虛假空投和贈送騙局：如何保護您的加密貨幣資金安全

假空投和加密貨幣贈送騙局之所以屢屢得逞，是因為它們模仿了某些合法行為：專案確實會分發代幣、獎勵早期用戶、開展社區活動並發布促銷訊息。因此，最穩健的做法並非對每項促銷活動都抱持懷疑，而是建立一套可重複的驗證流程，幫助你區分可信的優惠和可能洩露你的錢包、憑證或資金的詐騙請求。

一套完善的安全流程應該可以帶來三點結果。首先，你應該要能夠判斷某項交易是否可以透過官方管道進行獨立驗證。其次，在授權任何操作之前，你應該完全了解你的錢包被要求簽署或批准的內容。第三，如果已經出現問題，你應該知道如何妥善保管、記錄、撤銷和報告相關事項，同時避免使情況惡化。

虛假空投和贈送騙局試圖讓你做什麼

表面上的故事各不相同，但最終目的通常很簡單：誘使你發送加密貨幣、洩露恢復短語或私鑰、簽署有害訊息，或批准一個可以從你的錢包中轉移代幣的智能合約。

美國聯邦貿易委員會警告稱，詐騙分子經常利用免費資金、獎品或異常高額回報的承諾來製造緊迫感，並降低受害者的警覺性。該委員會還建議不要點擊來路不明的鏈接，並指出合法的獎品不應該要求您先匯款。請參閱聯邦貿易委員會關於加密貨幣詐騙以及虛假獎品和抽獎詐騙的指南。

在 Web3 中，請求可能比「向我們發送加密貨幣，我們會返還更多」更加隱密。虛假申領網站可能會要求您連接錢包並批准一筆看似普通的交易。 MetaMask 的官方文件解釋說，代幣授權可以授予去中心化應用程式代表您轉移指定代幣的權限，而惡意授權可能會要求過多的權限，甚至實際上是無限的存取權限。其安全指南指出，虛假空投是網路釣魚和惡意授權的常見誘餌。請參閱 MetaMask 關於代幣授權和Web3 安全性的說明。

成功的驗證過程應該證明什麼

不要以頁面美觀程度、社群媒體貼文回覆數量或是否出現熟悉的標誌來判斷空投項目的真偽。有效的驗證流程應該能夠提供可追溯到專案官方存在的證據。

1. 您無需使用廣告宣傳訊息即可獲得促銷訊息。

如果空投是真的，你應該能夠從你已經信任的來源入手：專案官網、文檔、已驗證的應用程序，或者你主動聯繫到的官方社交帳號。不要使用未經請求的私訊、回覆、廣告、搜尋廣告或轉發貼文中的連結作為領取頁面的唯一入口。

關鍵在於結果的可獨立復現性。如果推廣活動僅存在於陌生人提供的連結中，或者你無法透過官方管道找到任何匹配的公告，那就到此為止。

2. 網域名稱和聲明目標與專案的已驗證資訊相符。

詐騙網域可能會使用多餘的字詞、字母順序顛倒、誤導性的子網域或視覺上相似的字元。連接錢包前，請務必閱讀完整的主機名稱。一個頁面可以完美地複製品牌標識，同時從不相關的網域名稱或智慧合約發送錢包請求。

不要將掛鎖圖示或 HTTPS 標誌視為促銷活動真實性的證明。 HTTPS 僅表示連線已加密，不代表營運商值得信賴。

3. 從經濟角度來看，這是合理的。

真正的代幣分發可能需要支付網路交易費，具體取決於具體實施方式，但這與要求用戶轉帳加密貨幣來「解鎖」、「驗證」、「啟動」或「翻倍」獎勵截然不同。美國聯邦貿易委員會 (FTC) 特別警告，要求預先發送加密貨幣以獲得獎品或免費資金是詐騙的典型特徵。

一個有用的原則是詢問價值在每個方向上的變化量。如果所謂的贈送活動取決於你先向他人控制的地址匯款，那麼風險就不是一個無關緊要的技術細節，而是交易的核心。

閱讀錢包請求，而不是按鈕標籤。

最重要的時刻往往發生在點擊「領取」按鈕之後。網站上的按鈕可能顯示任何內容，而錢包確認頁面才是真正需要查看並確認授權資訊的地方。

請檢查請求是簡單的錢包連接、訊息簽名、代幣授權、NFT授權還是鏈上轉帳。這些操作並不等同。 MetaMask 指出，連接錢包與授予代幣權限不同：授權可以授權去中心化應用程式 (DApp) 或合約轉移代幣，而僅建立連線本身並不會自動賦予其此權限。

如果您無法用簡單的英語解釋請求內容，請不要立即簽署。正確的做法是不要猜測。關閉提示框，透過官方文件核實合約或申請，只有當請求的權限與您預期使用的功能相符時，才繼續操作。

