Scam Sniffer 2025 年度报告记录了 1.06 万名受害者因钱包盗刷型钓鱼损失了 8385 万美元。仅 2025 年上半年，加密用户因钓鱼攻击损失高达 4.11 亿美元，常见套路是：用户点击看似正规的网址，连接钱包，并批准转账，从而资金被盗。受害者包括 NFT 收藏者、DeFi 用户，以及在 Discord 或 X 上误点链接的普通持币人。
钱包盗刷器并不会攻击区块链本身，也不需要这样做。它们通过诱导你授权，让攻击者能一键转走你钱包里的全部资产。本文将详细解析其工作原理，以及如何有效防御。
钱包盗刷器的运作方式
钱包盗刷器是一种恶意 dApp 或钓鱼流程，通过让用户连接钱包并批准交易，或授予无限制授权，从而盗取资金。
核心机制如下：网站看起来很正规，你连接钱包后，页面会要求输入私钥、助记词或授权钱包操作。如果你批准了盗刷交易或无限制代币访问权限，攻击者即可转移资产。一次授权就足够。攻击并不需要你的助记词，也不需要私钥，只需要你的授权。
重点在于：危险的授权并不总是显而易见。Scam Sniffer 2025 年钱包盗刷数据中，基于授权签名的攻击占所有超百万美元事件损失的 38%。
基于签名的盗刷是更隐蔽的升级版。钓鱼网站可能不会直接弹出链上授权交易，而是让你以“验证钱包”或“领取空投”等名义签署链下消息。由于看起来不像转账，且未必会留下明显授权记录，用户往往容易掉以轻心。
这正是陷阱所在。签名同样可以通过 permit 类授权流程实现代币支配权。Permit2 类攻击的风险在于，签名可能赋予合约对已有授权路径下代币的广泛访问权限。你未必会看到“发送 100 USDC”这样的提示，可能只是一个看似管理类的消息请求，结果却让攻击者能迅速转移资产。
类似套路也出现在普通授权攻击中。只要能诱导你授权错误的合约地址，恶意 dApp 无需破解加密算法，区块链会因为你的签名而认可该权限。所以，最安全的问题不是“这个网站看起来专业吗？”，而是“我到底授权了什么权限，给了谁，时效多长？”
盗刷器的传播方式：攻击路径
上述机制只有在你与恶意网站交互时才会生效。如何让你上钩，就是攻击的另一半。
虚假代币或 NFT 空投可直接发送到钱包，模仿知名项目但名称细节有误，用户与资产交互时会被重定向到钓鱼网站。因此，钱包里突然出现的陌生资产应当警惕，而非好奇。
冒充消息和虚假账号尤其危险，因为它们利用信任。骗子通过虚假账号、机器人或冒充知名加密人物来推广假空投。在 Celestia TIA 上线期间，一个名为 calestiatoken 的假账号冒充 CelestiaOrg，诱导用户提交以太坊地址，实际上 Celestia 并非基于以太坊。
同一事件还显示了仿冒网站扩散的速度。vault 记录了 Celestia 空投期间大量仿冒网站的出现。由于用户常常在时间压力下搜索领取页面，往往会点进第一个看似官方的结果。攻击者只需等一次匆忙的点击。
虚假空投页面可高度仿制官方站点，包括名称、界面和 logo。用户应在操作前核实官方网站、博客和社交渠道。
伪造网站和钓鱼消息常见于搜索引擎广告、社交媒体广告、邮件、Telegram、Discord、X 上的冒充消息、虚假空投代币、WalletConnect 钓鱼和邮件钓鱼等。
常见预警信号包括：账号名细微差异、拼写错误、粉丝数很少、公告未出现在项目官方渠道等。
如何检查与撤销危险授权
你可能积累了比想象中更多的活跃授权。每一次 DeFi 交互都可能在链上留下开放授权，其中有些还是无限制的。
第一步：审核你的授权。
