虚假跨链桥网站：如何使用跨链桥而不被盗空钱包
虚假跨链桥网站复制真实的跨链桥来清空钱包。了解这种骗局的运作方式、危险信号，以及一套安全的跨链操作流程。
虚假跨链桥网站是对真实跨链桥的仿冒复制，它诱骗你签署一笔交易或代币授权，从而把你的资金交给攻击者。要想跨链而不被盗空钱包，只通过经过核实的书签或官方文档访问跨链桥，检查域名和合约地址，签名前阅读钱包的每一个请求，并先用小额资金测试。
跨链桥用于把代币从一条区块链转移到另一条区块链，例如从 Ethereum 转到某个二层网络。由于用户常常在匆忙中跨链，比如追逐新网络、空投或交易机会，跨链桥界面成了网络钓鱼最青睐的目标。本指南将介绍这种骗局如何运作，以及防范它的操作流程。
虚假跨链桥攻击如何运作
大多数虚假跨链桥骗局都遵循相同的步骤：
- 1复制。 攻击者克隆某个热门跨链桥的前端，并将其托管在一个只差一个字母、一个连字符或换了后缀的域名上。
- 2诱饵。 他们通过付费搜索广告、在真实项目帖子下的回复、虚假“客服”账号，或声称某个新网络或空投需要跨链的公告来推广链接。
- 3连接。 你连接钱包。网站会读取你的余额，从而知道哪些代币值得下手。
- 4请求。 你点击“跨链”。网站并不会调用真正的跨链桥合约，而是要求你为攻击者的合约授权某种代币、签署链下 permit，或直接把资金发送到攻击者的地址。
- 5盗取。 一旦授权完成，攻击者的合约就会转走你的代币。网站往往会显示虚假的“跨链处理中”消息来拖延时间。
由于界面看起来一模一样，域名和钱包请求是你唯一可靠的线索。我们关于钱包盗取程序和permit 签名钓鱼的指南详细解释了其中的签名伎俩。
一个假设的例子
以下是用于说明的综合示例，并非真实案例。假设有一位用户想把稳定币从 Ethereum 转到一个新的二层网络，以获得一个传闻中的空投资格。他搜索该网络的跨链桥，点击了第一个结果——一则付费广告，然后进入了一个看起来和官方跨链桥完全一样的网站。
他连接钱包并输入金额。钱包显示一个请求，要求授予一个他从未见过的合约对其稳定币的“无限额”访问权限。他以为跨链时这很正常，于是批准了。不到一分钟，他的全部稳定币余额就被转走，而网站仍在显示“等待确认”。等他意识到跨链根本没有发生时，资金早已被兑换并经由多个地址转移。
这些损失源于三个捷径：使用搜索广告、跳过域名检查，以及对陌生合约进行无限额授权。
危险信号清单
| 危险信号 | 可能意味着什么 |
|---|---|
| 你是通过广告、回复、私信或“客服”账号进入的 | 很可能是钓鱼链接 |
| 域名与官方域名略有不同 | 仿冒域名 |
| 钱包要求对一个未知合约进行无限额授权 | 盗取合约 |
| 你被要求签署一条包含“permit”的消息或一长串结构化数据请求 | 可被用来拿走代币的链下授权 |
| 网站索要你的助记词或私钥 | 一定是诈骗 |
| 弹窗坚称你必须立即跨链才能领取奖励 | 施压手段 |
| 钱包或浏览器扩展显示钓鱼警告 | 不要无视它 |
如何安全地跨链
每次都按以下流程操作：
- 1从源头找到官方跨链桥。 进入目标网络的官方文档，通过其中的链接前往跨链桥。我们关于如何核实网站是否为项目官方网站的指南介绍了如何确认你访问的是正确域名。
- 2加入书签。 此后一律使用书签。绝不要搜索跨链桥后点击广告。
- 3检查合约。 如果项目公布了跨链桥合约地址，请在授权前将其与钱包显示的内容进行比对。
- 4限制授权额度。 在钱包允许的情况下，只授权你要跨链的金额，而不是无限额。
- 5先小额测试。 先跨一小笔金额，并确认它已到达目标网络。
- 6用单独的钱包做尝试。 一个只存少量资金的临时钱包，可以在出问题时把损失控制在一定范围内。
- 7完成后撤销授权。 按照我们关于撤销代币授权的指南，移除不再需要的授权。
关于跨链桥本身更广泛的风险，包括智能合约漏洞，请阅读如何在区块链之间安全地跨链转移加密资产。
如果你使用了虚假跨链桥该怎么办
迅速行动：
- 1断开与该网站的连接并关闭标签页。
- 2撤销授权：使用通过书签访问的信誉良好的授权检查工具，撤销你授权过的所有合约。
- 3转移剩余资产：如果你签署了可疑内容或输入过助记词，请把剩余资产转移到使用新助记词的全新钱包。
- 4记录细节：域名、交易哈希和攻击者地址。
- 5进行举报：报告给真正的跨链桥项目方、资金可能流入的交易所，并通过我们的诈骗举报表单提交，以便提醒他人。
我们关于钱包被盗后应立即采取的措施的分步指南涵盖了完整的应对流程。对于任何联系你并提出收费帮你追回资金的人，一律不予理会；追回资金骗局专门针对刚刚受害的人。想深入了解，请参阅加密借记卡骗局与虚假办卡优惠。
总结
虚假跨链桥网站之所以得逞，是因为它们看起来与真网站一模一样，专门捕捉匆忙中的用户。要以域名和钱包请求为准，而不是页面设计。只通过官方文档和书签访问跨链桥，只授权你需要的额度，先用小额测试，事后撤销授权。
常见问题
什么是虚假跨链桥网站？
虚假跨链桥网站是对真实跨链桥界面的复制，目的是诱骗你签署把代币发送给攻击者的交易或授权。它看起来可能与真实网站一模一样，但运行在仿冒域名上，连接的是恶意合约，而不是跨链桥的真实合约。
人们是如何进入虚假跨链桥网站的？
通常是通过付费搜索广告、社交媒体回复中的链接、虚假客服账号、Discord 或 Telegram 消息，或是要求你先跨链的空投公告。自己输入域名或使用书签，可以避开其中大多数陷阱。
使用虚假跨链桥后还能追回资金吗？
通常不能。区块链转账是不可逆的，攻击者会迅速转移资金。你可以通过撤销授权、把剩余资产转移到新钱包来限制进一步的损失，还应举报该网站以提醒他人。对任何提出收费帮你追回资金的人都要保持警惕。
官方跨链桥一定比第三方跨链桥更安全吗？
由网络自身提供的官方跨链桥减少了一层信任环节，但并非没有风险。官方和第三方跨链桥都可能存在漏洞或密钥被盗的情况。对普通用户来说，更大也更常见的风险是误入其中任何一种的虚假副本。