Web3 防骗指南

链上没有客服能帮你撤回，大部分人亏掉的钱，不是密码被破解，而是自己点了确认、复制了错地址，或者信了不该信的人

老手也会手滑，下面这些习惯，比记一百个项目名更有用

先记住四条，后面都是这四条的展开：

助记词和私钥，对任何人都不要给。 官方、客服、伴侣、AI、老板，都不给。谁要，谁就是在盗

看不懂的签名，先拒绝。 赶时间、以为页面卡了、多点几下，都是最常见的失手方式

地址对全程，不对头尾，也不对名字。 币名可以伪造，头四个尾四个字符也可以伪造

要你先打钱才能拿回钱的，停。 领奖、提现、追回、升级、解冻，都一样

大额和日常玩的钱分开。打狗、领空投、试新项目，用小钱包，用一段时间就换。存得住的钱放硬件钱包或者大交易所（比如币安），平常别拿出来连网页

一、先看人：熟人、客服、交友、招聘

熟人突然借钱、拉你合作：Telegram、微信里，朋友突然要你转 U，或说有急项目。账号可能被盗，对面也可能是仿号：头像、昵称、说话习惯都能抄。用你自己拨出去的电话确认，对方拒绝语音就停。对方如果催你 "别告诉别人"" 群里不方便说 "，更要停。账号一旦被盗，骗子还会用你的号继续群发，所以别人找你之前，你也别先当那个转发链接的人。

假客服：尤其在交易所、项目出问题时，有人主动私信说自己是官方，要验证码、助记词、屏幕共享，或让你转到某个 "安全地址"。真客服不会主动私聊，也不会要助记词。你要找官方，从 App 里的帮助入口或自己书签里的官网进，不要从私信、评论、邮件里的链接进。

杀猪盘：先在交友软件或 Telegram 聊几周，再带你进一个 "投资平台"。小额能提出来，大额提现时要税费、保证金，最后网站消失。提现前还要再交钱的，不要再交。聊得再久、利润截图再真，也不改变这一点。

假赠送、深度伪造： 盗用或仿冒名人、项目方账号，或用 AI 视频、AI 语音直播，说转 1 个还你 2 个。视频像、声音像，也不说明那个人在说话。

假招聘：岗位和面试都像真的，最后让你下载 "作业"、内部会议软件，或 "考核钱包"。下载即可能中木马。作业用空机器做，不和钱包、交易所放在同一台电脑。对方要你先打一笔 "培训金"" 设备押金 "，就当招聘结束。

假追回： 你刚被骗，就有人说能找回资产，先付手续费或律师费。这是第二刀。评论区、私信里主动出现的 "司法协助"" 链上追踪工作室 "，默认先当骗子。正规渠道不会先收加密货币，也不会保证一定追回。链上转出去的币，大多数时候回不来 —— 先做的事是止损：换掉暴露过的钱包，撤销授权，改掉邮箱和交易所密码。不要为了" 再试一次 " 把剩下的钱也交出去。

二、先看设备和文件：木马、远程、剪贴板

压缩包和陌生文件： 让你看资料、签合同、看信息时发来文件压缩包，叫你在电脑上打开，打开后电脑可能被远程控制，接着盗钱包、换剪贴板地址，再用你的号继续群发。熟人发的也先打电话确认。不要下载，不要转发。工作文件让对方发网盘只读链接，或改用你熟悉的正规协作工具，不要双击来路不明的压缩包、宏文档、安装包

下载软件带木马：从搜索结果或广告安装插件、交易机器人、翻译或会议软件，电脑被远程控制后，你复制的正确地址，粘贴时会被换成骗子的。软件只从官网下。转账时看硬件钱包或手机屏幕上的完整地址，不要只看电脑浏览器里那一行。

会议和远程协助：对方约合作，让你装指定软件，或 AnyDesk、TeamViewer、向日葵，说远程帮你看钱包。共享屏幕时，助记词和验证码都会被看见。不在别人的远程会话里打开钱包，不在共享屏幕时登录交易所，不念验证码。对方坚持 "不远程就没法继续"，这笔合作可以停

剪贴板劫持：木马在你粘贴时悄悄替换收款地址，复制的是对的，贴进去的是错的。转账前核对完整地址，不只看头尾。硬件钱包或手机上再看一遍，比在同一台中毒电脑里看两遍有用

假硬件钱包：非官方渠道买到的设备，可能事先写好助记词。也有邮件让你输入已有助记词做 "固件升级"—— 硬件只从官网买，谁要你已经有的助记词，都是盗。新设备第一次开机就出现一组现成助记词，不要用，退货

三、签名和授权：最容易在 "点一下" 里丢光

连接钱包，通常只是让网站知道你的地址，本身还不等于把币交出去。真正危险的是后面那个签名，或那笔授权

连环签名：第一笔是正常领取或登录，刚签完立刻又弹出第二笔、第三笔，顺手确认后无限授权已经交出去。每一弹窗都单独看，出现下一笔就关掉页面。有时我们以为卡了就多点几下，其实不是卡，是对方在等你手滑。