使用可信的授权审查工具，并在连接钱包前仔细核对网址。建议将常用工具加入书签，避免通过搜索进入。虚假授权审计网站本身就是钓鱼陷阱。
检查你在每条链上的活跃授权。目标很明确：清楚哪些合约可以花哪些代币、额度多少、这些授权是否还符合你的实际需求。
优先检查无限制授权，这类授权赋予合约广泛的支配权，而非固定额度。接着检查你已不再使用的协议、未知合约，以及额度较大的老授权。
如果工具将 Permit2 或基于签名的授权单独列出，也要一并检查。对未知合约、广泛代币访问权限、老 dApp 会话的授权要优先处理。实际操作中，可将授权分为三类：继续保留常用协议的权限，缩减或撤销不再匹配当前需求的大额授权，删除任何与未知合约或过往活动相关的权限。目的是防止旧授权成为安全隐患，而不是让 DeFi 难以使用。
第二步：撤销可疑授权。
撤销不可信应用和未用授权的访问权限。撤销通常需要链上交易，会产生 Gas 费用。优先处理无限制授权，其次是大额授权和老的 DeFi 会话授权。
这就是取舍。支付少量 Gas 关闭旧授权，通常比让旧合约一直拥有支配权更安全。如果 Gas 费用较高，可先排队撤销最危险的授权：如无限额度、未知合约，然后再处理几个月未用的协议。
未来与新协议交互时，避免授予无限制授权，够用即可。建议每月定期检查。实用原则很简单：如果随机代币让你访问某网站“领取”或“解锁”，直接视为骗局。任何正规协议都不会要求你的助记词或私钥来处理授权。
防盗刷实用清单
这些建议都对应上文提到的具体攻击路径。
- 将所有常用 DeFi dApp 加入书签，切勿通过搜索或 Discord、X、Telegram 等链接访问。
- 连接钱包前，逐字核对网址。只查域名本身，而非页面外观。
- 定期检查钱包授权，撤销不可信应用和未用的无限制授权。
- 绝不要在非书签直达网站上签署“验证钱包”或“领取空投”消息。
- 所有空投或铸造信息，务必在项目官方渠道确认，而非仅看 KOL 或博主发言。
- 大额资产建议使用硬件钱包，物理确认操作是最后一道防线。
- 新协议或未验证项目建议用专用“燃烧钱包”，主钱包绝不连接未知 dApp。
- 保持钱包应用、操作系统和浏览器及时更新，补丁经常修复安全漏洞。
- 资金分仓管理：小额流动资金放热钱包，大额长期持有放冷钱包。
常見問題
-
如果你用硬件钱包批准了授权，盗刷器同样可以转走被授权的金额，与普通钱包无异。硬件钱包的优势在于私钥永不触网，且每次操作都需物理确认。如果你拒绝授权请求，盗刷器无法获得任何资产。
-
不用恐慌，立即检查你的活跃授权，找到可疑授权并撤销。检查余额，如果代币已被转走，说明资金已被盗。将剩余资产转移到新钱包地址。如果怀疑空投是骗局，切勿交互、连接钱包或签署任何内容，并及时向项目方举报。
-
对活跃 DeFi 用户来说，每月检查一次较为合理。用过新协议、连接陌生 dApp、参与代币领取或签署过模糊内容后应尽快复查。关键是保持习惯：旧授权容易被遗忘，因为它们不会反复弹窗，只有主动撤销或替换才会失效。
-
并非如此。签名请求有时无害，但也可能通过 permit 类流程实现代币支配权。遇到意外的“验证钱包”、“领取空投”或 Permit2 式提示要高度警惕。如果不是从可信书签进入，建议直接关闭页面，先检查授权再考虑签名。
-
助记词攻击会让攻击者永久掌控你的钱包，可立即清空并监控未来所有资产。盗刷攻击则是诱导你批准某笔交易或授权，进而转走资金。两者都很严重：攻击者优先获取恢复短语或授权签名，因为这等同于资产的主控权。
