案例：Wallet Drainer——钓鱼即服务的产业化

如果说单篇钓鱼教程讲的是「一次攻击」，Wallet Drainer 讲的是「一条产业」。它把盗币拆成了可以外包的环节：有人写工具、有人卖源码、有人买广告引流、有人负责把偷到的资产变现。Scam Sniffer 的年度报告给了这条产业一个量级：仅 2024 年，通过钓鱼网站签名盗窃的资金约 4.94 亿美元。理解它如何分工、如何获客，比记住任何一条「不要点链接」都更有用。

产业有多大：年报里的数字

按 Scam Sniffer 2024 年度报告：全年约 4.94 亿美元因钓鱼签名被盗，同比增长 67%；受害地址约 33.2 万个，仅增 3.7%——人数微增而金额大涨，意味着单次攻击在变贵。全年最大单笔 5548 万美元，手法是诱签 setOwner 失去 Proxy 所有权；百万美元以上的大案 30 起，合计约 1.71 亿美元。按链分布，以太坊主网在大额案件中占绝对主导（30 起中的 25 起、约 1.52 亿美元）。

2025 年的报告则显示回落：约 8385 万美元，同比下降 83%，受害人数约 10.6 万。但报告的原话值得逐字读：「old drainers exit, new ones emerge」（老 drainer 退出，新的补位）——2025 年还出现了利用 EIP-7702 批量签名的新攻击面（8 月两起大案、约 254 万美元）。大规模散户钓鱼之外，攻击在向更难统计的向量（私钥窃取、定向社工）扩散。

工具链如何分工

Wallet Drainer 的「服务化」体现在两个层面。

产品层：工具包提供从钓鱼页面、诱导签名到资产归集的一整套能力。签名诱导的主力是 Permit 类离线签名（效力与链上授权相同，见 EIP-2612），2024 年大额案件中 Permit 约占损失的 56.7%。有研究记录的 MS Drainer 甚至公开售卖源代码与增值模块——例如针对 Blur 的恶意签名模块需要额外付费购买——开发者化名也从 pakulichev 换成过 Phishlab。

家族层：2024 年上半年 Angel、Pink、Inferno 三分天下（约占 42%、28%、22%）；Pink 于 5 月退出，份额被 Inferno 吸收；Inferno 又在 10 月宣称退出——然后新玩家补位。市场份额的起落像正常的商业竞争，唯一的「产品」目标是清空用户钱包。

获客：广告、假空投与假代币

工具再好也需要流量。年报记录的渠道包括：入侵项目官方 Discord/X 发假公告、过期 Discord 链接被接管、私信群发，以及——最值得警惕的——直接购买 Google、X、Telegram 的广告。

Scam Sniffer 对 MS Drainer 的专题研究还原了广告路径：先在 Google 搜索广告投放仿冒项目页面（伪造 Radiant 的广告相关损失约 400 万美元），后转向 X 信息流广告（「Ordinals Bubbles」系列，抽样 9 条钓鱼广告中 6 条同源）；配合按地区定向的 cloaking——审核人员和普通访客看到正常页面，特定地区的目标用户才看到钓鱼页。约 9 个月里，这一条链路涉及约 10,072 个钓鱼站、63,210 名受害者、约 5898 万美元损失。

假空投/假 Claim 页是其中标准件：以「领取空投」为由诱导连接钱包、签署 Permit 或其他恶意签名。而它的姊妹件就是假代币空投——你钱包里凭空出现的同名「USDT」。按 Revoke.cash 的记录，骗子部署与热门代币同名的假合约并向你的地址转账，制造「白捡钱」的错觉；这些代币本身不值钱，价值在于把你引向钓鱼页去「兑换」或「领取」。二者是同一条获客漏斗：假代币制造好奇，假 Claim 页收割签名。

攻防在升级：一个例子

2024 年 3 月，Scam Sniffer 与慢雾联合披露了一处绕过钱包安全告警的手法：把 EIP-712 签名里的 verifyingContract 以十进制数字而非 0x 开头地址传入——钱包编码时会把它归一化成正确的合约地址（签名有效），但界面显示与安全插件的告警逻辑没有同步处理数字格式，结果用户看到一串不可读的数字、告警失效。这不是理论：当时它关联着盗取「数千万美元」的 Pink Drainer。攻击者研究钱包实现细节的程度，可见一斑。

常见错误

• 把假代币当资产处理：尝试「卖出」或「兑换」正是钓鱼页想要的行为。正确动作是三不：不交互、不卖出、不点它任何链接，然后在钱包里隐藏该资产。
• 把广告当官方：搜索结果第一条、信息流里的「官方」广告都可能是买来的。项目入口用收藏夹或经多方核验的域名。
• 只防页面不防签名：域名对、页面真，签名内容仍可能是恶意（参考数值地址绕过）。签名前读内容——spender、金额、函数名——是最后也是最难被绕过的一道。
• 以为 drainer 只骗小白：2024 年 30 起百万美元级大案合计约 1.71 亿美元，受害者包括重度用户。资产规模越大，越需要隔离钱包与最小授权。

风险提示

本文数字均转述自 Scam Sniffer 年度报告与专题研究（访问日期见来源），统计口径限于「通过钓鱼网站签名盗窃」，不覆盖私钥窃取、交易所失窃等向量；比例与金额随年度更新。本文不构成投资建议，也不指向任何具体产品或服务。