11月5号，链上数据公司 Bitquery 出了一份调查。10月5号到11月4号，一个月里，365个 TRON 钱包里的 USDT 被掏空，数出来的下限是406万美元。丢钱的全是个人钱包，交易所没出事，协议也没出漏洞。
钱走的路子很固定。Bitquery 数出43个收款地址，都连着同一个付费钱包。TRON 上转 USDT 要花 TRX 当手续费，骗子就先给受害钱包打几枚 TRX，几秒钟后，钱包里的 USDT 整笔被转走，剩下的 TRX 也跟着走。10月25号那天最凶，一天就占了总数的大约31%。其中一笔写得很清楚，一个钱包先收到18枚 TRX，18秒后，519,093 USDT 整笔进了收款地址。至于钥匙怎么到骗子手里的，报告里没写，安全公司怀疑是 DarkSword 这类 iOS 工具翻手机里的助记词，但链上数据证明不了这一步。
这365个钱包里，276个丢了 USDT，89个只丢了 TRX。中位数损失是1029美元，看着不大，但有8个钱包各丢了10万美元以上，这8个就占了总额的63%。还有65个钱包在以太坊、BNB Chain、Solana 等8条链上又丢了10.3万美元以上。同一个钥匙串起来的地址，一个从2024年4月就开始用的地址，17分钟内在6条链上被清空。46%的受害钱包已经用了一年以上，丢钱的不是刚入场的新手。
43个收款地址加一个共用付费钱包，这套组合看着像一条小流水线。收款地址都是短命的，收一波就换，付费钱包一直在线，负责给每个目标先垫手续费。Bitquery 也留了个口子，共用一个付费钱包能证明这些地址之间有资金往来，但证明不了一个操盘手还是好几个买家共用一套工具。钱数是实的，归属还没定论。对散户来说，这段的用处就一个，收款地址都是短命的，等你看到它的时候钱早换地方了，能认的只有先打 TRX 再整笔转走这个固定套路。
有一点得说清楚，链上只能看到钱怎么走，看不到受害者用的什么手机。Bitquery 只把其中一笔跟公开报道的一起 iPhone 被盗案按金额和时间对上了，剩下的钱包用的是什么设备、什么钱包 App，链上证明不了。Trust Wallet 本身也没有被发现漏洞，网上说它丢了110万美元的帖子连地址都没给，算不上证据。
上面说没定论，指的是这 365 个钱包的元凶。工具本身是真实存在的，11月6号当天，CertiK 和 SlowMist 都提醒，新版 DarkSword 还在针对没打补丁的 iPhone。苹果的修复已经放在 iOS 18.7.7 和 iOS 26.3 里，没升级的机器还露着。SEAL 11月4号的报告里，10月28号到11月3号又收到6起 iOS 钱包被盗报告，损失约12.7万美元。PublicAML 接着跟下来，11月5号到7号，又有21个地址至少73.4万美元被同一个付费钱包网络转走。这套路子到现在还在跑。
散户能做的事就三件。iPhone 现在就去升到 18.7.7 或 26.3，别拖到下次想起来。助记词别放照片、备忘录和 iCloud，纸或钢板离线存着，手机丢了、系统被翻了都够不着。钱包里突然多出几枚来路不明的 TRX，先当警报，别当红包，第一时间把剩下的钱挪到新种子、新钱包。Bitquery 在报告里写得很直白，种子词一旦泄露，改密码、取消授权都没用，必须换新助记词、挪到新钱包。
我的看法就一句，钱包被掏这件事上，手机系统和助记词放哪，比你用什么钱包更重要。
你现在就打开手机看一眼，助记词是不是还躺在相册或备忘录里？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，数据来源 Bitquery、SEAL、PublicAML 与公开报道，金额为发稿时口径，请自行判断风险。