剪貼簿劫持是未經授權讀取、監察或替換你複製貼上的內容。MITRE ATT&CK 把它列為 T1115「剪貼簿資料」（Clipboard Data）技術，損失最大的形式是加密貨幣地址替換惡意軟件：它等你複製錢包地址，在貼上前換成攻擊者的地址。同一個惡意軟件亦可能從剪貼簿竊取密碼或復原碼。

關鍵要點

剪貼簿出錯不一定是劫持；要確認複製與貼上的值確實出現意外差異。

長的付款地址不能只看一眼：要核對開頭、中段、結尾、網絡和收款人。

把密碼、復原短語、付款資料和管理命令視為高風險剪貼簿內容。

復原措施取決於資料只是被複製、在使用前被替換，還是已提交、付款或執行。

剪貼簿防護應納入較全面的網絡安全習慣，但不能取代裝置更新、應用程式控制、MFA、交易核實或惡意軟件掃描。

剪貼簿劫持怎樣發生？

剪貼簿是系統和應用程式使用的臨時交換區，複製的文字、圖片或檔案參照存放在那裏，供另一個欄位或應用程式取用。

劫持者不必改動所有複製內容，它可以監察可辨認的模式，例如長錢包地址、付款識別碼、密碼管理工具的輸出、復原碼或命令；一旦配對，就讀取、替換該值或把資料傳給攻擊者。

這與網站要你手動貼上文字不同。欺詐頁面可能要你複製並執行命令，有時作為假更新或驗證流程的一部分；那是借助剪貼簿的社交工程，自動讀取或替換才是剪貼簿劫持。兩者都危險，但證據和應對不同。

MITRE ATT&CK T1115 怎樣描述剪貼簿資料？

MITRE ATT&CK 把 Clipboard Data（T1115）歸入「收集」（Collection）戰術，適用於 Windows、macOS 和 Linux。它指出攻擊者可能先監察、再替換剪貼簿內容，並記錄了 Metamorfo、Mispadu 等把複製的加密貨幣錢包地址換成攻擊者地址的惡意軟件家族。MITRE 亦說明，這項技術濫用的是正常系統功能，難以靠預防性控制攔截，因此其指引着重於發現異常讀取剪貼簿的程序。［1］

對你來說，這代表沒有哪一個設定能單獨堵住缺口。在批准時核對目標地址、排查疑似監察剪貼簿的軟件，比任何單一開關更重要。

剪貼簿資料外洩可能暴露或改變甚麼？

風險取決於複製的值，以及你之後用它做甚麼。

剪貼簿內容	可能的濫用	使用前的核實
加密貨幣地址	把目的地換成攻擊者的地址	核對多組字元，並向收款人確認網絡
密碼或一次性驗證碼	用來登入或完成帳戶接管	優先用密碼管理工具直接填入，切勿把驗證碼交給別人
復原短語或私鑰	控制錢包或受保護的帳戶	不要把長期有效的復原機密放上通用剪貼簿
銀行或付款資料	改變轉帳去向，或暴露卡號、帳戶資料	經已知的發票、聯絡人或官方帳戶確認
電郵地址或帳戶 ID	改變訊息、邀請或付款要求的去向	提交前讀完整個貼上的識別碼
命令或腳本	以你的用戶或管理員權限執行軟件	不要執行意外頁面、彈出視窗或陌生人提供的命令

Microsoft 描述過 Android 剪貼簿暴露問題，以及惡意軟件竊取或修改複製內容（包括替換錢包地址）的可能。［2］其對加密貨幣竊取軟件（cryware）的研究亦記錄了「剪下並替換」手法，即在交易提交前替換已複製的地址。［3］

哪些跡象支持劫持判斷？

最有力的跡象是可重複的不一致：複製一個值，貼到普通的可信欄位，卻在沒有刻意轉換下得到另一個值。單次不一致仍可能來自自動校正、格式處理、應用程式範本、揀錯內容或剪貼簿裏的舊內容。

