VOLTA恶意软件窃取钱包数据并利用AI评估变现价值
VOLTA恶意软件在联系AI模型之前，会先窃取钱包助记词、密码以及活跃会话。Claude是默认使用的模型；如果该模型拒绝服务，恶意软件可能会尝试使用Kimi或Gemini。即使AI模型拒绝处理，盗窃行为仍会继续：攻击者仍可通过Telegram接收被盗记录。
根据Cisco Talos研究员Ryan Fetterman于10月31日发布的报告，VOLTA恶意软件从Windows计算机中窃取数据，随后询问AI模型受害者的哪些资产能带来最高收益。该程序将加密钱包记录与电子邮件收据、浏览器会话和工作账户细节进行关联，从而帮助攻击者确定优先入侵的目标账户。
VOLTA如何将钱包数据与真实身份关联
这款针对Windows的信息窃取木马不仅搜索钱包助记词并尝试破解加密钱包库，其窃取范围还远超加密货币领域：它还收集浏览器密码、已保存的支付卡详情以及云服务凭据。
一份投递收据示例展示了这些记录如何拼接在一起。通过窃取的Gmail会话，VOLTA可以在订单确认邮件中找到地址，并将其与其他位置数据进行比对。Slack工作区可以揭示可能的雇主信息，而游戏账户则可能暴露具有转售价值的数字物品。
该软件在组装这些记录后，会请求AI进行评估。它要求模型对资产进行排名，并标记出诸如密码管理不当等弱点。需要注意的是，这种排名仅基于受感染计算机所泄露的信息，属于估算值，无法确定受害者的总财富，也无法证明攻击者是否已清空钱包。
为何AI拒绝不会阻止VOLTA继续窃取
通过OpenRouter接口，该软件首先向Anthropic的Claude Opus 4.6请求评估。如果该模型拒绝响应或提供的信息不足，VOLTA便会尝试Moonshot AI的Kimi K2和Google的Gemini 2.5 Flash。即使没有OpenRouter密钥，它仍可通过Telegram发送底层窃取的数据。
对于任何调查感染事件的专家而言，即使主可执行文件被删除，该程序仍可能留下证据。Talos指出，“volta_debug.txt”日志文件值得保留，因为它可以显示程序收集了哪些内容，以及AI请求是否成功。
如果助记词已被复制，更改钱包密码并不能保护资金安全。对于以明文形式存储在受感染计算机上的助记词，Talos建议将资产转移到拥有全新助记词的新钱包中。
