加密釣魚

加密釣魚利用冒充身分與緊迫感，誘騙使用者洩露錢包機密、轉出資產，或核准惡意交易與簽名。本文說明攻擊鏈、警示訊號、防護措施和事後應變步驟。

僅供教育參考，不構成投資建議；投資可能產生損失。

直接答案

加密釣魚是針對加密貨幣使用者的社交工程攻擊。攻擊者冒充錢包、交易所、專案方或客服，施加壓力迫使受害者洩露復原短語或密碼、安裝惡意軟體、轉出資產，或核准有利於攻擊者的交易或簽名。

僅查看代幣或連接錢包通常不會授權轉帳。決定性事件是使用者洩露、傳送、簽署或核准了什麼。即使請求被描述為「驗證」「同步」「領取」或「保護」，它仍可能授予代幣支出權限，或產生可供攻擊者日後使用的鏈下簽名。

常見誘餌包括：

網域、傳送方和目標位址來自獨立可信來源核對完整位址，而不是只看首尾字元請求的簽名或交易已經解碼並模擬遇到催促、假冒客服或索取恢復資料時拒絕關鍵確認使用獨立的乾淨裝置或管道

0 / 5

0 項已核查; 5 項仍未解決

完成核查不代表資產、交易或系統已經安全。

攻擊通常分為三個階段。首先，誘餌借用信任並製造緊迫感。其次，擷取步驟要求使用者提供機密或執行錢包操作。洩露復原短語或私鑰會讓攻擊者控制由其衍生的所有帳戶；遭竊的交易所憑證可能導致帳戶被接管；鏈上授權可能留下持續有效的代幣額度；而鏈下簽名可在條款允許時於日後提交。

最後，攻擊者直接轉移資產或行使已取得的權限。竊盜可能立即發生，但延遲使用的簽名或額度會讓首次互動看似無害。已確認的區塊鏈交易通常無法由錢包提供者或網路營運者撤銷。

中斷網站與錢包的連接，不等於撤銷鏈上代幣授權。撤銷本身是相關網路上的一筆鏈上交易，通常需要支付網路費。

一則社群媒體貼文宣傳空投，並連結到一個與專案真實網域僅差一個字元的網站。頁面要求使用者連接錢包並按下「領取」。錢包提示實際上給某合約授予了大額代幣額度，或要求一份可授權日後轉帳的鏈下簽名。資產可能不會立即消失，但只要權限仍有效，攻擊者就能使用它。

安全檢查的關鍵是將請求動作與預期動作比較：透過獨立的官方管道核驗網域，然後檢查網路、合約或支出方、資產、金額或權限範圍，以及任何截止時間。如果錢包無法清楚解釋請求，或請求的權限超出該操作所需，就應拒絕。

連接通常只會暴露所選公開地址，並允許網站提出請求；它本身不會核准所有轉帳。只有在洩露機密或確認有害交易、授權或簽名後，危險才真正開始。

不會。中斷介面連接和撤銷鏈上額度是兩種操作。應在正確網路上檢查有效授權，並在需要時提交撤銷交易。

不能。它有助於隔離私鑰並要求實體確認，但無法判斷使用者的真實意圖。應核對可信裝置上顯示的細節，並拒絕任何與預期動作不符的請求。