DeFi 钱包诈骗

什么是 DeFi 钱包诈骗？

DeFi 钱包诈骗是指诱骗加密货币用户泄露钱包机密、签署有害消息、批准恶意智能合约，或将资产转给攻击者的欺诈手段。

这类诈骗的目标通常是使用自托管钱包与去中心化金融应用、代币、流动性池、借贷协议、质押系统、跨链桥及其他区块链服务交互的用户。

诈骗者并非总是需要受害者的助记词才能盗取加密货币。

恶意代币授权、Permit 签名、账户委托或普通区块链交易，都可能授予攻击者足够的权限来转移有价值的资产。

一些 DeFi 钱包诈骗会利用虚假网站、应用、浏览器扩展、客服账号、空投、广告、社交媒体帖子或私信。

另一些则会利用恶意软件、被入侵的网站、欺骗性智能合约、地址投毒，或被篡改的交易界面。

Ethereum 安全与防诈骗指南提醒用户警惕网络钓鱼、虚假赠品、冒充身份、恶意钱包请求及其他常见加密货币威胁。

DeFi 钱包诈骗尤其危险，因为已确认的区块链转账通常难以撤销，普通用户甚至可能完全无法撤销。

自托管让钱包所有者直接掌控资产，但也意味着所有者有责任保护密钥并审核交易。

DeFi 钱包的工作原理

DeFi 钱包会存储或管理加密密钥，用于授权区块链账户执行操作。

加密货币通常记录在区块链上，而不是存储在钱包应用内。

钱包使用用户的私钥生成数字签名。

有效签名可以授权转账、智能合约交互、代币授权、治理投票、订单、账户委托或其他操作。

用户可以分享公开钱包地址，让其他人和应用知道应向何处发送资产。

私钥和助记词必须保密，因为任何一项都可能让他人控制账户。

钱包应用可以显示拟议交易，但区块链实际执行的是已签署的编码指令。

欺骗性界面可能把操作描述为登录或验证，但编码请求实际授予的权限可能具有很高价值。

DeFi 钱包用户为何会成为攻击目标

DeFi 钱包可以在同一个账户中持有加密货币、价值相对稳定的资产、流动性仓位、质押代币、治理权和数字藏品。

因此，一旦钱包被成功入侵，攻击者可能同时获取多种资产的控制权。

区块链地址是公开的，犯罪分子可以据此识别余额较高的账户。

DeFi 用户还经常与不熟悉的网站和智能合约交互，这为欺骗性签名请求创造了机会。

新协议可能要求用户批准代币授权并执行复杂交易，新手往往难以理解这些操作。

诈骗者利用紧迫感、贪婪、恐惧、好奇心和困惑，而不是直接破解区块链加密技术。

受害者可能误以为钱包应用显示的所有请求都是安全的。

钱包会确认用户授权的操作，但未必能判断用户的决定是否明智，也未必能确认网站是否诚信。

助记词钓鱼

助记词钓鱼诈骗会诱骗受害者在虚假网站、应用、表单或客服对话中输入钱包恢复助记词。

恢复助记词通常可以重新生成该钱包派生出的所有账户。

诈骗者一旦获得助记词，就可能导入钱包并在未经进一步许可的情况下转移资产。

常见借口包括钱包验证、同步、迁移、安全检查、空投资格、身份认证和交易修复。

正规的去中心化应用不需要恢复助记词即可连接钱包。

只有在钱包所有者主动发起可信的钱包恢复流程时，才应输入恢复信息。

绝不要通过陌生人、广告、私信、电子邮件或客服账号发送的链接输入助记词。

私钥盗窃

私钥可直接控制一个区块链账户或与之相关的一组账户功能。

虚假客服代表可能会要求用户导出私钥，以诊断交易失败的原因。

恶意软件可能会搜索浏览器存储、屏幕截图、剪贴板数据、文本文件和云备份中的私钥。

绝不要为了领取代币或修复钱包而将私钥粘贴到网站中。

任何获得私钥的人通常都可以像账户所有者一样签署交易。

更改钱包密码不会使已经泄露的区块链私钥失效。

应将剩余资产转移到使用未泄露密钥材料生成的新钱包中。

虚假 DeFi 网站

虚假 DeFi 网站会仿冒正规应用的名称、设计、代币符号和界面。

域名中可能多出一个字母、替换某个字符、加入误导性子域名，或使用不同的域名后缀。

