空投与钓鱼是同一枚硬币的两面：空投是山寨币生态最诱人的福利，也是钓鱼产业最密集的猎场。这篇讲清楚骗局的四种形态、背后同一个机制，以及一套组合防御。

30 秒要点

• 四形态：假领币网站、恶意空投 NFT、仿冒官方活动、私聊客服
• 机制只有一个：让你在假页面签名——授权或转账
• 组合防御：隔离钱包 + 逐字核域 + 授权自查，三件事缺一不可

一、四种常见形态

假领币网站：仿冒真项目的空投领取页，域名差一两个字母。你连接钱包、点「Claim」，实际签下的是授权或转账。

恶意空投 NFT：你的钱包里凭空出现一个陌生 NFT，附带「领取奖励」的链接。交互（挂单、转移）即触发恶意合约。

仿冒官方活动：X 上的高仿官方账号发布「纪念空投」，引导到高仿站点。认证标识可以购买，头像名字可以抄袭。

私聊客服：任何「活动恭喜您中奖」「账户异常需要验证」的私聊——正规平台与项目方从不私聊用户。

二、同一个机制：签名即风险

四种形态殊途同归：让你在假页面签名。签名的内容可能是无限授权（合约可随时清空对应代币）、setApprovalForAll（全部 NFT 权限）、或直接转账。理解了这个机制就明白：防御不靠「识别所有假页面」（永远识别不完），而靠即使签了也损失有限的资产结构。

三、组合防御三件套

1. 隔离钱包：交互用钱包只放可承受损失的资金，与存储钱包物理隔离。空投猎手的交互钱包尤其如此；
2. 逐字核域：每次连接与签名前核对地址栏（三步法见上一课）；
3. 授权自查：每次交互后、至少每月一次，到 revoke.cash 撤销异常授权。

再加一条纪律：不交互陌生空投。钱包里出现的陌生资产，忽略它；真金白银的空投不需要你先付任何东西。

四、一个自查练习

现在就打开 revoke.cash，连接你的交互钱包（只读操作），过一遍授权列表：额度无限的、日期很久的、项目不认识的三类标记出来。第一次做通常会吓自己一跳——这正是这个练习的意义。

风险提示

风险警示

风险警示：任何索要助记词、私钥、验证码的「官方人员」都是诈骗，无一例外。本文为安全科普，不构成投资建议。

来源与参考

• Ethereum.org：Security & scams · 访问于 2026-10-02
• Revoke.cash · 访问于 2026-10-02

更新日志

• 2026-10-02：首次发布。