加密货币钓鱼攻击详解：骗子如何窃取你的账户访问权限
许多加密货币盗窃案并非始于任何技术入侵。有人只是诱骗持有者交出访问权限，比如让他们在错误的页面输入密码、读出验证码，或批准一项自己并不理解的操作。
这就是网络钓鱼：诱骗你交出那些能够控制账户和资金的信息。下面将介绍攻击者的目标、虚假网站、假冒客服和虚假空投的运作方式，以及你在采取行动前需要检查的事项。本文介绍的是常见手法，而非攻击脚本。
攻击者真正想要什么
他们有四个目标。第一个是你的账户登录信息，包括密码，以及通常与账户关联的电子邮箱。第二个是用于完成登录的一次性验证码。第三个是助记词或私钥；以太坊的安全指南称其为钱包的主密钥，因为任何拥有它的人都能访问你的所有账户并转走其中的每一项资产。第四个是你的授权，即允许他人转移代币的签名或批准操作，而对方完全不需要你的密钥。
以太坊的指南明确指出：任何正规的服务、客服人员或网站都不会向你索要助记词或私钥。
虚假网站和链接
根据以太坊的安全指南，钓鱼邮件和消息经常会将你引向仿冒网站，要求你输入助记词、重置密码或发送加密货币。链接可能通过电子邮件、私信、广告或二维码发送。就连链接预览也可能被伪造：预览中显示的是可信名称，链接实际却指向别处。因此，指南建议确认自己访问的是正确域名，尤其是在点击链接之后。自己保存的书签可以避免依赖他人发来的链接。
第二重验证并不总能阻止这类攻击。虚假的登录页面可以实时将你的密码和一次性验证码转发到真实网站。英国国家网络安全中心（NCSC）发现，所有传统的第二重验证方式都容易受到这类中继攻击；而通行密钥和安全密钥与真实网站绑定，因此能够抵御此类攻击。短信验证码还存在额外风险，因为美国联邦贸易委员会（FTC）警告称，它们可能无法阻止 SIM 卡交换攻击。不过，如果你亲自在页面上输入验证码或助记词，任何技术都帮不了你。
假冒客服和身份冒充
在客服诈骗中，攻击者冒充钱包、交易所或区块链的客服人员。以太坊的指南描述了这类骗局的运作方式：骗子会在公开渠道寻找求助者，然后发送私信提供帮助，逐渐建立信任，直到受害者泄露私钥或转出资金。相同的套路也可能出现在任何聊天应用或电子邮件中。
该指南给出的基本原则是：工作人员绝不会通过私人、非官方渠道联系你；你绝不应允许任何人远程访问你的电脑；也绝不应在某个组织指定的官方渠道之外与其沟通。假冒客服声称只要交出密钥就能帮你追回损失的加密货币，利用的正是人们的误解，因为去中心化网络并没有这样的功能。FTC 还指出，加密货币付款通常无法撤销，任何正规的企业或政府机构都不会要求你用加密货币付款。
虚假空投和授权请求
空投诈骗往往从一个陌生代币或 NFT 出现在你的钱包中开始。随后，某个网站会邀请你领取它，要求连接钱包，并提示你批准一笔交易。以太坊的指南指出，这笔交易可能会危及你的账户，也可能只是把资金直接转给骗子。
其背后的机制是代币授权。在以太坊上，授权会创建一项额度，允许另一个地址使用你的代币；之后，该地址便可自行转走代币，最高不超过获批额度。因此，指南提醒用户不要设置无限额度，而应只授权交易所需的数量，并提供了撤销不再需要的合约访问权限的指南。赠币骗局的套路更简单：你先发送一些加密货币，对方承诺双倍返还。指南指出，赠币活动始终都是骗局。
点击、登录或签名前要检查什么
问自己几个问题，就能识别大多数情况。是你主动发起了联系，还是有人主动找上你？网址是否完全正确，而不只是看起来相似？是否有人索要助记词、验证码或远程访问权限，制造紧迫感，或承诺赠送免费加密货币？以太坊的指南将其归纳为三条提醒：始终保持警惕；没人会免费或折价送你加密货币；也没人需要访问你的私钥。
签署任何内容之前，请仔细阅读钱包显示的信息，并限制授权的范围。如果感觉不对劲，就停下来，自己前往官方网站，而不要通过收到的消息访问。
WEEX 提醒：请自行访问官方网站
WEEX 提醒用户，不要依赖消息和广告中的链接、二维码或附件，而应自行打开官方网站和应用。任何正规的服务或客服团队都不会索要你的助记词、验证码、备用验证码、设置密钥，也不需要远程访问你的设备；官方客服不会通过私人、非官方渠道主动联系你。不要批准你不理解的代币授权，也不要签署你不理解的交易。本文内容不构成财务建议。
结论
加密货币钓鱼攻击瞄准四样东西：你的登录信息、一次性验证码、助记词或私钥，以及转移代币的授权。攻击可能以虚假网站、假冒客服和虚假空投的形式出现；只有在第二重验证无法被中继或泄露时，它才有帮助。只要由你主动发起联系、不泄露任何秘密信息，并仔细阅读要求你签署的内容，大多数攻击都能被挫败。
常见问题
1. 什么是加密货币钓鱼？
它是指骗子诱骗你交出能够控制加密货币的信息，例如密码、一次性验证码、助记词，或对交易的授权，通常通过虚假网站、消息或假冒客服实施。
2. 没有我的助记词，钓鱼攻击也能盗走加密货币吗？
可以。恶意授权可能允许某个地址使用你的代币；你也可能受骗后亲自转出资金。被盗的密码和验证码也可能让骗子控制你的账户。
3. 双重身份验证能阻止钓鱼攻击吗？
不一定。根据 NCSC 的说法，传统的第二重验证信息可能被虚假登录页面实时转发；而通行密钥和安全密钥与真实网站绑定，因此能够抵御此类攻击。
4. 我怎么分辨假冒客服和真正的客服？
以太坊的指南指出，真正的工作人员绝不会通过私人、非官方渠道联系你，不会索要助记词或私钥，也不需要远程访问你的电脑。
5. 被盗的加密货币能追回吗？
通常不能。FTC 指出，加密货币付款通常无法撤销；以太坊的指南也警告称，声称只要你交出密钥就能帮你追回损失资金的人都是骗子。请向涉事服务方和当地执法部门报告情况。