用户可能通过搜索广告、社交媒体回复、赞助帖子、被入侵的账号，或声称必须立即迁移的消息访问这些网站。

连接钱包并不总会导致资产转移，但网站可能会立即请求有害签名或授权。

用户应通过已验证的书签，或经官方文档确认的链接访问应用。

应检查完整域名，而不只是页面设计或徽标。

锁形图标表示与显示域名之间的连接已加密，并不能证明该域名合法。

虚假钱包应用和浏览器扩展

欺诈性钱包应用可能会仿冒正规的自托管钱包，同时暗中将恢复助记词发送给攻击者。

虚假浏览器扩展可能会替换交易详情、监控密码、注入欺骗性弹窗，或窃取存储在浏览器中的密钥。

应用应仅从官方发布者的已验证页面，或发布者链接到的可信应用商店页面下载。

用户应检查开发者名称、下载记录、权限、发布日期、评论和官方链接。

高评分不能证明应用安全，因为评论可能是购买或复制来的。

收到要求通过消息重新安装或更新钱包的意外请求时，应视为可疑信息。

虚假客服诈骗

DeFi 协议通常不会主动私信那些公开发布问题的用户。

诈骗者会监控公开讨论，并迅速冒充管理员、开发者、版主、安全团队和钱包客服人员。

冒充者可能会索要恢复助记词、要求共享屏幕、远程访问、支付验证费用，或连接到修复网站。

正规的客服人员无需私钥或助记词即可查看公开交易。

声称必须把资金转入由客服控制的“安全钱包”的人，实际上是在试图控制这些资产。

用户应通过项目已验证的官方文档自行进入客服渠道，不要通过回复或未经请求的消息联系支持人员。

钱包盗币程序

钱包盗币程序是一种恶意代码或基础设施，旨在识别有价值的资产并获取转移资产的权限。

盗币程序可能会请求多次签名，或在一次欺骗性操作中同时涉及多种资产。

其目标可能包括同质化代币、质押仓位、流动性代币、数字藏品和原生加密货币。

复杂的盗币程序可以读取受害者公开的钱包余额，再选择价值最高的资产下手。

有些盗币程序会延迟盗取资产，让受害者无法立即将损失与恶意签名联系起来。

断开钱包与网站的连接，并不一定会撤销已经记录在链上的授权。

Ethereum 举报诈骗指南说明，恶意授权可能让代币被持续盗取，直到相关权限被撤销为止。

恶意代币授权

代币授权允许智能合约或地址支用用户一定数量的代币。

去中心化交易、借贷、流动性和质押应用通常需要此类授权。

根据ERC-20 代币标准，所有者可以设置额度，允许支出方代表所有者转移代币。

即使预期操作只需要少量代币，恶意应用也可能请求无限额度。

授权本身可能不会立即转移代币。

获得授权的支出方之后仍可使用该权限，包括在用户已经忘记这次交互之后。

Ethereum 的《万亿美元安全报告》指出，没有有效期的无限授权可能让用户在应用或前端遭到恶意攻击或入侵时面临风险。

无限授权诈骗

无限授权允许支出方使用钱包中某种代币当前及未来的全部余额。

用户可能在余额很少时批准授权，之后再存入更多代币。

如果授权仍然有效，被入侵的合约就可以转走之后收到的代币。

如果应用和钱包支持，用户应将授权额度限制在所需金额内。

应检查不再需要的旧授权并将其撤销。

撤销授权是一笔区块链交易，通常需要支付网络手续费。

如果恢复助记词或私钥已经泄露，仅撤销代币授权并不能保护钱包。

Permit 签名诈骗

Permit 签名可以通过链下签名消息更改代币额度，无需另行提交授权交易。

ERC-2612 Permit 标准允许通过签名消息修改 ERC-20 额度。

诈骗者可能会把签名描述成登录、免费领取、账户验证或免 Gas 连接。

之后，其他方可以将该签名提交到区块链。

因此，权限创建时，受害者可能看不到即时的链上交易。

批准 Permit 请求前，用户应检查代币、支出方、许可额度、截止时间和网络。

无需支付网络手续费的消息，仍可能授权他人盗取有价值的资产。

盲签诈骗

盲签是指用户批准编码数据，却不了解这些数据代表的操作。

