虚假代币迁移与兑换骗局
代币迁移骗局的运作方式、虚假 V2 兑换和升级门户的危险信号、如何核实真正的迁移，以及上当后该怎么做。
代币迁移骗局是一种欺诈：犯罪分子告诉你，你持有的某个代币必须“升级”“迁移”或“兑换”为新版本，然后把你引到一个虚假门户，通过恶意授权、签名或索要助记词来清空你的钱包。这种骗局之所以奏效，是因为真正的迁移确实存在，所以说辞听起来很可信。
项目方会出于升级、品牌重塑或迁链等正当原因更换合约。Polygon 从 MATIC 过渡到 POL 就是一个众所周知的真实案例。每一次真正的迁移都会形成一个持有者等待指引的窗口期，而骗子们会争先恐后地用虚假指引填满这个窗口。
为什么真正的迁移会留下可乘之机
项目方要求持有者兑换代币，可能有以下正当理由：
- 合约升级。 某个漏洞或新功能需要部署新的代币合约。
- 品牌重塑与代币更替。 项目用继任代币替换原有代币。
- 迁链。 代币从一条区块链迁移到另一条区块链，例如从 ERC-20 迁移到项目自己的主网。
- 重新计价。 供应量被拆分或合并，例如 1 枚旧代币变为 100 枚新代币。
这些情况都会引发困惑，而困惑正是骗子的生财之道。许多持有者并不密切关注项目动态，因此一条声称“旧代币即将停用”的可信消息，很容易让人觉得是紧急且有用的信息。相关阅读：通过搜索广告进行的网络钓鱼。
骗局如何运作：分步解析
- 1选定目标。 骗子会盯着已公布的迁移，或者干脆为某个热门代币编造一次迁移。
- 2搭建门户。 他们把项目的网站设计复制到一个仿冒域名上，并加上“迁移”或“领取 V2”按钮。
- 3散布链接。 他们在官方账号下发布回复、投放搜索广告、在 Telegram 和 Discord 上发私信、空投名称为网址的无价值代币，或冒充客服人员。
- 4制造紧迫感。 消息声称旧代币将在几小时内“停止运作”或“失去全部价值”。
- 5卷走资金。 门户要求你连接钱包，然后授权无限额支出、签署 permit 或 Permit2 消息、把代币发送到“迁移合约”，或通过输入助记词来“验证”钱包。
- 6转移与洗钱。 一旦你签名，自动化的盗取程序就会转走你的代币，往往只需几秒钟，并将其分散到许多地址。
想进一步了解其中涉及的签名伎俩，请参阅我们的冰钓（ice phishing）与 permit 签名指南。
一个假设的例子
以下是用于说明的综合示例，并非真实案例。
假设一位名叫 Sam 的持有者拥有一种中等规模的 DeFi 代币。一天早上，Sam 在项目的官方帖子下看到一条回复：“提醒：V1 代币将于 UTC 午夜停用。请在此迁移。”链接指向一个与项目官网看起来一模一样的网站，只是域名中改了一个字母。我们在虚假 WalletConnect 与钱包弹窗钓鱼一文中对此有更详细的介绍。
Sam 连接钱包并点击“迁移”。钱包显示了一个针对该代币、金额为无限额的授权请求。Sam 以为这对兑换来说很正常，于是确认了。不到一分钟，该代币的全部余额就离开了钱包。随后第二个请求要求 Sam 签署一条消息来“领取 V2 代币”；这其实是针对钱包中另一种代币的 permit。V2 代币始终没有到账。真正的项目方根本没有宣布过任何迁移。另见：虚假跨链桥网站。
危险信号清单
| 危险信号 | 为什么重要 |
|---|---|
| 你是通过私信、回复、广告或空投代币得知这次迁移的 | 官方项目会通过自己的渠道发布公告 |
| 截止时间以小时计算 | 真正的迁移通常持续数周或数月 |
| 网站索要你的助记词或私钥 | 任何正当的迁移都绝不需要它们 |
| 对你正在“迁移”的代币进行无限额授权 | 让合约有权拿走一切 |
| 域名与官方域名略有不同 | 仿冒域名是这类骗局的核心 |
| “客服人员”主动提出帮你迁移 | 项目方不会通过私聊来进行迁移 |
| 新代币的合约地址不在官方文档中 | 你无法核实自己收到的是什么 |
如何核实真正的迁移
- 1亲自前往信息源头。 自己输入项目的官方域名或使用书签。查看官方文档和博客中是否有迁移页面。我们关于如何核实网站是否为项目官方网站的指南介绍了具体方法。
- 2交叉核对公告。 确认公告出现在项目经过认证的社交账号上，最好还有上线该代币的交易所发布的相关消息。
- 3查看你使用的交易所。 如果你的代币存放在交易所，请查找该交易所的官方公告。交易所通常会为客户完成兑换。
- 4核实新合约。 按照我们关于核实代币官方合约地址的指南，在官方文档和区块浏览器中比对新代币的地址。
- 5签名前阅读交易内容。 确认你要授权的合约与文档中的迁移合约一致，并尽可能限制授权额度。
- 6不确定时就等一等。 真正的迁移很少会因为持有者花一天时间核实而让其蒙受损失。
上当之后该怎么办
请按以下顺序迅速行动：
- 1撤销授权。 使用信誉良好的授权工具，撤销授予诈骗合约的所有授权或 permit。参见如何撤销代币授权。
- 2保护钱包。 如果你输入过助记词，请视该钱包已被盗用，并将剩余资产转移到使用新助记词的全新钱包。请按照我们的清单钱包被盗后应立即采取的措施操作。
- 3保存证据。 保存网址、截图、交易哈希和骗子的地址。
- 4进行举报。 通知真正的项目方、你的钱包服务商以及你看到该链接的平台。你也可以通过我们的诈骗举报表单向我们举报该网站和相关地址。
- 5当心追回资金骗局。 那些承诺收费帮你追回资金的人，几乎总是在实施第二次诈骗。
总结
代币迁移骗局利用的是一个真实存在的流程：项目方有时确实会兑换或升级代币。防范方法简单但必须严格执行。只遵循你自己在官方渠道找到的迁移指引，核实新合约地址，绝不分享助记词，并把紧迫感和私信视为危险信号。如果迁移是真的，等你核实完毕后它依然会在那里。
常见问题
什么是代币迁移骗局？
代币迁移骗局会让持有者相信，他们的代币必须升级、兑换或迁移到新版本。受害者被引导到一个虚假门户，被要求授权支出、签署 permit、把代币发送到某个地址或输入助记词。随后骗子会拿走代币或清空钱包。
如何判断一次代币迁移是否真实？
真正的迁移会在项目官网、官方文档和经过认证的社交账号上公布，通常会公开新代币的合约地址，并给出较长的时间安排。交易所也常常会自动为客户完成迁移。如果你只是通过私信、回复或广告得知此事，在得到证实之前，都应假定它是假的。
我必须立即迁移代币吗？
很少需要。真正的迁移通常会开放数月，并有完善的文档说明。极度的紧迫感，例如声称你的代币将在几小时内变得一文不值，是最强烈的诈骗信号之一。
如果我授权了虚假的迁移合约，该怎么办？
立即使用信誉良好的授权检查工具撤销该授权；如果你还签署了其他内容或输入过助记词，请把剩余资产转移到新钱包；然后将该网站和相关地址举报给项目方、你的钱包服务商以及你发现该链接的平台。