應立即改變策略的危險訊號

有些訊號非常強烈，你應該停止互動，而不是浪費更多時間試圖讓對方的提議符合合理的解釋：

• 系統會要求您提供助記詞、秘密恢復短語、私鑰或錢包備份詞。
• 您必須先發送加密貨幣才能收到更多返還的加密貨幣。
• 此優惠僅透過主動發送的私訊、回覆或私人群組提供。
• 你會受到倒數計時、「最後機會」警告或威脅的壓力，你的配額將在幾分鐘內消失。
• 該網站要求提供的代幣授權與所申領的資產不符。
• 這筆津貼金額極大，而且沒有明確的理由。
• 該項目的官方網站和官方管道均未提及此事。
• 客服人員要求您將對話轉移到私人頻道並分享秘密或身分驗證資訊。

一個可疑跡象並不一定能證明有欺詐行為。例如，合法的去中心化應用程式也可能會要求代幣授權。判斷應取決於具體情況：應用程式是否真實，所要求的權限是否必要，以及您是否理解其範圍。品質評估的目標是基於證據的置信度，而非清單上的分數。

在你聲稱任何事情之前，就養成安全習慣。

使用專用錢包存放實驗性去中心化應用程式（DApp）和代幣，而不是暴露存放大部分資產的錢包。將長期持有的資產與用於測試新協議的帳戶分開。這並不能完全避免惡意合約帶來的損失，但可以減少因操作失誤而造成的損失。

此外，也要定期檢查代幣授權。 MetaMask 官方文件建議檢查現有授權並撤銷不再需要的權限。撤銷操作在支援的網路上是鏈上操作，通常需要支付網路費用，因此最好將其視為一種持續的錢包維護措施，而不是一種神奇的恢復機制。

將您常用的官方項目網站新增至收藏夾。對於高價值項目，請務必透過官方文件核實合約地址，而不要依賴名稱或代幣符號，因為這些資訊很容易被複製。如果某個推廣活動重要到值得您投入資金，那麼就應該從多個獨立的官方管道進行核實。

如果您已經連接、簽署、批准或發送了資金

您的回覆應取決於實際發生的情況。僅存取頁面與輸入恢復短語、授予授權或發送資產是不同的。

如果您已連接錢包但未簽署或批准任何內容

如果您不再信任該網站，請斷開其與錢包介面的連接，關閉該網站，並檢查是否有任何單獨的交易提交。僅連接通常不等於獲得代幣支出權限，但您應該檢查錢包活動，而不是想當然地認為什麼都沒發生。

如果您批准了可疑的令牌

使用您的錢包或網路支援的方法，查看並撤銷相關的授權。 MetaMask 的官方指南解釋了斷開 dApp 連接和撤銷智能合約授權之間的區別；斷開網站連接並不一定會取消鏈上代幣的批准。請參閱其關於撤銷智能合約授權和代幣批准的指南。

如果仍有大量資產面臨風險，請考慮將未受影響的資產轉移到一個全新的錢包中，該錢包的助記詞和私鑰從未洩露過。切勿重複使用可能已洩漏的助記詞。

如果你洩漏了助記詞或私鑰

將錢包視為被盜用。助記詞一旦被他人獲取，便無法再次保密。請使用可信任的軟體或硬體建立新的錢包，並在安全的情況下轉移剩餘資產。切勿依賴更改錢包密碼；本地密碼無法使被盜的助記詞或私鑰失效。

如果你把加密貨幣寄給了騙子

迅速採取行動，保存交易哈希值、收款人地址、螢幕截圖、訊息、用戶名、網站和時間戳記。如果使用了交易所、錢包提供者或相關服務，請聯絡他們。美國聯邦貿易委員會 (FTC) 建議受害者聯繫涉事加密貨幣公司，並將該交易舉報為詐欺交易，但加密貨幣轉帳可能難以甚至無法撤銷。

在美國，聯邦調查局（FBI）要求加密貨幣詐騙受害者向網路犯罪投訴中心（IC3）報告相關的交易細節。其指南強調了錢包地址、金額、日期和交易ID等信息，並警告人們警惕後續的「追回」詐騙。請參閱FBI的IC3加密貨幣報告指南。

如何判斷您的安全流程是否有效

目標不是提高點擊錢包提示的速度，而是減少基於緊迫感、品牌效應或社會認同所做的決定。當你能夠在採取不可逆轉的行動之前始終如一地回答以下問題時，你的流程就有效了：

• 我在哪裡獨立核實過這次空投或贈送活動的存在？
• 我造訪的網域是否完全正確？
• 這項簽名或交易將授權什麼？
• 涉及哪些代幣、合約、支出方和金額？
• 為什麼所述主張需要此項許可？
• 如果我的假設是錯的，我最多會損失多少錢？

如果您無法回答這些問題，請改變策略：停止操作，向官方管道核實訊息，減少已披露的金額，或乾脆放棄申領。錯過一次空投通常機會成本有限。但簽署惡意授權書或洩漏復原短語會帶來更大的風險。

任何反詐騙清單的局限性

沒有任何清單能夠保證智能合約、網站或專案絕對安全。合法網站可能被攻破，官方社群帳號可能被盜用，錢包介面可能被竄改，有些惡意交易對於非專業人士來說難以解讀。安全警告只是有用的提示，並不能取代對您所授權操作的理解。

對於不熟悉或金額較大的交易，請考慮等待專案官方團隊和安全社群的獨立確認，使用資金有限的獨立錢包，或在簽名前進行技術審查。最重要的習慣很簡單：將每次錢包簽名視為授權決策，而不是獲得獎勵所需的例行操作。