钱包可能会显示一串很长的十六进制消息或含义不清的合约函数。

用户可能因为网站声称该请求用于证明钱包所有权而签名。

但该签名实际可能授权转账、订单、代币授权或账户级权限。

结构化签名标准可以提高可读性，但欺骗性界面仍可能给出误导性说明。

ERC-7730 清晰签名格式旨在改善交易信息的可读性，并降低前端和网络钓鱼风险。

如果用户无法确信自己理解某项签名的后果，就应拒绝签名。

恶意交易模拟

有些钱包会模拟交易，并在用户确认前显示预计的余额变化。

模拟可能揭示可疑的转账、授权或合约调用。

这是一种安全辅助工具，而非安全保证。

如果合约的行为取决于时间、区块链状态、外部调用或后续交易，模拟结果可能不完整。

恶意网站也可能显示与钱包实际交易不符的虚假预览。

用户应阅读钱包的确认页面，而不能只相信网站的说明。

EIP-7702 账户委托诈骗

Ethereum 的现代账户委托功能可以让外部拥有账户使用智能合约代码实现高级钱包功能。

这可以支持交易批处理、费用代付、恢复系统和可编程权限等实用功能。

但如果用户将账户委托给恶意代码，也会面临严重的网络钓鱼风险。

当前的Ethereum EIP-7702 安全指南警告称，委托后智能合约可能完全控制资产。

恶意委托可能赋予比普通代币授权更广泛的控制权。

用户应检查委托目标，并了解权限适用于单个网络还是多个网络。

除非明确了解委托行为，否则不要签署要求升级、激活、修复或增强钱包的请求。

地址投毒诈骗

地址投毒会试图将攻击者控制的地址放入受害者的交易记录中。

攻击者会创建一个地址，使其开头或结尾字符与受害者经常使用的地址相同。

随后，攻击者向受害者的账户发送小额或零金额交易。

之后，受害者可能从交易记录中复制看起来相似的地址，并将加密货币发送给攻击者。

只核对地址开头和结尾的 4 个字符并不足以防范此类攻击。

每次进行重要转账前，都应通过可信来源核对完整的收款地址。

如果地址簿和白名单最初的录入流程安全，使用它们可以降低风险。

剪贴板替换恶意软件

剪贴板恶意软件会监控复制的加密货币地址，并将其替换为攻击者的地址。

替换后的地址可能与原地址十分相似，不易立即察觉。

之后，用户会签署一笔有效但收款方错误的转账。

如果用户没有对比可信设备显示的地址，即使使用硬件签名设备，也可能批准这笔盗币交易。

粘贴地址后、签名前，应检查完整的收款地址和转账金额。

先进行小额测试转账可以减少地址错误造成的损失，但正式转账仍需单独核对。

信息窃取恶意软件

信息窃取恶意软件可以收集钱包文件、浏览器数据、密码、会话 Cookie、剪贴板内容、屏幕截图和恢复助记词。

CISA 在 2025 年报告称，LummaC2 信息窃取程序被用于窃取凭据和加密货币钱包信息。

CISA 的 LummaC2 公告建议采取软件更新、多重身份验证、应用程序控制和终端监控等措施。

钱包用户不应安装聊天群中发送的未知交易工具、代币领取程序、浏览器脚本、破解软件或附件。

即使钱包应用本身干净，也无法保护已被感染的操作系统中泄露的机密。

条件允许时，应将大额资产签名操作与日常浏览和软件安装分开。

二维码诈骗

恶意二维码可能编码了攻击者的钱包地址、钓鱼网站、连接请求或交易指令。

这类二维码可能出现在虚假客服消息、代币赠品、发票、活动海报或视频直播中。

扫码并不能证明其指向的目标是安全的。

批准前，钱包或浏览器应显示解码后的域名、地址、网络和请求操作。

声称用于验证钱包，却要求转账或授权代币的二维码应予以拒绝。

虚假空投诈骗

虚假空投会承诺免费代币，诱骗用户访问网站或签署交易。

网站可能要求无限代币授权、Permit 签名、账户委托或直接转账。

诈骗者可能向钱包发送毫无价值的代币，其名称中包含恶意网站地址。

收到未知代币，并不意味着所有者需要访问其网站或与其合约交互。

