据区块链安全公司SlowMist报告，一种针对macOS的新型信息窃取恶意软件能够劫持Telegram Desktop会话，并威胁多种加密货币钱包的安全。该恶意软件通过窃取macOS钥匙串、Safari浏览器Cookies、Apple Notes、Telegram Desktop以及超过十余种加密货币钱包的数据库来实施攻击。
在获取密码和已认证的会话后，恶意软件会复制用户的Telegram Desktop认证会话数据、钱包数据库以及浏览器钱包扩展数据。SlowMist表示，攻击者随后可尝试利用从受感染设备窃取的密码离线破解被盗的钱包数据库，或用伪造的Ledger和Trezor应用程序替换正版应用，诱骗用户输入恢复短语。
SlowMist在隔离环境中复现了该攻击链。据其分析，恶意软件采用多种技术组合成协调的攻击链，攻击者可通过不同途径入侵加密货币账户和钱包。目标包括Exodus、Atomic、Electrum、Wasabi和Monero等软件钱包，以及Ledger Live和Trezor Suite等硬件钱包应用。此外，恶意软件还会搜索Bitcoin Core、Litecoin Core、Dash Core和Dogecoin Core等全节点客户端存储的钱包数据。
值得注意的是，Telegram的两步验证无法阻止该攻击，因为恶意软件直接复用本地已认证的会话而非发起新登录。在测试中，研究人员将窃取的Telegram Desktop会话数据转移到另一台Mac上，无需输入手机号、验证码或两步验证密码即可登录。
SlowMist敦促怀疑设备已遭攻破的用户立即终止现有Telegram会话，建立新的可信登录，并更改Telegram两步验证密码和Telegram Desktop密码。同时建议在干净设备上生成新的恢复短语，并将所有资产转移至新地址。