手法:邮件、短信或弹窗声称「钱包需升级」「链上验证」「领取空投资格」,引导你进入仿冒官网,在网页里输入 12/24 个助记词。
识别:正规流程永远不需要输入完整助记词;助记词只应在硬件钱包设备屏幕上被要求核对。
防范:把「索要助记词 = 诈骗」刻进直觉;书签直达官网;不点任何邮件里的链接。
手法:你在社区求助后「官方客服」私信主动联系;或厂商 Twitter/X 官方账号被盗后发布「固件升级」钓鱼链接。
识别:官方不会私信你;不会要求下载外部软件;不会索要任何密钥信息。
防范:一切公告以官网与官方 GitHub 为准;官方账号发布的链接也要手动输入官网核对。
手法:攻击者生成与你常用地址首尾相似的假地址,向你的地址发一笔小额转账「留痕」。日后你从交易历史复制地址时,极易选中假地址。
识别:历史列表里出现「不是你发起」的陌生小额入账,且地址与常用地址高度相似。
防范:只用白名单/通讯录保存地址;转账前在设备屏幕逐字核对;大额先小额测试。
手法:二手/非官方渠道的硬件钱包开箱即附带「已生成好的助记词卡」,实际私钥早已被攻击者备份;或仿冒固件植入后门。
识别:全新设备不应有预置助记词;真伪校验(Attestation)失败。
防范:只买官方渠道;开箱验真;让设备自行生成助记词;固件只从官方渠道更新。
手法:仿冒 DApp 诱导你在钱包里签署「代币授权」或「盲签交易」,授权一次即可随时划走你全部同类资产,即使冷钱包也防不住「已授权的额度」。
识别:授权对象是陌生合约;签名内容是不可读的十六进制盲签数据。
防范:只用 Revoke 类官方工具定期清理授权;拒绝盲签;大额储备地址不参与 DeFi。
手法:「免费 NFT」直接空投进你的钱包,官网展示二维码或链接引导你到仿冒网站「领取」,实为钓鱼;或发送「需先质押才能解锁」的假代币诱导授权。
识别:来路不明的空投;领取流程要求连接钱包并签名授权。
防范:不点击 NFT 上的任何链接/二维码;在钱包中隐藏陌生资产;储备地址不交互。
手法:通过社工运营商补办你的手机号,重置交易所与邮箱密码,拦截验证码,进而诱导提现或盗取热钱包资产。
识别:手机信号突然「无服务」数小时;收到运营商「换卡成功」短信。
防范:运营商设置号码转移 PIN;关键账号使用验证器 App/硬件密钥而非短信验证码;储备资产放冷钱包。
手法:在酒店/家中共存环境下被偷拍抄写助记词;入室胁迫交出设备与备份;或设备被短暂调包。
防范:抄写助记词时一人独处并遮挡摄像头;备份分散异地且隐蔽存放;大额资产考虑多签与 Passphrase 隐藏钱包,降低单点物理风险。