不要仅因陌生资产出现在钱包中，就批准、兑换或领取该资产。

即使是真实空投，也可能带来税务、隐私和智能合约风险。

恶意 NFT 和代币垃圾信息

未知代币和数字藏品的名称或元数据可能会引导用户访问欺诈网站。

用户尝试出售、领取、解锁或兑换之前，资产本身可能并无危害。

之后，相关网站会要求用户执行有害交易或签名。

钱包用户应隐藏或忽略未经请求的资产，而不是遵循其中的指示。

显示的市场价值可能通过操纵流动性或误导性元数据伪造。

蜜罐代币诈骗

蜜罐代币允许用户买入资产，却会阻止普通持有者成功卖出。

合约可能限制转账、收取极高的卖出税、屏蔽特定地址，或只允许获批账户卖出。

即使显示的价格并非买家实际可获得的价格，价格上涨图表仍可能吸引买家。

交易模拟、已验证代码、持有者活动、流动性状况和小额测试交易都可能提供有用的警示信息。

任何单一自动检测工具都无法保证代币安全。

虚假流动性和收益诈骗

欺诈性 DeFi 应用可能宣传异常高的质押、借贷、收益耕作或流动性奖励。

用户将加密货币存入由诈骗者控制的智能合约。

仪表板可能显示虚构收益，同时禁止用户提现。

另一种骗局会先允许用户小额提现，以诱使其存入更多资产。

保证回报和催促用户尽快存入资金都是重要的警示信号。

CFTC 数字资产欺诈资源提醒用户警惕欺诈性发行、市场操纵、虚假网站，以及轻松赚取加密货币利润的承诺。

Rug Pull 与钱包盗币程序的区别

Rug Pull 是指项目内部人员放弃加密货币项目、撤走流动性、挪用金库资产，或滥用合约特权。

钱包盗币程序则通过个人钱包用户授权的权限或交易盗取资产。

两种手法可能同时出现。

虚假协议可能先收集用户存款，再通过额外的恶意授权盗取已连接的钱包资产。

用户应同时评估项目层面风险和钱包权限风险。

社交媒体账号遭入侵

正规项目或公众人物的账号也可能遭到入侵，并被用于发布恶意链接。

攻击者可能发布紧急迁移、退款、代币领取或限时奖励公告。

由于消息来自熟悉且长期使用的账号，因此看起来可能很可信。

用户应通过多个相互独立的官方渠道确认重要公告。

越是紧急，越应提高警惕，而不是放松戒备。

虚假治理和迁移诈骗

诈骗者可能声称，由于升级、漏洞、治理投票或合约替换，代币持有者必须迁移资产。

相关应用可能要求用户授权转移旧代币和新代币。

真实迁移应通过官方治理提案、已验证合约地址和公开技术说明进行记录。

用户应将公告与链上治理记录及官方文档进行对比。

迁移绝不应要求用户泄露恢复助记词。

钱包连接与授权的区别

连接钱包通常只允许网站查看所选的公开地址并请求签名。

基本连接不会自动允许网站转移代币。

授权、签名后的 Permit、交易或账户委托可能会创建额外权限。

断开网站连接会结束当前界面会话，但链上权限可能仍然有效。

用户应分别检查已连接的会话和记录在区块链上的授权。

如何审核钱包请求

检查请求操作前，先确认区块链网络。

检查确切的网站域名和合约地址。

确认请求属于交易、代币授权、Permit 签名、结构化数据签名、账户委托还是普通消息。

核对资产、金额、收款方、支出方、截止时间和 Gas 费。

简单的登录或领取请求若要求无限支出权限，应提高警惕。

如果钱包显示未知代码或意外的资产转移，应拒绝操作。

不要只通过发出请求的网页核实信息，还应通过官方文档确认。

如何检查智能合约风险

从项目官方文档获取合约地址，并与钱包显示的地址进行对比。

检查可信区块链浏览器上是否已验证合约源代码。

确认合约是否可升级，以及谁控制升级权限。

了解所有者、管理员、暂停、铸造、转账和紧急权限。

阅读现有审计报告，同时谨记审计并不能保证安全。

Ethereum 智能合约安全指南强调访问控制、测试、安全开发和合约故障应对规划。

使用不同的钱包

