（來源：麻省理工科技評論）

在柬埔寨一處洗錢中心里，一名員工打開手機(jī)上一款流行的越南銀行 App。App 要求他上傳一張與賬戶關(guān)聯(lián)的照片，他點開了一張 30 多歲亞洲男性的照片。

接下來，App 要求開啟攝像頭進(jìn)行視頻“活體檢測”。這名詐騙者舉起一張女性的靜態(tài)照片——和賬戶持有人那名男性長得毫無相似之處。等了 90 秒，App 提示他調(diào)整面部位置以適配畫框——然后成功通過了驗證。

一位叫 Hieu Minh Ngo 的網(wǎng)絡(luò)詐騙研究員分享給我一段視頻，展示了上述破解過程。這種攻擊之所以能成功，依靠的是 Telegram 上越來越多的非法黑客服務(wù)中的一種——這些服務(wù)公開出售，專門用來破解銀行和加密貨幣平臺的“了解你的客戶”（Know your customer，KYC）人臉驗證。

KYC 人臉驗證本該確認(rèn)賬戶屬于一個真實的人，并且當(dāng)前用戶的面部與開戶時提供的身份證件相匹配。但詐騙者正在繞過這些驗證來開設(shè)“騾子賬戶”（mule account，金融犯罪領(lǐng)域的專業(yè)術(shù)語，即用他人身份開設(shè)的、專門用于轉(zhuǎn)移贓款的銀行賬戶）進(jìn)行洗錢。他們通常不讓手機(jī)的真實攝像頭進(jìn)行活體檢測，而是使用一種叫虛擬攝像頭的工具，用其他視頻或照片替換實時畫面——這些畫面可以是真人、深度偽造人臉（Deepfake），甚至一個物品。

金融機(jī)構(gòu)不斷出臺更強(qiáng)的安全措施來攔截網(wǎng)絡(luò)詐騙，而這些繞過方法則是犯罪分子與金融服務(wù)行業(yè)之間貓鼠游戲的最新一輪交鋒。

今年早些時候，《麻省理工科技評論》用兩個月時間進(jìn)行了一項調(diào)查，共找到 22 個中文、越文和英文的公開 Telegram 頻道和群組，它們在推銷 KYC 繞過工具包和被盜的生物特征數(shù)據(jù)。這些軟件工具包用各種方法入侵手機(jī)操作系統(tǒng)和銀行應(yīng)用，聲稱能幫用戶繞過從 Binance 等主流加密貨幣交易所到西班牙 BBVA 等知名銀行的合規(guī)檢查。

“專業(yè)銀行服務(wù)——處理黑錢，”那名柬埔寨洗錢者使用的程序 Telegram 簡介里這樣寫道，還配了一個豎大拇指的表情，“安全。專業(yè)。高品質(zhì)。”這條簡介后來被刪除。一些頻道和群組擁有數(shù)千名訂閱者或成員，許多頻道用項目符號列出自己的服務(wù)（“各種 KYC 驗證服務(wù)”；“全程絲滑”），還配上聲稱展示了成功攻擊的視頻。

Telegram 表示，在審查這些賬號后，已因違反服務(wù)條款將其刪除。但這類線上市場很容易增生，目前仍有多個推銷類似工具的頻道和群組在活躍運營。

KYC 繞過手段的興起，與全球“殺豬盤”網(wǎng)絡(luò)詐騙產(chǎn)業(yè)的擴(kuò)張同步發(fā)生。世界各地的加密貨幣平臺和銀行因非法資金流經(jīng)自身平臺而面臨越來越嚴(yán)格的審查，這些非法資金包括殺豬盤詐騙的獲利。這促使越南和泰國等國收緊了銀行監(jiān)管——政府強(qiáng)化了客戶驗證和欺詐監(jiān)控要求，并推動加密貨幣行業(yè)建立更強(qiáng)的反洗錢保障機(jī)制。

