Nano Labs 创始人兼董事长 Jack Kong（孔剑平，下文简称 Jack 孔）在 2026 年秋天遭遇了一场看似“传统”、实则极不传统的网络袭击：他的 X 账号被钓鱼攻破，又在短时间内夺回控制权。攻击的起点并不隐蔽——一封普通的账号验证类邮件，发往他对外公开的常用邮箱；真正危险的是邮件里的那条链接，被他使用的 AI 助手分析后，给出了“可信、近似官方验证页面”的判断。在这道错误的“背书”之下，Jack 孔点击进入伪装成 X 验证页的钓鱼网站，将 X 平台发送至其绑定邮箱的真实验证码输入其中，等于亲手把接管账号所需的关键凭证交到了攻击者手里。随后，攻击者成功登录并短暂掌控了这位美国上市、与 BNB 生态相关的加密财库公司创始人的社交话语权，用该账号发布与 Nano Labs 业务无关的虚假项目或诈骗推广内容，对习惯将创始人账号视作“官方信号源”的圈内用户构成了高风险误导。截至 2026-09-28，Jack 孔已确认 X 账号重新掌控在手，多家中文加密媒体如 PANews、深潮 TechFlow、BlockBeats、Foresight News 等也相继报道了这一进展；不过，目前尚无被权威核实的攻击持续时长、涉案金额或具体代币名称等量化细节，事件留下的最大阴影，反而是那条被成功欺骗的 AI 助手判断，以及它在整个攻击链条中暴露出的全新信任裂缝。
钓鱼邮件加AI疏忽：攻击链是如何串起来的
这一切从一封发往公开常用邮箱的系统通知类邮件开始。攻击者先获取到 Jack 孔对外使用的邮箱地址，把钓鱼内容包装成与 X 账号验证相关的流程更新或安全提醒，正文里只留下一条“去完成验证”的链接。点开之前，Jack 孔照惯例把邮件和链接丢给自己的 AI 助手做初筛——这是很多高频暴露在公开视野的创始人级账号日常的“安全垫”。但这一次，AI 被提前部署好的伪装骗过了：恶意链接指向的页面在界面布局、图标配色、文案语气上，都刻意贴近 X 官方或可信第三方的验证页面，AI 在浅层比对后给出了“可信”“类似官方验证流程”的判断。
在这个错误“背书”之上，人类的那一道警觉防线明显软了下来。Jack 孔点击进入伪装页面后，界面要求他完成一项看似标准的安全验证：X 平台会向其绑定邮箱发送验证码，他只需将这串数字填入页面即可完成确认。到这里为止，X 的真实安全流程仍在正常运转——验证码确实从官方系统发往了正确的绑定邮箱，按设计它应该只出现在用户与官方之间的通道里。然而，在 AI 的安全判定加持下，Jack 孔把这串本应只输入到 X 官方端的真实验证码，填进了攻击者精心伪装的“验证框”。这一动作等于把接管账号所需的关键凭证，主动交到了对方手里。随后，攻击者凭借验证码或相关登录凭证，顺利控制了 Jack 孔的 X 账号，并以创始人身份发布多条与 Nano Labs 业务无关的虚假项目或诈骗推广内容，而真正值得警惕的，是整条攻击链中“先骗 AI、再骗真人”的路径已经被完整跑通。
当安全顾问变成破门工具的那一刻
在这个故事里，被赋予“守门人”职责的，其实不是某位安全负责人，而是一款看似无所不知的 AI 助手。钓鱼邮件到达 Jack 孔的公开邮箱后，第一道审查不再是他本人，而是交给了模型：请它判断邮件是否可信、链接是否安全。人在这样的流程里，很自然会把 AI 当成一位“安全顾问”——既然已经“请教过专业人士”，就下意识放松了自己的警惕，把原本会反复推敲的可疑细节，当成可以忽略的噪音。
问题在于，被当成顾问的这位“专业人士”，根本不是为安全审计而生。通用 AI 模型的主要设计目标，是理解和生成文本，让回答看起来连贯、合理、像个“懂行的人”，而不是像专业反钓鱼系统那样，系统性识别欺骗模式、做风险隔离。在本次事件中，AI 助手不仅被要求给出“安全/不安全”的判断，还被错误地信任为对 X 官方流程有足够了解，结果将伪装成“账号验证”的恶意链接，判成了“官方验证”或可信页面。近年来，这类伪装成账号验证、KYC 流程的钓鱼页面，在社交平台攻击中屡见不鲜，而这一次，攻击者先成功骗过了 AI，再利用 AI 的错误“背书”改变了真人的决策：当 Jack 孔选择相信模型时，原本属于人类的最后一道安全核验环节已经名存实亡。对加密行业高管而言，当他们习惯用 AI 来处理纷繁复杂的信息流、过滤通知和链接时，安全责任也在不知不觉间被模糊甚至外包出去，直到有一天，这个被外包出去的“责任”反过来成为攻击者撬开大门的工具。
创始人账号被劫持：虚假项目如何收割信任
