2022 年起 · Google Ads 成为加密钓鱼主战场
过去几年加密钓鱼的入口在缓慢迁移。2020 年的主流是钓鱼邮件，2022 年起开始大规模转向 Google Ads。原因很现实：Google Ads 的广告位竞价机制对「ledger / metamask / trezor / trust wallet」等品牌关键词审核薄弱，攻击者注册壳公司投几小时广告被下架、再用新公司投新广告 —— 反复循环。
2024 年 10 月 21 日上午 · 阿姆斯特丹
退休医生 Pieter 想给他的 Ledger Nano X 升级 Ledger Live 软件。他在 Google 搜「ledger live download」，第一条带 Ad 标记，链接 display URL 显示 ledger.com，他点进去。URL 跳到 ledger-live-app[.]com —— 这是 Google Ads 的合法功能 display URL vs landing URL 被攻击者滥用：广告卡片上显示 ledger.com，实际跳转任意域名。
10:42 · 下载安装
页面排版跟官网几乎一致，下载按钮指向一个 Ledger Live 的 .dmg 文件（Mac 安装包）。Pieter 不熟悉 Mac 的 codesign 检查，没核对签名证书就装上了。.dmg 文件签名实际是一个攻击者注册的开发者证书（苹果对 individual developer 注册门槛低），系统提示「来自已识别开发者」让他更放心。
10:51 · 软件要求输入 24 词
软件启动后弹出提示：「为了升级安全连接到您的硬件钱包，请输入 24 字恢复短语进行账户匹配」。Pieter 输了。真 Ledger Live 永远不会要求输入 24 词 —— 这是硬件钱包行业的基本承诺，但 Pieter 不知道这条。
11:12 · 资产全部清空
20 分钟后他的硬件钱包里 8.7 BTC + 11 ETH + 12 万 USDC 全部清空 —— 那是他退休资金的大头。
报案要趁早 · 证据要留全
在这则设定里，Pieter 当天就报了警，保存了钓鱼站截图、下载文件和转账哈希。被盗后越早报案、证据越完整，交易所和执法机构冻结资金的机会越大；但能不能追回、追回多少，没有任何保证。
下次怎么做
第一步：浏览器书签栏存好官方 URL。ledger.com、metamask.io、trezor.io 直接收藏，每次升级软件点书签进入，不要走搜引擎。
第二步：搜索时用 site: 限定。搜「site:ledger.com ledger live」，结果只显示 ledger.com 域名下的真实页面。
第三步：装软件前核对签名。Mac 上可以用 codesign -dvv 查看应用的签名信息，Windows 在文件属性 → 数字签名里看；签名实体不是品牌官方的，直接不装。
5 条信号 · 一秒淘汰
- Google 搜钱包品牌名第一条带 Ad 标记 —— 直接跳过看第二屏
- 下载页 URL 不是品牌官方域名 —— ledger.com / metamask.io / trezor.io
- 软件启动要求输入 24 词 / 12 词 —— 真硬件钱包软件绝不要求
- 软件签名证书不是品牌官方实体 —— Mac 用 codesign、Windows 看签名属性
- Ledger / MetaMask / Trezor 等关键词搜出来带 Ad 的结果 —— 当成钓鱼默认值
已经输了 24 词
视同泄露。按《私钥泄露应急 · 五步抢救流程》全套五步：用全新硬件钱包初始化新地址、按优先级转走资产、撤销所有授权、清理设备、关联账户审计。同时举报钓鱼站到 Google Safe Browsing 和 [email protected]。
设定里的 Pieter 三年里没碰过 dApp、没签过授权、没连过 DEX，被钓的唯一动作是『升级 Ledger Live 软件』。硬件钱包挡不住你自己亲手输出去的助记词。