；服务商建议时更换已暴露的银行卡或银行资料，并留意借此事件行骗的后续钓鱼。

已把资金发到替换地址

停止后续交易，立即联系交易所、银行、钱包服务或支付服务商，提供交易编号和已核实的目的地址。部分系统可能支持冻结或召回，但不可撤回的结算可能让追回无望。不要向保证能追回的陌生人付钱，那可能导致退款追回骗局。

已粘贴并运行未知命令

这应视为可能的代码执行，而不只是剪贴板问题。让设备脱离敏感账号，保存提供该指示的页面或消息，并寻求合格的事件响应帮助。别再运行网上找来的“清理命令”，它们可能毁掉证据或加深入侵。

杀毒软件能阻止剪贴板劫持吗？

安全软件能检测许多已知恶意程序和可疑行为，但没有单一产品能保证阻止。新型恶意软件、被滥用的合法工具、高风险权限或用户授权执行的命令，都可能避开简单的特征检测。

采用分层控制：可信的软件来源、受限的权限、应用和扩展审查、及时的补丁、交易核验和账号防护。关于杀毒软件能与不能阻止什么的文章说明了更广泛的边界。

总结

剪贴板劫持指未经授权的收集或替换，而不是所有复制粘贴失误。
钱包地址、密码、恢复材料、付款资料和命令最需要严格检查。
在批准环节并通过独立的收款方渠道核实最终目的地址。
清空剪贴板不能撤回可能已被复制的机密。
如果执行了未知内容或已转出资金，应采取超出普通剪贴板排查的升级措施。

常见问题

网站能自动读取剪贴板吗？

浏览器和操作系统会限制剪贴板访问，但行为因平台、权限、用户操作和应用环境而异。不要以为网页读取被拦截，就能阻止设备上已安装的恶意软件访问复制的数据。

复制密码一定不安全吗？

不一定，但会增加被能观察剪贴板的应用看到和误粘贴的风险。优先用可信密码管理器直接自动填充，保持设备受控；认为不可信进程看到了密码就修改它。

清空剪贴板历史能解决问题吗？

它能删除本地保留的记录，但无法撤回已被读取或发送的数据。长期有效的机密可能暴露时，请通过官方服务轮换或更换。

为什么钱包地址粘贴后会变化？

可能是复制源选错、应用格式处理、剪贴板里的旧内容或恶意地址替换。先停止交易，在中立的可信输入框比对来源和目的地址，再调查软件和账号暴露。

手机也会遭遇剪贴板劫持吗？

会。手机剪贴板里可能有密码、验证码、付款信息和地址。不同平台版本的通知和访问控制不同，所以要保持设备更新并检查权限，而不是依赖某一个通用指标。

是否应该立刻恢复出厂设置？

不应作为第一反应。先保存证据，从可信设备保护账号，并确认是否运行过未知命令或存在已确认的恶意软件。在专家或厂商指导下重置可能是合适的，但它无法撤回被盗的机密或付款。

VPN 能保护剪贴板吗？

不能。VPN 只在其范围内保护网络流量；它不能控制哪些本地应用读取剪贴板，不能核实付款目的地，也不能阻止你运行复制来的命令。

应怎样举报剪贴板恶意软件？

向相关平台或安全厂商举报该文件、应用、扩展或网页。如果已转出资金，请通知金融服务商和你所在地的反诈举报机构，并保存交易详情。

免责声明：本文提供一般网络安全信息，不构成事件响应、金融、加密货币或法律建议；追回途径因服务和司法辖区而异。

来源:

MITRE ATT&CK — T1115: Clipboard Data — https://attack.mitre.org/techniques/T1115/
Microsoft Security Blog — Protecting Android clipboard content from unintended exposure — https://www.microsoft.com/en-us/security/blog/2023/03/06/protecting-android-clipboard-content-from-unintended-exposure/
Microsoft Security Blog — In hot pursuit of cryware — https://www.microsoft.com/en-us/security/blog/2022/05/17/in-hot-pursuit-of-cryware-defending-hot-wallets-from-attacks/

Sources checked 2026 年 10 月 4 日。

延伸阅读：

剪贴板劫持是什么？恶意软件如何替换加密货币钱包地址