以下訊號同時出現時更值得警惕：

付款地址在複製後即時改變；
貼上的文字屬於陌生收款人；
剪貼簿在你沒有操作下被清空或改變；
新應用程式反覆要求無障礙、自動化、浮動視窗或與剪貼簿相關的權限；
保安軟件報告不需要的程式；
瀏覽器轉到要你把命令貼進終端機或系統對話框的頁面；
下載後出現意外的程序、擴充功能或開機項目。

別在真實付款表格裏實驗。需要比對時，用不含機密的普通本機文字欄位，比對後不儲存即關閉。排查期間避免反覆複製真實的密碼、密鑰或金融資料。

怎樣核對付款地址，防止剪貼簿地址替換？

只核對前後四個字元聊勝於無，但不是完整控制。攻擊者能準備外觀相似的地址，人對長字串的注意力也有限。

採用分層檢查：

確認正確的付款網絡和資產。
從可信途徑取得目的地址，而不是從帶有催逼的訊息取得。
核對多組分開的字元，包括中段的一截。
如應用程式支援地址簿或已驗證收款人，確認其儲存的身份。
對新的或大額的收款人，獨立向對方個人或機構確認地址。
批准前，在簽署裝置或硬件錢包上再次查看最終目的地址。
適當時先作小額測試轉帳，同時明白手續費和不可撤回的轉帳仍然存在。

最終批准時顯示的目的地址，比你記得複製的值更重要；不一致就停下。剪貼簿未必是唯一原因，原本的訊息、網頁、帳戶或收款人紀錄也可能被篡改。

怎樣減低剪貼簿資料外洩風險？

盡量使用直接且範圍受限的機制：密碼管理工具自動填入可避免密碼進入通用剪貼簿；硬件錢包能在獨立可信螢幕顯示最終地址；平台分享選單或已驗證收款人清單能減少手動複製，但仍需檢查。

保持系統、瀏覽器、擴充功能和保安工具為最新版本。只從可核實的來源安裝軟件，移除不再信任的應用程式或瀏覽器擴充功能。檢查無障礙、自動化、浮動視窗、鍵盤和裝置管理權限，它們能暴露的遠不止剪貼簿。

自動清除能縮短機密停留時間，但不是保證：即時監察剪貼簿的惡意軟件可能在清除前已讀到該值。較安全的是一開始就不複製長期有效的機密。

懷疑有剪貼簿惡意軟件時怎樣處理？

按已完成的最高操作級別應對。

只複製了機密，沒有貼上或提交

假設有剪貼簿存取權的軟件可能已看到它。在可信裝置上更換已複製的密碼或復原碼；錢包復原短語或私鑰請按錢包供應商的遷移程序處理，單清空剪貼簿無法令已暴露的機密恢復私密。

地址變了，但尚未付款

在不再複製機密的前提下，保留原本值和被替換值。讓受影響裝置退出敏感流程，用最新保安軟件掃描，檢查最近安裝的程式和擴充功能，緊急帳戶更改改用另一部可信裝置。甚麼是惡意軟件的一般指南解釋了為何刪除一個可疑檔案並不證明裝置已乾淨。

已提交憑證或付款資料

在可信裝置上更改受影響的密碼、撤銷工作階段、啟用 MFA，並經官方途徑聯絡金融服務商；服務商建議時更換已暴露的卡或銀行資料，並留意借此事件行騙的後續釣魚。

資金已轉到被替換的地址

停止後續交易，立即聯絡交易所、銀行、錢包服務或支付服務商，提供交易編號和已核實的目的地址。部分系統或支援凍結或召回，但不可撤回的結算可能令追回無望。不要付錢給保證能追回的陌生人，那可能變成退款追討騙局。

