凭证泄露后，攻击者可能长期潜伏、横向移动，或在暗网市场上转售凭证。