美國區(qū)塊鏈分析公司 Chainalysis 估計，2025 年加密貨幣詐騙和欺詐造成的損失約為 170 億美元，高于 2024 年的 130 億美元。聯(lián)合國毒品和犯罪問題辦公室在近期一份報告中警告說，亞洲詐騙集團(tuán)向非洲和太平洋地區(qū)的擴(kuò)張，已幫助這一產(chǎn)業(yè)“大幅提高了利潤規(guī)模”。

更嚴(yán)格的監(jiān)管加上更多的收入——這兩個因素疊加，把 KYC 繞過工具推到了網(wǎng)絡(luò)詐騙和賭場洗錢線上市場的核心位置。網(wǎng)絡(luò)安全研究人員表示，此類攻擊正在上升，盡管各家估算有出入：生物特征驗證公司 iProov 估計 2024 年全球范圍內(nèi)虛擬攝像頭攻擊的頻率是 2023 年的 25 倍以上；KYC 服務(wù)商 Sumsub 則報告稱，其客戶中“復(fù)雜的”或多步驟的欺詐嘗試（包括虛擬攝像頭繞過）去年幾乎增長了兩倍。

在這些 Telegram 頻道上被點名為攻擊目標(biāo)的三家金融機(jī)構(gòu)——全球最大的加密貨幣交易所 Binance（幣安）、BBVA 和英國的 Revolut——均表示知道此類繞過手段的存在，并強(qiáng)調(diào)這是全行業(yè)面臨的挑戰(zhàn)。Binance 的發(fā)言人表示公司“觀察到了此類試圖繞過我們管控的行為”，并補充說“我們已經(jīng)成功阻止了此類攻擊，對我們的系統(tǒng)充滿信心”。BBVA 和 Revolut 也拒絕就其安全防線是否被突破發(fā)表評論。

成功率很難估計，因為企業(yè)可能直到事后才發(fā)現(xiàn)被繞過、才報告這些情況。“重要的是我們看不到的那些，”Sumsub 的反欺詐產(chǎn)品負(fù)責(zé)人阿爾喬姆·波波夫（Artem Popov）對我說，他指的是那些未被發(fā)現(xiàn)的攻擊。“這個故事里總有一部分可能完全隱藏在我們的視野之外，也隱藏在行業(yè)里任何一家公司的視野之外，不管他們用的是什么 KYC 供應(yīng)商。”

這些工具的廣告看上去夠簡單，但在后端，構(gòu)建一次成功的繞過是復(fù)雜的，往往需要組合多種手段。一些頻道提供對實體手機(jī)進(jìn)行“越獄”的服務(wù)，讓詐騙者隨時可以觸發(fā)虛擬攝像頭取代手機(jī)內(nèi)置攝像頭。另一些則通過向金融機(jī)構(gòu)的 App 注入一種叫“Hook 框架”的代碼來觸發(fā)虛擬攝像頭。無論用哪種方式，虛擬攝像頭都能用圖片或視頻替換賬戶持有人的真實實時畫面，從而騙過 KYC 驗證。

網(wǎng)絡(luò)安全公司 Talsec 的 CEO 謝爾希·亞基姆丘克（Sergiy Yakymchuk）主要服務(wù)于金融機(jī)構(gòu)。他審查了《麻省理工科技評論》找到的這些 Telegram 頻道的詳細(xì)信息后表示，它們與他的銀行和加密貨幣客戶實際遭遇的攻擊手法一致。過去一年，他的團(tuán)隊收到了大約 30 起基于虛擬攝像頭的入侵求助，而 2023 年還不到 10 起。

亞基姆丘克說，黑客越來越多地同時入侵手機(jī)本身和金融機(jī)構(gòu) App 的代碼，然后向虛擬攝像頭輸入被盜的生物特征數(shù)據(jù)和深偽畫面的混合素材。

“前一陣子，只要把銀行 App 反編譯一下發(fā)到 Telegram 上就夠了，那就是你需要的全部，”他說，“現(xiàn)在不夠了，因為有了 KYC——需要的東西越來越多。”