将不同用途的钱包分开，可以限制一次错误交互造成的损失。

长期存储钱包可以与陌生应用保持断开状态。

小额活动钱包可用于尝试新的 DeFi 协议、领取代币和执行实验性交易。

用户还可以为公开身份、游戏或数字藏品单独使用一个钱包。

如果所有钱包都使用同一组已泄露的恢复助记词，分开钱包也无法保护资产。

每个安全边界都应使用妥善分开的密钥和恢复信息。

硬件钱包

硬件钱包会将签名密钥保存在专用设备中，并通过设计降低密钥被提取的风险。

它可以防范部分试图从电脑或手机窃取密钥的恶意软件。

但它无法阻止用户批准恶意交易。

应使用可信设备的显示屏核对网络、地址、金额和合约交互。

如果在硬件设备上盲目批准所有请求，再强的密钥保护也无法弥补薄弱的交易安全。

多重签名钱包

多重签名钱包需要多个获授权的密钥批准交易。

这可以降低单个密钥被盗后立即造成金库损失的风险。

Ethereum 术语表将多重签名账户描述为执行交易前需要获得多项批准的账户。

如果签名者使用不同的设备、地点和验证流程，多重签名保护效果会更好。

如果多个签名者都依赖同一条误导性消息，他们仍可能批准同一笔欺骗性交易。

组织应要求独立审核，而不是让成员反复点击同一指示。

签署恶意授权后该怎么办

立即停止与可疑网站交互。

检查已签署的交易或消息，确认代币、支出方、金额、网络和授权类型。

如果私钥仍然安全，请通过可信界面撤销恶意代币授权。

如果签名的整体影响尚不明确，应将特别有价值的资产转移到干净的钱包中。

断开当前应用会话，并移除可疑浏览器扩展。

监控钱包是否有后续交易，并保存证据。

尚未提交的 Permit 签名可能在截止时间前仍可使用，因此与其等待，不如转移受影响的代币。

泄露助记词后该怎么办

一旦恢复助记词泄露，就应将整个钱包视为已遭入侵。

使用干净、可信的设备，根据新生成的恢复信息创建新钱包。

尽快且谨慎地将剩余资产转移到新钱包。

今后不要再次使用已泄露的助记词。

仅撤销授权并不足够，因为攻击者可以直接签署新交易。

保护可能泄露该助记词的电子邮件账户、云存储、密码管理器和设备。

不要接受任何要求控制新钱包的陌生人提供的帮助。

感染恶意软件后该怎么办

让受影响的设备断开与敏感账户和网络的连接。

使用另一台可信设备保护电子邮件、金融账户和剩余加密货币。

通过干净设备更改密码并撤销当前有效会话。

只有在疑似受感染环境之外创建新钱包密钥后，才能转移资产。

可能需要专业设备检查或完整重装操作系统。

恢复同一个受感染的浏览器配置文件、扩展或备份，可能会重新引入恶意软件或被盗会话数据。

举报 DeFi 钱包诈骗

保存钱包地址、交易哈希、代币合约地址、域名、电子邮件、用户名、屏幕截图、日期和金额。

FBI 网络犯罪投诉中心加密货币页面要求受害者提供交易哈希、钱包地址、沟通详情和相关标识信息。

美国受害者还可以通过FTC 欺诈举报系统提交消费者欺诈信息。

应向托管或展示恶意内容的服务平台举报恶意域名、社交账号、应用和智能合约。

举报并不保证追回资产，但有助于调查人员关联相关犯罪并提醒其他用户。

追偿诈骗

追偿诈骗者会盯上已经损失加密货币的人。

他们可能冒充区块链调查人员、律师、黑客、政府雇员或资产追回专家。

受害者会被要求预付费用、税款、Gas 费、诉讼费用或软件费用。

CFTC 追偿欺诈警告指出，政府机构不会要求用户通过加密货币等特殊方式付款以追回损失的资金。

FBI 也曾警告称，犯罪分子会冒充网络犯罪投诉中心，并虚假承诺提供追偿服务。

正规的执法报案不要求用户交出助记词，也不会要求用户向调查人员的钱包支付加密货币。

常见警示信号

有人索要助记词、私钥、密码或验证码，是严重的警示信号。

保证盈利、秘密策略和无风险收益的说法都不可靠。

涉及迁移、账户停用或代币领取的意外紧急通知应谨慎对待。

