智能合约社交工程诈骗

常见手法

• • 制作与合法DeFi平台（如Uniswap或OpenSea）几乎一模一样的仿冒网站，盗用品牌标识并使用极其相似的网址（例如将“uniswap.org”伪装成“uniswap-swap.net”），并在界面中嵌入恶意智能合约代码。
• • 通过Discord或Telegram发送针对性消息，冒充项目管理员，提供独家代币配额或预售抢先体验，要求通过伪造的dApp连接钱包，自动触发合约授权签名。
• • 生成AI制作的YouTube视频或Twitter空间，使用深度伪造的加密货币影响者形象，推广虚假的收益耕作策略，宣称年化收益率超过500%，并在几分钟内引导观众访问诈骗合约。
• • 利用蜜罐合约，在测试交易中显示小额盈利（10至50美元）以建立信任，诱使受害者签署实际的资金抽取合约，利用受害者已验证机会的心理。
• • 在看似合法的NFT铸造页面中嵌入恶意合约代码，用户授权代币支出限额（通常设为无限），误以为只是在支付矿工费，数周后钱包资金被抽干。
• • 通过反向社交工程手段，入侵合法项目的社交媒体账号，发布提现或代币兑换公告，附带诈骗合约链接，借助社区既有信任实施诈骗。

如何识别

• 连接的钱包出现你未发起的交易，或收到你不记得授权的代币批准通知，表明已执行含有隐藏资金抽取功能的合约。
• 通过未经请求的消息收到所谓项目经理发来的“新机会”，声称提供绕过官方渠道（如官网）的独家访问权限。
• 网站URL存在轻微拼写错误，或使用与官方项目不同的域名后缀（如.net替代.org），或在不寻常位置包含连字符等。
• 在Etherscan等区块链浏览器查看合约时，发现源码未验证，或合约功能包含可疑权限，如“transferFrom”带无限额度，尽管声称仅支持代币交换。
• 机会承诺的收益率数学上不可能或远超市场水平（年化收益率400%以上），并伴有极端时间压力，称优惠仅限数小时内有效。
• 在授权你认为无害的合约交互后，钱包余额出现异常减少，区块链记录显示代币转账至陌生钱包地址。

如何保护自己

• 始终通过直接输入完整官方网址或使用书签访问DeFi平台，切勿点击社交媒体、邮件或消息中的链接，无论来源多么可信。
• 在连接钱包到任何dApp或签署合约交互前，先在Etherscan或PolygonScan查看合约地址，确认与官方项目文档一致，并检查源码是否存在向未知地址转账的行为。
• 使用Revoke.cash或Etherscan的代币授权页面等工具，将代币支出权限限制为特定金额或交易次数，避免授予无限权限。
• 创建专门用于DeFi交互的独立加密钱包，资金有限，将大部分资产存放在安全的硬件钱包或专用存储钱包中，避免连接dApp。
• 启用MetaMask安全功能或Tenderly等独立服务提供的交易模拟工具，预览智能合约执行内容，警惕未经授权的代币转移。
• 通过官方渠道（官网、带蓝标的认证Twitter账号、官方Discord/Telegram）核实重大公告，采取行动前在CertiK或Trail of Bits等独立区块链安全网站交叉验证。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。