对很多人来说，Jack 孔的 X 账号本身就是一种“准官方公告”。在一家在美国上市、且与 BNB 相关的加密财库公司里，创始人兼董事长的个人账号，承担着对外沟通业务进展、合作动向、市场判断的功能。创始人级别的社交账号在加密行业本就具有较强的信任背书和市场影响力，长期关注 Nano Labs 的投资者、合作方甚至普通投机者，都会本能地把这个账号当成筛选信息的“第一入口”。也正因为如此，一旦头像和 ID 不变、语气看似正常，大部分人很难在第一时间意识到，发声的人已经换成了攻击者。
账号被控制期间，攻击者正是盯上了这份信任红利，借用 Jack 孔身份的信用背书，持续发布与 Nano Labs 实际业务无关的虚假项目或明显带有诈骗色彩的推广信息，引导用户去关注、转发甚至参与来历不明的项目。从信息形态上看，这些内容与常见的“创始人宣布新计划”“参与社区空投”活动并无二致，足以让习惯依赖大 V 账号获取机会的普通用户放松警惕。虽然目前尚无可靠公开信息显示，有具体用户因这些虚假信息产生确切资金损失，但在攻击持续的窗口期内，任何一个误把这些内容当成官方动作的人，都客观上暴露在高风险之下。
对 Nano Labs 来说，这次事件首先撕开的是自身信誉的边缘：当创始人账号曾经被用来推送与公司业务无关的项目信息，哪怕事后已经澄清并找回控制权，部分外部观察者也很难完全抹去那一瞬间的犹疑。合作方需要重新评估，与这样一家与 BNB 生态相关的财库公司开展合作时，是否需要在信息验证、公告确认上拉高门槛；而站在更大的 BNB 生态叙事角度，一个“生态公司创始人账号被用来带货诈骗项目”的案例，也可能被对手话语体系放大，用来质疑整个生态在安全治理和高管账户防护上的成熟度。只是截至目前，关于事件对 Nano Labs 股价、BNB 价格或其他资产具体表现的影响，并没有经证实的数据可以支撑将两者直接挂钩，这种冲击更多停留在信任折扣和风险认知层面，仍有待时间和后续治理实践来修复与检验。
给AI和账号同时上锁：高管的自保清单
如果把这次事件当成一次反向教材，加密公司高管的账号安全“最低配置”其实并不复杂。第一层是传统账号防护：给所有高价值社交账号和关联邮箱统一启用双重验证，优先使用硬件安全密钥，而不是更易被劫持的短信验证码；其次，把这些账号绑定的邮箱从日常公开邮箱中“拆出来”，单独使用一套只对内的地址，减少像本次这样公开邮箱被钓鱼后“一串账号全被牵连”的攻击面。再往下，安全专家反复强调的一条底线，是任何验证码、私钥、助记词等敏感信息，都不应该输入到来路不明的网页表单或第三方工具中，本次事件中真实验证码被输入伪装页面，恰好说明验证码本身并不是万能护身符，一旦输错地方，它就从防火墙变成了开门钥匙。
第二层，是给AI本身画出“安全红线”。在业界讨论中，一个共识正在形成：AI可以帮忙读邮件、翻译条款、辅助梳理流程，但凡牵涉验证码输入、登录确认、链上签名等关键动作，AI都不应该给出“看起来没问题”“可以继续操作”这类肯定性建议，更不能由AI代为决策是否执行。高管需要在团队层面明确：AI只负责提示风险和列出选项，人类自己负责最后一击。最后，再加上一道组织层面的保险——为创始人和核心高管的社交账号预先制定应急SOP：一旦发现被劫持，有谁在第一时间用哪些渠道发布“账号已被攻破”的公告，如何集中澄清异常内容、统一对外口径，把被盗期间发布的虚假项目或诈骗推广的二次伤害压缩在最短时间窗口内，从而把一次安全事故对公司与用户信任的长期折扣降到最低。
这不是偶发事故，而是AI安全拐点
如果说这次事件有什么真正让人后背发凉的地方，不在于Jack孔的X账号曾一度被控制、但截至2026-09-28已经恢复，也不在于目前尚无确凿证据显示出现了大规模资金损失，而在于攻击链条第一次清楚地写下了一行新注释：AI助手被正式纳入安全决策环节，并被攻击者顺利利用。攻击者没有直接说服创始人，而是先骗过AI，再由AI“转述”一个看似专业、理性的安全结论，借此获得输入验证码的那一刻信任。这意味着，在高度依赖创始人社交账号传递关键信息的加密行业里，AI正快速变成一种“被利用的信任中介”——它替团队筛邮件、看链接、给建议，却也在不经意间为钓鱼页面盖章背书。随着更多高价值目标把AI工具嵌入工作流，未来的攻击者几乎可以肯定会更系统性地围绕“人—AI”的信任边界设计剧本，既研究人怎么被说服，也研究AI在什么条件下会给出“安全”的错误判断。真正需要尽早升级的，不只是验证码、密钥或SOP，而是整个行业的威胁模型：在“AI提升效率”的同一刻，把“AI被攻陷后如何放大风险”一起写进安全设计，否则下一次类似的钓鱼剧本，很可能就不会只是一次被及时止损的预警案例，而会成为一场难以挽回的集体信任灾难。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。