已貼上並執行不明命令

這應視為可能的程式碼執行，不只是剪貼簿問題。讓裝置脫離敏感帳戶，保存提供該指示的頁面或訊息，並尋求合資格的事故應變協助。別再執行網上找來的「清理命令」，它們可能毀掉證據或加深入侵。

防毒軟件能阻止剪貼簿劫持嗎？

保安軟件能偵測許多已知惡意程式和可疑行為，但無單一產品能保證阻止。新型惡意軟件、被濫用的合法工具、高風險權限或用戶自行授權執行的命令，都可能避過簡單的特徵偵測。

採用多層控制：可信的軟件來源、受限的權限、應用程式和擴充功能審查、及時修補、交易核實和帳戶保護。防毒軟件能與不能阻止甚麼一文說明了更廣泛的界線。

總結

剪貼簿劫持指未經授權的收集或替換，而非所有複製貼上失誤。
錢包地址、密碼、復原資料、付款資料和命令最需要嚴格檢查。
在批准環節並經獨立的收款人途徑核實最終目的地址。
清空剪貼簿不能收回可能已被複製的機密。
如執行了不明內容或已轉出資金，應採取超出一般剪貼簿排查的升級措施。

常見問題

網站能自動讀取剪貼簿嗎？

瀏覽器和作業系統會限制剪貼簿存取，但行為視乎平台、權限、用戶操作和應用程式情境。不要以為網頁存取被攔截，就能阻止裝置上已安裝的惡意軟件讀取複製內容。

複製密碼一定不安全嗎？

不一定，但會增加被觀察剪貼簿的應用程式看到和誤貼的風險。優先用可信密碼管理工具直接填入，保持裝置受控；認為不可信程序看到了密碼就更改。

清空剪貼簿紀錄能解決問題嗎？

它能刪除本機保留的紀錄，但無法收回已被讀取或傳送的資料。長期有效的機密可能已暴露時，請經官方服務輪換或更換。

為何錢包地址貼上後會改變？

可能是複製來源揀錯、應用程式格式處理、剪貼簿內的舊內容或惡意地址替換。先停止交易，在中立的可信欄位比對來源和目的地址，再調查軟件和帳戶暴露。

手機也會遇到剪貼簿劫持嗎？

會。手機剪貼簿可能有密碼、驗證碼、付款資料和地址。不同平台版本的通知和存取控制不同，所以要保持裝置更新並檢查權限，而不是倚賴單一通用指標。

是否應立即還原原廠設定？

不應作為第一反應。先保存證據，從可信裝置保護帳戶，並確認有否執行過不明命令或存在已確認的惡意軟件。在專家或廠商指導下重設或許合適，但它無法收回被盜的機密或付款。

VPN 能保護剪貼簿嗎？

不能。VPN 只在其範圍內保護網絡流量，不能控制哪些本機應用程式讀取剪貼簿、核實付款目的地，或阻止你執行複製來的命令。

應怎樣舉報剪貼簿惡意軟件？

向相關平台或保安軟件供應商舉報該檔案、應用程式、擴充功能或網頁。如已轉出資金，請通知金融服務商和你所在地的詐騙舉報渠道，並保存交易詳情。

免責聲明：本文提供一般網絡安全資訊，不構成事故應變、金融、加密貨幣或法律建議；追回途徑因服務和司法管轄區而異。

來源:

MITRE ATT&CK — T1115: Clipboard Data — https://attack.mitre.org/techniques/T1115/
Microsoft Security Blog — Protecting Android clipboard content from unintended exposure — https://www.microsoft.com/en-us/security/blog/2023/03/06/protecting-android-clipboard-content-from-unintended-exposure/
Microsoft Security Blog — In hot pursuit of cryware — https://www.microsoft.com/en-us/security/blog/2022/05/17/in-hot-pursuit-of-cryware-defending-hot-wallets-from-attacks/

Sources checked 2026 年 10 月 4 日。

延伸閱讀：

剪貼簿劫持是甚麼？惡意軟件如何替換加密貨幣錢包地址