看不懂的签名直接确认：弹窗是一长串英文或十六进制，你赶时间点了确认，实际签下的可能就是把钱包交给别人的那一笔。看不懂就先拒绝，正规操作等得起你弄明白。尤其看到这些词，先停下来：

• approve，而且额度是无限

• setApprovalForAll

• Permit、Permit2

• increaseAllowance

• 原始消息签名，比如 eth_sign，钱包只显示一串看不懂的数据

Permit、Permit2 这类签名常常不花 Gas，也不会马上在交易记录里出现一笔转出，你会觉得 "我什么都没付"。对方拿着你的签名，可以稍后自己付 Gas 把币转走，有人几个月后才被划走，因为当时那一下看起来毫无损失

还有一种一次签名里打包很多步：表面是领奖励，里面同时改了账户权限。钱包如果能模拟 "签完会发生什么"，先看模拟结果；模拟说不清，或者钱包只给你一串哈希，就拒绝

授权用完就收： 给过去中心化交易所、旧项目、不知名网站的无限授权，会一直有效直到你撤销。项目方前端被黑、你自己点过一次钓鱼页，对方都可能过很久再来转。每隔一段时间，用区块浏览器自带的授权页，或你信任的授权检查工具，把不再用的授权撤销掉。只从自己书签进这些工具，不从群里的 "帮你查授权" 链接进。撤销本身要付一点 Gas，这是正常的

多签和账户委托陷阱： 以 "更安全" 为名，让你把钱包加成多签，或签下账户委托，对方地址也在签名人里，签完对方就能转走资产。多签只有在你认识并且离线核对过每一个签名人时才有意义。陌生人发来的 "安全升级"" 托管更安心 ""我帮你加上防护"，都不要签

假空投： 钱包里突然多了陌生代币，或有人发链接说你中奖、有未领空投，点进去是钓鱼站，一签名钱包就被盗。不是你登记过的，不要点、不要授权。推文里突然 @ 你、评论区置顶、私信里的领取链接，很多都是这一种

邮件也一样 —— 看起来像项目方，标题写 "你有一笔空投待领取""Claim 即将截止 "，Logo 和排版都可以做得很像，不要点邮件里的按钮，回到项目官方账号从你自己的书签进。Discord 进群后的" 先点 Verify" 也要小心：验证不该把你带到一个要连接钱包还要签名的陌生网站，官方验证一般在 Discord 自己的流程里完成

尘埃代币和 NFT 广告： 别人随便就能给你转一个代币或 NFT，名字里夹着网址，诱导你去领、去卖、去跨链。不认识的代币不要兑换，不要授权，也不要点它名字里的网址。钱包里突然多出来的余额，默认是诱饵不是运气，把它藏起来就好，不必互动

四、地址和假币：名字会骗人，头尾也会骗人

假代币：在以太坊、BSC 等链上，可以买到一个名字就叫 BTC、ETH、USDT 的代币。有的是仿冒币，有的是只能买不能卖的貔貅。很多人看到价格高就去卖，然后中招。名字是假的，价格也可以是假的。对合约地址，不对名字。地址从项目官网或你信任的浏览器代币页复制，不从聊天记录、K 线截图、别人转发的消息里复制

貔貅盘：合约让你买不让你卖，或卖出税高到等于把钱扣光。买之前用极小金额试卖，卖不掉就停，不要因为 "已经买了" 再补仓

地址投毒：攻击者做了一个头尾都像你常用地址的地址，打一笔灰尘进交易记录，你从历史里复制，钱就转错了。不从历史记录复制地址。要大额，就先转一小笔，到账再转剩下的。每次都核对完整地址，中间那一长段也要看。地址簿里存好常用地址，转账时从地址簿选，不从最近交易里选。对方发来新地址，让他用你们之前约定的方式再确认一次，不要只信一条消息

最后看的，是即将发出去的那一串完整字符，最好在硬件钱包屏幕上看

假网站钓鱼： 域名差一个字母，或用看起来一样的外文符号，入口经常是搜索广告、推文评论、Discord 公告、邮件，用来骗你登录、连钱包，或输入助记词。搜索结果第一条、带 "广告" 标的，都不要当成官网。收藏夹里的官网，也偶尔点进去核对一下还是不是原来那个域名。

假跨链桥、假兑换、假主网： 做成和真桥、真兑换站几乎一样的页面，你一点兑换或授权，资产就被转走。还有一种更细：对方搭一个 Chain ID、名字都像官方的假网络，再做一个假桥让你把币跨进去，币跨进去就到了他们的链上，不是到了真的主网。钱包里添加新网络之前，对着官方文档核对 Chain ID 和 RPC，不对手里这条群消息。

五、项目和收益：稳得不像市场，就先当有问题

Rug Pull： 项目炒高之后撤走流动性，价格归零；或者团队自己的筹码慢慢砸盘。看流动性有没有锁、锁多久、合约能不能增发、能不能拉黑地址、能不能改税率。这些权限都在项目方手里时，价格好看也不等于你卖得出去。看不懂合约的，就控制仓位，默认它可能归零。

