什麼是 token grabber？
簡而言之
Token grabber 是一種惡意程式，專門竊取 Discord token，也就是用來驗證您帳號身分的金鑰。有了這個 token，攻擊者不需要密碼就能控制您的帳號。
什麼是 Discord token？
Token 是一串秘密字串，向 Discord 證明 您就是您本人。您的應用程式會把它儲存在本機，讓您保持登入狀態。任何人只要取得它，就能代替您登入，不需要密碼，也不會觸發雙重驗證。
Token grabber 如何竊取您的帳號
陷阱幾乎總是透過有人慫恿您開啟的檔案或連結而來：
- 需要下載的假軟體、外掛、破解檔或「Discord 工具」。
- 假的「免費 Nitro」優惠與網路釣魚連結。
- 被動手腳的擴充功能或腳本。
一旦執行，這個程式就會讀取儲存 token 的本機檔案並傳送給攻擊者，通常只需幾秒鐘，而且沒有任何明顯跡象。
對您伺服器的風險
攻擊者會利用您的帳號向您的朋友發送詐騙，並加入您的伺服器。而如果您是管理員或管理人員，被盜的 token 是從內部對伺服器發動 nuke 最常見的方式之一：這是許多攻擊的起點。
如何防範 token grabber？
- 不要執行任何不可信的東西。 外掛、破解檔、Discord「工具」，以及來自未知來源的檔案，是頭號的入侵管道。
- 對「免費」保持警覺。 「免費 Nitro」和好得不像真的連結，幾乎都是網路釣魚。
- 若帳號遭入侵，請迅速反應。 立即更改密碼：這會讓被盜的 token 失效，並使攻擊者登出。
- 在伺服器端，落實最小權限。 這樣一來，即使是被盜的工作人員成員帳號也無法摧毀一切。
常見問題
Token grabber 會竊取我的密碼嗎？
不會：它竊取的是工作階段 token，這就足以在不需要密碼的情況下存取帳號。這正是它危險的地方。
雙重驗證能防範 token grabber 嗎？
無法直接防範，因為已被竊取的 token 能繞過登入。但它能保護更改密碼與重新登入，而更改密碼會讓被盜的 token 失效。
如何得知我的 token 是否被盜？
留意任何不明的活動：您沒有寫過的訊息、加入或離開的伺服器、以您名義發出的詐騙私訊。只要有一絲懷疑，就請更改密碼。
這和 nuke 有什麼關係？
管理員被盜的 token，是 nuke 伺服器最常見的方式之一：攻擊者從合法且擁有特權的帳號進行操作。