置顶广告冒充 Trezor Suite，输了助记词几分钟就被掏空
10月底，有人在谷歌搜 Trezor Suite，排在真结果上面的是一条广告，点进去是个做得很像的钱包软件页面，有时挂在自己的域名上，有时藏在 Google Sites 页面里，页面让用户输入助记词，名义是恢复钱包，输进去的人几分钟内就发现余额没了。
Chainabuse 上这波目前只有 5 条举报，来自好几个国家，其中一条举报人说已经在捷克报了警，损失涉及比特币、以太币和稳定币。链上分析工具 Coinator 只追了比特币这一侧，追出来的规模比举报大得多。
钱没有直接进骗子自己的钱包，先进了两个固定收款地址。第一个地址收到 39 笔，一共 3.32 枚比特币，时间是 10 月 27 日到 31 日，单笔最大的一条举报里超过 0.2 枚。第二个地址没有任何举报，却收了 56 笔，一共 8.17 枚，是第一个的两倍多。两个地址加起来大约 95 笔，合计 11.49 枚。
10 月 31 日 15 时 57 分 UTC，第二个地址被一笔带 56 个输入的交易一次清空，12 分钟后第一个地址也被一笔带 33 个输入的交易清空，两笔钱都去了同一个中转地址。这个中转地址一共收到 21.62 枚，多出来的部分来自更早的进账，Coinator 的判断是，这伙人此前已有过同类进账。当天 17 时 12 分 UTC 起，中转地址开始分批往外放，先是 2.0 枚，接着 2.86 枚，最后 1.54 枚，三笔手续费都是 564 聪，分毫不差，版本、锁定时间和可替换标记也都一样，明显出自同一个钱包。
分出去的三笔里，2.0 枚和 2.86 枚到 11 月 3 日还躺在原地址没动，1.54 枚在当晚分三步走了，先是 0.01 枚试探，接着 0.5 枚，最后 1.03 枚，每一步都经过一个中间地址，最终都进了同一个托管服务的热钱包。这个热钱包从 2025 年 2 月起已经有大约 13.9 万笔交易，流转约 3.7 万枚比特币，挂了 16.2 万个充值地址，几乎每个只用一次。同一个热钱包在 8 月还接过假冒 Kraken 客服骗局的钱，10 月底阿根廷的一起案子里也是终点，三种不同的骗局，一个收钱终点。
这里有个很容易追错的地方。0.01 枚试探款进了一个充值地址，几个小时后这个地址和另外 8 个充值地址、热钱包自己的 2 个输入一起花了出去，0.29 枚到了一个新地址，看起来像骗子把钱取回来还变多了。其实那是托管服务给某个客户的付款，充值地址和热钱包都属于服务方，钱一进服务方手里，原来是谁存的就不再重要了。盯着热钱包当骗子追，会追错人，真正该记下来的是骗子那两个收款地址。
对散户来说，这事的落点很具体。钱包软件只认厂商官网，搜索结果里排在前面的广告先默认是假的。网页让你输入助记词可以直接关掉，电话里要助记词也可以直接挂掉。助记词一旦输进假页面，钱包就等于已经交出去了，要在干净设备上用新助记词建新钱包，再把还剩下的钱尽快转走。举报也别省，5 条举报只露出了冰山一角，多一条举报，收款地址就多一分被看见的可能。
我的判断只有一句，下载钱包先核对官网域名，置顶广告一律先跳过，慢这一下比事后追链上记录管用。
你平时下载钱包软件，是直接点搜索结果，还是先核对一遍官网域名？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，事实来源为 Coinator 11月3日链上分析及 Chainabuse 举报记录。
#Trezor #防骗 #助记词 #链上追踪
10月底，有人在谷歌搜 Trezor Suite，排在真结果上面的是一条广告，点进去是个做得很像的钱包软件页面，有时挂在自己的域名上，有时藏在 Google Sites 页面里，页面让用户输入助记词，名义是恢复钱包，输进去的人几分钟内就发现余额没了。
Chainabuse 上这波目前只有 5 条举报，来自好几个国家，其中一条举报人说已经在捷克报了警，损失涉及比特币、以太币和稳定币。链上分析工具 Coinator 只追了比特币这一侧，追出来的规模比举报大得多。
钱没有直接进骗子自己的钱包，先进了两个固定收款地址。第一个地址收到 39 笔，一共 3.32 枚比特币，时间是 10 月 27 日到 31 日，单笔最大的一条举报里超过 0.2 枚。第二个地址没有任何举报，却收了 56 笔，一共 8.17 枚，是第一个的两倍多。两个地址加起来大约 95 笔，合计 11.49 枚。
10 月 31 日 15 时 57 分 UTC，第二个地址被一笔带 56 个输入的交易一次清空，12 分钟后第一个地址也被一笔带 33 个输入的交易清空，两笔钱都去了同一个中转地址。这个中转地址一共收到 21.62 枚，多出来的部分来自更早的进账，Coinator 的判断是，这伙人此前已有过同类进账。当天 17 时 12 分 UTC 起，中转地址开始分批往外放，先是 2.0 枚，接着 2.86 枚，最后 1.54 枚，三笔手续费都是 564 聪，分毫不差，版本、锁定时间和可替换标记也都一样，明显出自同一个钱包。
分出去的三笔里，2.0 枚和 2.86 枚到 11 月 3 日还躺在原地址没动，1.54 枚在当晚分三步走了，先是 0.01 枚试探，接着 0.5 枚，最后 1.03 枚，每一步都经过一个中间地址，最终都进了同一个托管服务的热钱包。这个热钱包从 2025 年 2 月起已经有大约 13.9 万笔交易，流转约 3.7 万枚比特币，挂了 16.2 万个充值地址，几乎每个只用一次。同一个热钱包在 8 月还接过假冒 Kraken 客服骗局的钱，10 月底阿根廷的一起案子里也是终点，三种不同的骗局，一个收钱终点。
这里有个很容易追错的地方。0.01 枚试探款进了一个充值地址，几个小时后这个地址和另外 8 个充值地址、热钱包自己的 2 个输入一起花了出去，0.29 枚到了一个新地址，看起来像骗子把钱取回来还变多了。其实那是托管服务给某个客户的付款，充值地址和热钱包都属于服务方，钱一进服务方手里，原来是谁存的就不再重要了。盯着热钱包当骗子追，会追错人，真正该记下来的是骗子那两个收款地址。
对散户来说，这事的落点很具体。钱包软件只认厂商官网，搜索结果里排在前面的广告先默认是假的。网页让你输入助记词可以直接关掉，电话里要助记词也可以直接挂掉。助记词一旦输进假页面，钱包就等于已经交出去了，要在干净设备上用新助记词建新钱包，再把还剩下的钱尽快转走。举报也别省，5 条举报只露出了冰山一角，多一条举报，收款地址就多一分被看见的可能。
我的判断只有一句，下载钱包先核对官网域名，置顶广告一律先跳过，慢这一下比事后追链上记录管用。
你平时下载钱包软件，是直接点搜索结果，还是先核对一遍官网域名？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，事实来源为 Coinator 11月3日链上分析及 Chainabuse 举报记录。
#Trezor #防骗 #助记词 #链上追踪
