代币授权漏洞：骗子如何掏空Web3钱包

常见手法

• • 使用欺骗性dApp界面的钓鱼攻击：诈骗者创建镜像合法平台（OpenSea、Uniswap、Aave）的虚假去中心化应用，但将用户重定向到恶意智能合约，该合约请求代币授权而不是执行声称的功能。
• • 通过Discord/Telegram的社交工程：攻击者在Web3社区服务器中发布虚假链接，声称提供独家NFT空投、治理空投或收益农业机会，这些机会需要钱包连接和代币授权。
• • 被破坏的钱包浏览器扩展：恶意的Chrome或Firefox扩展伪装成MetaMask或钱包管理工具，在合法dApp交互中注入虚假授权请求，用户毫不知情。
• • 利用用户对授权机制的困惑：诈骗者利用大多数用户不了解交易授权（签署单个操作）和代币授权（授予无限制未来访问权限）之间差异的事实，在请求中嵌入真实的技术语言。
• • NFT稀有性钓鱼活动：攻击者创建虚假的NFT交易平台或启动板，提供稀有集合，要求用户批准代币来申领或竞价，然后在授权批准后立即掏空钱包。
• • 误导性UI/UX操纵：诈骗dApp显示模糊的交易描述（'确认交换'、'启用交易'），同时隐藏实际授权金额，通常在代码中设置无限制额度（type(uint256).max）。

如何识别

• 你被要求批准特定代币，但dApp声称提供无关服务（如要求批准你不拥有的治理代币的NFT铸造）。
• 授权请求显示异常高或'无限制'额度（在交易详情中显示为非常大的数字或MAX）。
• 交易URL或dApp域名与合法版本略有拼写错误（如'uniswapp.org'而非'uniswap.org'）。
• 你收到一个交易确认屏幕，该屏幕没有清楚说明你在批准什么，或与你想执行的操作不匹配。
• 你的钱包余额突然减少了你没有明确转移的代币，通常在检查钱包历史记录并看到你未发起的交易时才会注意到。
• 合法的dApp或钱包反复要求你重新批准相同的代币，这通常只有在额度被完全使用后才有必要。

如何保护自己

• 始终通过直接在浏览器中输入dApp域名来验证，而不是点击来自社交媒体、Discord或电子邮件的链接——使用Revoke.cash等区块链域名验证工具来仔细检查URL。
• 使用Revoke.cash或Etherscan的Approvals选项卡等代币授权监控服务定期审计钱包中的所有活跃代币授权，并撤销你不再使用的服务的权限。
• 仅批准单笔交易所需的具体金额而非无限制额度；大多数合法dApp允许用户输入自定义授权金额。
• 在签署任何交易前启用交易模拟工具，如Tenderly或Etherscan的Simulation功能，以准确查看将会发生什么（哪些代币将移动以及移动到哪里）。
• 将你未在积极交易的代币保存在独立的冷钱包中（如Ledger或Trezor等硬件钱包），这些钱包永远不连接到dApp，隔离对高价值资产的风险。
• 采用'分层钱包'策略：使用一个钱包承载少量资金用于dApp交互和测试，同时保持一个独立的安全钱包用于长期持有，降低来自被破坏地址的潜在损失。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。