如何保護您的 Web3 錢包免受 Drainer 網路釣魚和惡意授權攻擊

即使攻擊者從未得知您的助記詞，Web3 錢包中的資金也可能被盜空。這正是現代網路釣魚令人不安之處：假網站可能輕易誘騙您授權攻擊者轉移您錢包中已有的資產。授權或簽名過程可能看起來十分普通，尤其當頁面模仿您熟悉的協議、空投、鑄幣、支援入口網站或代幣認領頁面時更是如此。

本指南已於 2026 年 9 月 16 日對照官方錢包、協議和以太坊標準文件進行核對。由於不同錢包、網路和應用程式的警告畫面和安全功能各不相同，因此本指南的目的並非讓您記住某個介面，而是讓您在批准請求之前了解其授權範圍。

首先，要了解一個真正會掏空錢包的東西需要什麼。

「竊取器」並非指單一的智慧合約功能。實際上，網路釣魚活動可以嘗試獲取多種不同的權限：ERC-20 代幣授權、NFT 運營商批准、簽名許可、直接轉帳交易，或者——在最嚴重的情況下——用戶的秘密恢復短語或私鑰。

風險取決於授權內容。 ERC-20 授權通常適用於特定的代幣合約和支出者，而 ERC-721setApprovalForAll授權則允許業者管理所有者持有的所有 NFT。以太坊 ERC-721 規格明確定義setApprovalForAll了啟用或停用營運商對該 NFT 合約中所有呼叫者資產的權限。請閱讀 ERC-721 規格。

操作：當錢包要求您批准支出、操作員或簽名時，請將其視為授權決定，而不是無害的「登入」步驟。

筆記型電腦螢幕上顯示一個可疑的錢包連接警告，旁邊是一個陌生的網站地址。 — 首先要檢查網域名稱：如果地址不熟悉或看起來很像，則在批准任何錢包請求之前，互動應該立即停止。

迷思一：“連接我的錢包就會讓網站拿走我的錢”

已驗證：連接錢包並授予應用程式存取您公鑰地址的權限與授予代幣授權並不相同。 MetaMask 的官方文件明確區分了這一點：斷開 dapp 連接會移除連接，而撤銷授權則會移除智能合約存取和轉移該授權所涵蓋代幣的能力。請參閱 MetaMask 的授權撤銷指南。

上下文很重要：連接成功後，網站仍可能彈出交易或簽名請求。危險的步驟往往發生在初始連接之後，因此，只有當您確實沒有簽署或批准任何其他內容時，「我只是連接了」的說法才是安全的。

操作：如果您連接到可疑網站，但拒絕了所有交易和簽名，請立即斷開連接。然後查看您錢包的近期活動和授權記錄，而不是想當然地認為資金是連接本身轉移的。

迷思二：“如果我斷開 dapp 的連接，就等於撤銷了對其代幣的授權”

已驗證：此說法錯誤。代幣授權是鏈上授權。中斷網站會話不會自動清除該區塊鏈狀態。 MetaMask 指出，撤銷本身也是鏈上交易，因此通常需要網路 gas。 MetaMask在此解釋了其中的差異。

這在網路釣魚之後很重要，因為受害者可能會關閉瀏覽器，斷開 dapp 連接，並認為危險已經過去，而先前獲得批准的支出者仍然保留著權限。

操作：如果您批准了您不再信任的支出者，請使用錢包中的批准管理功能或相關網路瀏覽器提供的官方批准檢查器，並提交鏈上撤銷。

手機錢包螢幕上會顯示一個無限代幣支出的請求，並附有醒目的警告以及拒絕或批准按鈕。 — 無限額支出請求需要仔細審核：批准前請檢查代幣、支出者、網路和請求金額。

縮小ERC-20認證的爆炸半徑

ERC-20 授權之所以有用，是因為去中心化交易所或其他合約可能需要授權才能代表您轉移代幣。授權本身並非惡意。問題在於其範圍。如果您授予的授權額度非常大或無限制，而支出者心懷惡意——或者某個受信任的合約之後被利用——那麼風險金額可能遠遠超過您預期的交易金額。

MetaMask 目前允許使用者為支援的審批流程設定自訂消費上限。其安全文件建議檢查去中心化應用程式 (DApp) 的請求內容，並在必要時限制存取權限。請參閱 MetaMask 的消費上限指南。

操作：當錢包提供自訂限額時，僅批准當前操作合理所需的金額。如果網站要求為一次性兌換或提現提供無限額存取權限，請停止操作並核實原因。

即使沒有收到瓦斯費帳單，也不要忽視已簽署的許可證。

已驗證：並非所有授權都始於普通的鏈上核准交易。 ERC-2612 引入了授權機制permit，允許透過簽署訊息設定 ERC-20 授權額度。該標準規定，有效的簽名可以將所有者的授權額度設定為指定值和截止日期。閱讀 ERC-2612。

這意味著“此簽名不消耗 gas”並不能證明其無害。簽名可以承載授權，而另一方隨後可以在鏈上提交該授權。特定簽名是否能夠轉移資產取決於具體的標準、合約、欄位以及下游執行情況。