對洗錢者來說，KYC 繞過工具“現(xiàn)在已經(jīng)成了做一切事情的必需品，因為詐騙園區(qū)需要轉(zhuǎn)移資金。”分享了那段演示視頻的研究員 Ngo 說。Ngo 曾是一名被定罪的黑客，后來成為越南政府的網(wǎng)絡(luò)安全顧問，現(xiàn)在運營一家反詐非營利組織，并協(xié)助執(zhí)法部門調(diào)查洗錢案件。

他描述了殺豬盤詐騙的洗錢流程：來自受害者的資金先進(jìn)入洗錢網(wǎng)絡(luò)控制或租用的銀行賬戶，這些網(wǎng)絡(luò)被俗稱為“水房”。洗錢者利用 KYC 繞過工具進(jìn)入賬戶，迅速把贓款分散轉(zhuǎn)移，再將其兌換成數(shù)字資產(chǎn)，通常是與美元掛鉤的穩(wěn)定幣 Tether。

這些交易往往在幾秒鐘內(nèi)完成，整個過程管理嚴(yán)密。“他們非常清楚銀行驗證或認(rèn)證賬戶的完整流程，”Ngo 說。

網(wǎng)絡(luò)詐騙洗錢的增長導(dǎo)致金融機(jī)構(gòu)面臨更嚴(yán)格的審視。2023 年，Binance 在美國聯(lián)邦法院認(rèn)罪，承認(rèn)在缺乏反洗錢保障措施的情況下運營。去年 10 月，特朗普赦免了 Binance 前 CEO 趙長鵬（Changpeng Zhao）。

國際調(diào)查記者聯(lián)盟（ICIJ）最近的分析發(fā)現(xiàn)，在趙長鵬認(rèn)罪之后，仍有超過 4 億美元的資金從 Huione Group 流向 Binance。Huione Group 是一家柬埔寨公司，因被美國財政部認(rèn)定為殺豬盤洗錢的“關(guān)鍵節(jié)點”而遭到美國制裁。

Binance 表示自己擁有“最先進(jìn)的安全系統(tǒng)”，已阻止了數(shù)十億美元的欺詐損失，2025 年共處理了超過 7.1 萬條執(zhí)法請求。

但德州大學(xué)奧斯汀分校的金融和區(qū)塊鏈專家約翰·格里芬（John Griffin）并不認(rèn)為這些交易所足夠安全。“盡管他們鋪天蓋地地宣傳‘是的，我們改了這個改了那個’——好吧，是騾子是馬拉出來遛遛。犯罪分子還在用你的交易所，”格里芬談到整個行業(yè)時對我說，“所以一定有漏洞。”

Binance 還指出，一些聲稱能繞過驗證的服務(wù)本身就是騙局，這讓人懷疑成功繞過的案例是否真如 Telegram 市場所暗示的那樣普遍。一位發(fā)言人說，與這類服務(wù)打交道“會使個人面臨重大安全風(fēng)險”，“即使看起來獲得了賬戶訪問權(quán)限，這些賬戶通常也已經(jīng)被內(nèi)部檢測和合規(guī)管控所限制，無法用于交易或提款。”

各國監(jiān)管機(jī)構(gòu)正試圖追趕犯罪的步伐。在泰國，公民銀行賬戶經(jīng)常被充當(dāng)緬甸和柬埔寨網(wǎng)絡(luò)詐騙的洗錢“騾子”。新出臺的法規(guī)加強(qiáng)了 KYC 監(jiān)控，限制了每日交易額度，并強(qiáng)化了監(jiān)管機(jī)構(gòu)暫停賬戶的權(quán)限。美國反洗錢監(jiān)管機(jī)構(gòu)金融犯罪執(zhí)法網(wǎng)絡(luò)（FinCEN）在 2024 年底發(fā)布警告，提醒警惕 KYC 深偽和虛擬攝像頭的使用，并鼓勵平臺追蹤更廣泛的交易模式來識別洗錢行為。

對詐騙者來說，任何新的安全或報告要求都會讓繞過變得更難，但“很難擋住他們的發(fā)展，”Ngo 說，“只是時間問題。”

https://www.technologyreview.com/2026/04/15/1135898/cyberscammers-bypassing-bank-telegram/