通过搜索广告进行的钓鱼：为什么排在最前面的结果可能是假的

骗子会针对热门钱包、交易所和 DeFi 应用的名称购买搜索广告，因此排在第一位的“赞助”结果可能会把你带到一个以假乱真的网站，专门用来窃取你的助记词、登录信息或钱包授权。最安全的习惯很简单：永远不要通过广告进入加密货币网站，改用你自己的书签。

这种攻击之所以奏效，是因为它瞄准的是你信任的那一刻。你搜索一个熟悉的名字，点击第一个结果，看到的页面看起来完全没问题。没有任何可疑之处——这正是它的目的。本指南将解释这种手法如何运作、实际中是什么样子，以及如何保护自己。

搜索广告钓鱼如何运作：分步解析

1. 1骗子注册一个几可乱真的域名。 可能替换一个字母、加上“app”或“claim”之类的词、使用不同的域名后缀，或使用与拉丁字母看起来一模一样的字符。
2. 2克隆真实网站。 复制钱包、交易所或 DeFi 应用的设计几乎不费吹灰之力。
3. 3针对品牌名称购买广告。 广告瞄准的是诸如钱包名称加“download”或交易所名称加“login”这类搜索。
4. 4规避审核。 手法包括向审核人员展示无害页面、向真实访客展示钓鱼页面，或通过多个域名进行跳转。
5. 5受害者点击并操作。 假网站会以“恢复”钱包为由索要助记词，截获交易所密码和双重验证码，提供恶意应用下载，或要求你连接钱包并签署交易。
6. 6资金被盗走。 拿到助记词或支出授权后，攻击者会在几分钟内转走资产，通常会经过混币器或跨链桥。

假页面通常很快就会消失，然后换上新域名和新广告。我们在加密货币贷款骗局中对此有更详细的介绍。

一个假设的例子

以下是综合多种情况的说明性场景——并非真实案例。

设想 Sam 想查看一个 DeFi 仓位。Sam 在搜索引擎中输入协议名称，点击了排在最上面的结果，旁边用小字标着“赞助”。页面看起来和真正的应用一模一样。一条横幅提示，由于“安全迁移”，用户需要重新连接钱包。Sam 连接后，被要求签署一条看起来像例行登录的消息。另请参阅：加密货币用户的电子邮件账户安全。

实际上，这个签名是一个代币 permit，授权攻击者转移 Sam 的稳定币。几分钟后，余额就没了。Sam 查看地址栏时才发现，域名多了一个字母。我们关于冰钓鱼与 permit 签名的解读文章介绍了这类签名的工作原理。

危险信号清单

如何保护自己

养成安全的访问习惯

• 仔细核实后，把官方网站加入书签，只做一次，此后只使用这些书签。我们关于如何验证网站是否为项目官方网站的指南介绍了具体的核查方法。
• 在任何金融或加密货币相关搜索中，直接略过广告。 更好的做法是根本不去搜索登录页面。
• 只通过官方网站上的链接或经过验证的应用商店页面安装钱包应用，并核对开发者名称。危险信号请参阅假冒钱包应用。

万一失误，尽量减少损失

• 使用能在自身屏幕上显示交易详情的硬件钱包，并认真阅读这些内容。
• 把大部分资金放在很少连接应用的钱包中，另用一个单独的钱包做尝试。
• 定期检查并撤销代币授权。
• 如果你愿意，可以使用能隐藏赞助结果的广告拦截器或浏览器设置。

核对地址，而不是外观

在输入任何内容之前，先读一读地址栏中的域名。看起来完美的页面什么也证明不了；关键在于域名。如需深入了解，请参阅供应链攻击。

如果你已经中招该怎么办

1. 1停止与该网站的任何交互，并断开钱包连接。
2. 2如果你输入了助记词， 用新的助记词创建一个全新的钱包，并立即转移所有剩余资金。
3. 3如果你签署了授权， 使用信誉良好的授权检查工具将其撤销，然后考虑把资金转移到新地址。
4. 4如果你输入了交易所登录信息， 修改密码、重置双重验证，并通过交易所官方网站联系其客服。
5. 5保存证据： 广告、域名、交易哈希和时间戳。
6. 6进行举报： 向搜索引擎、被冒充的项目举报，并通过我们的诈骗举报表单提交。

我们关于钱包被盗后应立即采取的措施的分步指南详细介绍了恢复过程。警惕事后联系你、承诺帮你追回资金的任何人——追回骗局专门针对刚刚受骗的人。

总结

搜索结果的靠前位置是可以花钱买到的，并不能证明真伪。骗子利用赞助结果，恰好在人们准备登录或连接钱包的那一刻，把几可乱真的加密网站摆到他们面前。官方网站核实一次后加入书签，完全跳过广告，并且绝不在任何网站上输入助记词。有了这些习惯，这一整类攻击就再也伤不到你。