操作：讀取錢包顯示的結構化資料。特別注意支出者、代幣、價值、截止日期、鏈和合約域。拒絕無法用簡單語言解釋的請求。

一台硬體錢包放在筆記型電腦旁邊，說明簽章金鑰與瀏覽器環境是分離的。 — 硬體錢包可以隔離私鑰材料，但如果用戶故意確認惡意授權，它無法保證其安全性。

迷思三：“硬體錢包會自動保護我免受盜刷者的侵害”

部分正確，但並不全面：硬體錢包可以保護私鑰不被瀏覽器或普通惡意軟體直接獲取，這固然重要。但網路釣魚攻擊往往針對使用者的授權決策。如果設備顯示惡意交易或授權訊息，而用戶確認了，硬體錢包並不會神奇地使授權失效。

當設備允許使用者在可信任螢幕上驗證重要的交易詳情時，其實際優勢最為顯著。而當請求不透明或使用者確認了自己不理解的內容時，安全性則會降低。

措施：對於高價值資產，請使用硬體錢包，但仍需在簽名設備上驗證目標位址、合約、金額、網路和權限。切勿將硬體錢包的存在視為盲目簽名的許可。

密切注意NFT業者的審批情況

對於 NFT 而言，這個短語setApprovalForAll值得特別關注。根據 ERC-721 標準，將某位業者設定為「已核准」狀態，即可允許該業者管理您擁有的該合約中的所有 NFT。這比批准單一 NFT ID 的範圍更廣。以太坊標準本身就區分了單一代幣的批准和運營商範圍內的批准。請參閱 ERC-721 批准功能。

這並不意味著每個setApprovalForAll請求都是惡意的；NFT交易平台可能確實需要運營商的權限。關鍵在於營運商和使用場景是否符合你的預期。

行動：如果您只是想領取空投或登入網站，那麼意外提出的 NFT 範圍操作員控制請求應被視為一個重大警告信號。

筆記本上顯示著一份 Web3 安全檢查清單，涵蓋 URL 驗證、審批審查、硬體錢包、恢復短語和可疑連結。 — 當釣魚頁面旨在製造緊迫感或 FOMO（害怕錯過）時，可重複使用的檢查清單比直覺更可靠。

在確認交易之前，請先驗證網站。

釣魚詐騙之所以屢屢得逞，是因為假網站與真實網站極為相似。付費搜尋結果、社群媒體回覆、私訊、假客服帳號或複製的前端頁面都可能將用戶引導至另一個域名，該域名會彈出極具誘惑力的錢包提示。

錢包安全系統可以提供幫助，但並非萬無一失。例如，WalletConnect 的 Verify API 可以告知參與的錢包某個網域是否已驗證、不符、未知或標記為惡意網域。 WalletConnect 明確警告，此檢測並非「萬無一失」。請參閱 WalletConnect 的 Verify API 文件。

MetaMask 也同樣將其安全警報描述為資訊訊號而非保證，並指出合法網站可能並非總是帶有已驗證的識別。請參閱 MetaMask 安全警報。

行動：透過您從獨立驗證的官方來源創建的書籤訪問重要的去中心化應用程式（DApp）。不要依賴第一個搜尋結果、短連結或未經請求的私訊中提供的網址。

行動 Web3 錢包顯示多種加密資產，代表每次互動都使用同一個錢包時所暴露的價值。 — 將日常 dapp 活動與長期持有分開，可以減少當一個錢包簽署錯誤請求時所面臨的風險。

將你的「金庫」與你的「去中心化應用程式」錢包分開。

這是一種風險管理技巧，而非協議規則。用於嘗試新發行的代幣、領取代幣、玩遊戲以及使用不熟悉的去中心化應用（DApp）的錢包，其交互範圍比僅用於持有長期資產的地址要大得多。

隔離並不能完全杜絕網路釣魚，在錢包之間轉移資產也會帶來額外的操作負擔。但它可以限制因誤操作而造成的損失，因為互動錢包並不持有您的大部分資產。

行動：考慮將長期或高價值資產存放在很少連接到 dapp 的錢包中，同時使用餘額故意受限的單獨錢包進行風險更高的 Web3 活動。

迷思四：“經過驗證或未被標記的網站一定安全”

未經驗證：沒有警告並不代表安全。威脅資料庫可能滯後於新創建的釣魚域名，即使是合法的應用程序，其前端也可能已被攻破，合約也可能存在漏洞。 WalletConnect 對無法驗證的網域使用明確的「未知」狀態，其文件也指出，其驗證層並非萬無一失。

措施：將安全警告視為一個獨立的層面。分別檢查網域、預期契約、請求的權限，以及該操作是否符合您的預期目標。

安全面板重點介紹如何避免點擊釣魚連結和查看錢包授權資訊。 — 兩項獨立的檢查至關重要：驗證請求的來源，然後驗證請求授予的權限。

在舊審批成為明天的問題之前，對其進行審核。

即使您停止使用去中心化應用程式 (dApp)，授權仍然可能保持有效。 MetaMask 建議您定期檢查代幣授權，並撤銷不再需要的權限。由於撤銷操作會改變鏈上狀態，因此通常會產生 gas 費用。請參閱官方撤銷指南。

