案例：假 USDT 空投——钱包里"白捡的稳定币"是最贵的

发生了什么

大量用户钱包凭空出现数千枚”USDT”→点开代币详情看到”兑换官网”链接→进入假兑换页连接钱包→签名授权→真资产被清。

攻击方式

①部署与 USDT 同名同 Logo 的假合约；②向数万地址批量空投（成本极低）；③假币元数据内置钓鱼链接（钱包详情页可直接点击）；④用户以为是”白捡的稳定币”去”兑换”。

骗子如何建立信任

USDT 的品牌信任+天上掉馅饼的贪婪+钱包原生界面的”安全感”。三者叠加，用户完全不设防。

用户在哪一步被骗

点开假币详情的那一刻——不是贪婪被骗，是”查看一下总可以吧”的好奇心。链接就在钱包原生界面里，看起来”很安全”。

链上发生什么

假 USDT 合约由攻击者部署，他们可随意 mint——这个币不值钱。值钱的是真钱包里其他代币的授权：假兑换站的签名拿到的正是这些。

损失

“假 USDT”本身零损失（反正不值钱）。真正的损失来自后续签名：钱包内全部可动用代币。

如何提前发现

钱包出现陌生代币=收到钓鱼广告。处理方式三不：不交互、不尝试卖出、不点它的任何链接。直接在钱包里隐藏该资产。

应该如何处理

已交互并签名：revoke.cash 撤销 + 资产迁移新钱包。预防：真正有价值的空投不需要你做任何事就能收到——需要你”操作才能领取”的多半有问题。

来源

• Ethereum.org：Security · 访问于 2026-10-02
• MetaMask 官方安全中心 · 访问于 2026-10-02

更新日志

• 2026-10-02：首次发布。