加密货币钓鱼网站：如何识别虚假交易所或钱包页面

加密货币钓鱼网站是仿冒真实交易所、钱包或 DeFi 应用的虚假网页，用来窃取你的登录信息、双重验证码、助记词或钱包签名。通常可以从以下几点识别它们：地址与真实域名略有不同；你到达该网站的方式（广告、邮件或私信）；以及任何正规服务都不会提出的要求，例如在网页表单中输入助记词。

钓鱼是人们损失加密货币最常见的方式之一，即使是经验丰富的用户也会中招。与银行不同，区块链上的转账一旦确认就无法撤回，因此预防是唯一可靠的防线。

加密货币钓鱼网站如何运作

钓鱼网站瞄准两类秘密信息：

1. 1中心化交易所的账户凭证：邮箱、密码和双重验证码。攻击者实时将其转发到真实交易所，登录后提走资金。
2. 2自托管钱包的访问权限：要么直接是你的助记词，要么是一个允许攻击者转移你代币的签名。这类网站常常伪装成 DEX、NFT 铸造、空投领取或“钱包验证”页面，并运行钱包盗取程序脚本。

页面本身通常是真实网站代码的复制品，因此设计、标志和文字看起来完全相同。另请参阅：移动钱包安全最佳实践。

受害者如何被引到虚假网站

• 搜索广告。 诈骗者针对热门搜索词购买广告。广告显示在真实结果上方，链接到一个相似的域名。
• 邮件。 虚假的安全警报（“检测到异常登录”“请验证你的账户”），附带指向虚假登录页面的链接。
• 社交媒体回复。 机器人在官方帖子下回复虚假空投或客服页面的链接。
• 私信。 Discord、Telegram 或 X 上的假客服或假“管理员”发送链接。
• 被盗账户。 真实项目的社交账户或 Discord 被黑，并发布钓鱼链接。
• SEO 与域名抢注（typosquatting）。 只差一个字符、使用不同后缀，或加上“app”“claim”“support”等词的域名。

虚假交易所或钱包页面的警示信号

挂锁图标或“https”并不代表网站安全。钓鱼网站经常使用有效证书。我们在剪贴板恶意软件一文中对此有更详细的介绍。

登录或连接前如何检查网站

1. 1手动输入域名或使用书签。 为你使用的每个交易所、钱包和 DeFi 应用设置书签，并且只使用这些书签。
2. 2阅读地址栏中的完整域名。 看后缀正前方的那部分，那才是真正的网站名称。exchange.com.secure-login.io 属于 secure-login.io，而不是 exchange.com。
3. 3交叉核对官方网址。 与信誉良好的数据网站上该项目的已验证资料进行比对。我们的指南如何验证一个网站是否为项目官方网站会一步步带你完成。
4. 4仔细阅读每个钱包请求。 签名前，确认你正在与哪个合约交互，以及你授予的是什么权限。
5. 5永远不要在电脑或手机的网站上输入助记词。 如果任何网站索要助记词，立即关闭标签页。

防范钓鱼的习惯

• 使用密码管理器。它只会在所保存的确切域名上填写凭证，因此不会在相似网站上自动填充，这本身就是一个有用的警报。
• 双重验证请使用硬件安全密钥或身份验证器应用，而不是短信。参见加密账户的双重验证。
• 在支持的交易所启用提币地址白名单。
• 准备一个单独的钱包用于尝试新事物，把长期资金放在从不连接新网站的钱包中。
• 对所有关于你账户的主动来信都保持怀疑，即使看起来很官方。
• 定期检查并撤销代币授权。

如果你认为自己遭遇了钓鱼

速度至关重要：

1. 1输入了交易所凭证： 通过真实网站修改密码和双重验证设置，检查是否新增了提币地址或 API 密钥，并通过官方网站联系客服。
2. 2输入了助记词： 默认该钱包已经失守。把剩余资金转移到在干净设备上创建、使用新助记词的新钱包中。
3. 3签署了恶意签名或授权： 立即撤销授权，并转移剩余资产。
4. 4进行举报： 向被冒充的公司、浏览器的钓鱼举报服务以及我们的诈骗举报表单举报该域名。

警惕事后主动联系你的“追款服务”。它们几乎总是第二场骗局。我们的文章钱包固件更新对此有进一步说明。

总结

钓鱼网站之所以得逞，是因为它们看起来很真实，而且总在你匆忙的时候出现。让书签成为你唯一的入口，仔细阅读域名，永远不要在网站上输入助记词，并把每一个意料之外的签名请求都视为威胁。这些习惯能在绝大多数钓鱼企图开始之前就将其拦截。更多防护技巧，请参阅我们的安全类文章。