審計頻率取決於您使用去中心化應用程式（DApp）的頻率以及錢包中的餘額。沒有放諸四海皆準的審計時間表。

操作：設定定期日曆提醒（例如，如果您是活躍的 DeFi 用戶，則每月一次），以便查看您實際使用的鏈上的支出者、限額大小、NFT 運營商和舊 dapp 權限。

Web3 安全展示強調硬體錢包的使用以及去中心化應用程式和合約的驗證。 — 審查合約和權限是錢包日常維護的一部分，而不是一次性的設定步驟。

如果你簽署了可疑文件，請確定你受到了哪些損害。

不要對所有事件都立即採用相同的解決方法。應對措施取決於具體情況。

發生了什麼事	這可能意味著什麼	立即優先
您僅連接到一個網站	網站獲取了您的公共地址並建立了會話，但這本身並不構成令牌授權。	斷開連接並審查活動；不要簽署後續請求
您已批准 ERC-20 支出	指定的支出人或許能夠轉移已批准數量的該代幣。	立即撤銷該項授權
您已批准一位 NFT 營運商	營運商或許能夠轉移受該收藏批准涵蓋的NFT。	撤銷運營商批准
您簽署了許可證或其他正式授權書。	根據簽名內容，該簽章可能授權後續的鏈上操作。	確定究竟簽署了哪些文件，並儘可能撤銷或轉移受影響的資產。
你洩漏了你的助記詞/私鑰	錢包密鑰本身已被洩露。	使用新的助記詞創建新錢包並遷移資產

MetaMask 的官方事件回應指南指出，當金鑰恢復短語洩露時，用戶應創建一個新的錢包並分配新的恢復短語，轉移剩餘資產，並停止使用與洩漏短語關聯的帳戶。指南還警告稱，區塊鏈交易通常是不可逆的。請參閱 MetaMask 的帳戶被盜或被詐騙應對指南。

措施：如果助記詞或私鑰洩露，僅撤銷授權是不夠的。簽名權限本身也必須被視為已外洩。

切勿輸入恢復短語來「修復」審核問題。

秘密恢復短語是由此衍生帳戶的主憑證。 MetaMask 的官方文件指出，任何獲得此短語的人都可以控制錢包。合法的授權管理不需要在隨機網站上輸入恢復短語。請參閱 MetaMask 的復原短語安全指南。

行動：請將此短語離線且私密地保存。如果網站、客服人員、表單、機器人或「恢復服務」要求您提供此短語，請立即停止。

Web3 安全畫面建議啟用額外的保護措施，例如警報和更強大的帳戶控制。 — 安全警報和更強大的帳戶控制增加了有用的保障，但它們與嚴格的審批審查和錢包隔離配合使用效果最佳。

一份實用的簽約前檢查清單

網域：這是否正是您想要造訪的官方網域？
原因：您要求的權限對於您發起的操作是否合理？
網路：請求是否在預期的鏈上？
合約方或付款方：收貨地址或授權地址是否與預期地址一致？
範圍：是固定金額、無限額度、單一 NFT，還是營運商對整個系列的批准？
簽章域：如果是類型化數據，你能辨識出令牌、支出者、值、截止日期和網域嗎？
錢包風險：此錢包中的價值是否超過了您願意在此次互動中暴露的價值？
警告信號：錢包是否報告惡意、不匹配、未知或其他可疑的域名或交易？

如果其中一項檢查失敗，拒絕請求通常比事後追回資產更划算。

如何自我檢查你的防禦措施是否有效

您無需等到遭受攻擊才測試您的設定。請確認您的瀏覽器書籤指向正確的去中心化應用程式（DApp）網域。開啟錢包的核准管理工具，確認您已辨識出活躍的消費者。檢查您的高價值錢包是否仍與日常 DApp 實驗隔離。確認您的助記詞未儲存在電子郵件、雲端筆記、螢幕截圖、聊天記錄或網站密碼管理器欄位中。如果您的錢包提供安全警告功能，請確保已啟用這些警告。

然後測試一下你自己的決策過程：在簽署下一個真正的 Web3 請求之前，大聲解釋一下該要求授權了什麼。如果你無法用一句話描述其影響，那就拒絕該請求，先進行調查。

結論

大多數竊取型網路釣魚攻擊之所以能夠得逞，是因為它們將合法的 Web3 功能（例如授權、操作員權限、簽名或交易）轉化為社會工程攻擊的武器。最佳防禦措施並非單一的擴展程序、硬體設備或威脅列表，而是一個分層防禦的過程：驗證網站、了解授權機制、盡可能縮小授權範圍、將有價值的數據與風險交互區分開來、審查舊的授權信息，並了解惡意授權和完全被攻破的恢復短語之間的區別。

安全工具可以降低風險，但沒有任何工具可以保證惡意簽章請求絕對無害。在安全防護中，最終確認往往是安全的第一道防線。務必確保確認過程緩慢、具體且謹慎。