高收益资金盘： 量化、节点、矿池、质押，承诺每天或每周固定赚钱。早期提现用的常常是后来人的钱。收益稳定得不像市场，就当资金盘。真正的交易和挖矿都会亏、会波动。只有进场顺、提现卡、还要你拉人的，结构已经说明问题了。

场外交易诈骗：先收法币不放币，或先放币再冻结你的法币。群里的承兑没有托管，线下交易还有人身风险。能走正规交易所就走正规交易所。必须场外时，金额从小开始，不把币转到 "担保客服" 私人地址，也不跟陌生人到偏僻地点见面 —— 对方的担保号，可能和卖家是同一拨人。

六、账号本身：助记词、API、手机号

助记词放错地方：截图进相册、同步进云盘、写在备忘录或记事本，或发给别人，设备一中病毒，整仓可能被搬空；云盘账号被盗，结果一样。助记词只手写，离线保管。需要备份就再抄一份，分开放，不要拍照，不要发到任何聊天窗口，包括你自己的 "文件传输助手"

私钥交给 AI，或上传 GitHub：把私钥贴进聊天机器人，或写进配置文件后推上代码仓库 —— 仓库有机器人专门扫刚提交的密钥。贴出去的那套助记词，立刻当它已经作废：把资产转到新钱包。打狗也建议用小钱包，一段时间就换。AI 可以帮你看公开的合约地址、解释一笔交易在干什么，但它不能帮你 "保管"" 验证 ""恢复" 助记词。任何工具让你把助记词输进去才继续，就关掉

假钱包、假插件： 仿冒币安钱包、MetaMask 等，从广告或应用商店外的链接安装，装完就让你导入助记词。只从钱包官网安装，浏览器扩展看开发者名字和官网域名，不看图标像不像。已经在假插件里输入过助记词的，这套词作废，立刻转移资产

API 权限开太大： 为了跟单或机器人，把可交易、可提现的 API Key 交给陌生程序，密钥一泄露，账户就被下单或转走。API 默认只读。真的需要交易，就单独开一个没有提现权限的 Key，并绑定 IP，不把 Key 发到群里、工单里、截图里。跟单机器人要提现权限的，不用

短信验证码被换卡： 手机号被转到别人的 SIM 卡上，邮箱和交易所被重置，验证码发到对方手里。第二重验证用认证器或硬件密钥，不用短信当唯一一道。运营商那里打开携号转网、补卡的额外保护。交易所提币打开白名单，新地址生效要等待一段时间。邮箱单独用强密码，不要和交易所密码相同

七、这几个也很常见

二维码：收款码可以被掉包，登录码可以带到钓鱼站。扫之前看域名，扫完看钱包要你签什么。线下收款，核对完整地址，不核对屏幕上被截短的那一串

群公告和置顶： 群主号、管理员号会被盗，置顶链接改一次，一整群人一起去签恶意授权。公告只当线索，入口仍回官方书签

评论区和被盗的大号： 有人专门在热帖下面回复 "官方领取"。大号被盗后，也会发和以往风格很像的帖。看是不是认证号不够，点进主页看链接域名，不在评论里完成任何签名

带单、信号、老师：稳赚截图很容易做。对方要你把 API 提现权交给他，或要你把钱充进他指定的平台 —— 回到前面两条：权限给小，提现前再交钱就停

同一台电脑又办公又存大额： 陌生安装包、破解软件、来路不明的 "多开脚本"，都可能只为换你的剪贴板。大额钱包不要和这些东西待在一起

八、转账和签名前，过一遍这 30 秒

这个页面是我从书签进来的吗？不是的话，先关掉

对方在要助记词、验证码、远程，或让我先打一笔吗？是的话，停

这一笔签名我能用一句话说清吗？不能，拒绝

是不是刚签完又弹出下一笔？是的话，关掉页面

地址是完整核对过的吗？头尾相同不算核对完

金额大吗？大的话，先转一小笔，到账再转剩下的

这笔授权是无限的吗？是的话，改成刚好够用的额度，用完再撤销

对方是不是在催？越催越慢。正规的钱不会因为你核对了三十秒就消失

九、已经点过了，按这个顺序处理

不要先去找私信里的 "追回"。先做这些：

断开网络： 如果是电脑中毒、装过陌生软件、开过远程，先不要再在这台设备上输入任何助记词

用另一台干净设备，或硬件钱包，把还没转走的资产转到一个全新钱包。 旧助记词只要输入过网页、发给过人、进过云，就不要继续用

在干净设备上撤销旧地址的代币授权。 撤销需要旧钱包签名，确认工具本身是从书签打开的

交易所：立刻改密码，踢掉所有登录，重置 API，检查提币白名单和最近提币记录，认证器如果可能泄露就换掉

邮箱、手机号一起改密码，看有没有陌生转发规则。 短信不是唯一验证方式的，把它从重要账户里拿掉

把这个地址当已暴露。 以后不要再往里充钱

保留交易哈希和时间，方便以后向交易所或执法渠道提供。 能冻结的机会很小，但比把剩余的钱付给 "追回方" 更合理

希望这篇内容能帮助大家少走一些坑，也可以分享给朋友，感谢阅读！