与官方地址略有不同的域名可能是钓鱼网站。

小额交易若要求无限授权，应进一步核查。

无法解释的账户委托或结构化数据签名可能带来严重风险。

客服立即通过私信主动提供帮助，通常可能是冒充行为。

追偿服务要求预付加密货币，可能是在企图再次诈骗用户。

常见问题

简单来说，什么是 DeFi 钱包诈骗？

这类诈骗会诱骗 DeFi 用户向攻击者交出钱包机密、加密货币、签名或智能合约权限。

诈骗者能否在不知道我的助记词时盗取加密货币？

可以。恶意授权、Permit 签名、交易或账户委托都可能在不泄露助记词的情况下授权盗窃。

连接钱包后，网站就能控制我的钱包吗？

基本连接通常只会显示所选地址，但后续授权和签名可能产生支出权限或账户控制权。

签署消息安全吗？

不一定。签名消息可能代表 Permit、订单、委托、身份验证请求或其他有价值的授权。

什么是钱包盗币程序？

钱包盗币程序是一种恶意代码，旨在获取权限并从已连接的钱包转移有价值的资产。

什么是代币授权？

代币授权允许指定地址或智能合约支用账户所有者的代币。

什么是无限代币授权？

这是一项权限，允许支出方使用钱包中某种代币当前及未来的全部余额。

断开网站连接可以撤销授权吗？

不可以。断开界面会话通常不会移除存储在区块链上的授权。

如何撤销旧授权？

使用可信的授权管理界面，或通过合约交易将额度设置为零。

撤销授权能保护已泄露的助记词吗？

不能。拥有助记词的攻击者可以直接创建新的交易和授权。

什么是 Permit 诈骗？

这类诈骗会诱骗用户签署消息，授予其他地址支用代币的权限。

免 Gas 签名也能盗取代币吗？

可以。攻击者之后可能提交已签署的授权并支付区块链手续费。

什么是盲签？

盲签是指在不了解编码数据实际作用的情况下批准这些数据。

什么是 EIP-7702 委托诈骗？

这类诈骗会诱骗用户将账户行为委托给恶意智能合约代码，使其能够控制资产或交易。

什么是地址投毒？

地址投毒会在交易记录中放入一个外观相似的攻击者地址，诱使受害者之后复制该地址。

如何避免地址投毒？

通过可信来源核对完整的收款地址，不要盲目从交易记录中复制地址。

什么是剪贴板恶意软件？

它会在用户发送加密货币前，将复制的钱包地址替换为攻击者控制的地址。

硬件钱包能阻止所有诈骗吗？

不能。硬件钱包可以保护私钥，但用户批准恶意交易时，它仍可能签署该交易。

未知空投代币有危险吗？

这类代币可能被用作钓鱼网站或恶意合约交互的广告，因此通常应忽略未经请求的资产。

什么是蜜罐代币？

蜜罐代币允许用户买入，但会阻止普通用户卖出，或对卖出施加严厉限制。

已验证的智能合约仍可能是恶意的吗？

可能。代码已验证只意味着源代码可见，并不能证明合约行为公平或安全。

智能合约审计能保证安全吗？

不能。审计可能遗漏漏洞，也可能未涵盖后续升级、前端或管理员操作。

正规的 DeFi 网站也可能遭到入侵吗？

可能。攻击者可以入侵域名、前端、社交账号、依赖组件或管理员凭据。

我应该相信 DeFi 网站的搜索广告吗？

不应该。广告可能指向冒充网站，使用已验证书签和官方文档作为访问入口更稳妥。

钱包客服会索要我的助记词吗？

正规的客服流程不会要求用户披露完整的恢复助记词或私钥。

诈骗者可以等几天后再盗取资产吗？

可以。授权、Permit 或其他权限可能在原始交互结束后仍然有效。

为什么钱包里只有一种代币不见了？

攻击者可能只获得了针对该代币的授权，而没有控制整个钱包。

为什么所有资产都不见了？

助记词、私钥、广泛的账户委托，或多项资产权限可能已遭泄露。

助记词泄露后，我应该创建新钱包吗？

应该。应将剩余资产转移到在干净设备上创建的新钱包。

更改密码后，我还能继续使用已泄露的助记词吗？

不能。更改应用密码不会使由助记词派生的区块链密钥失效。

我应该付钱请人追回被盗加密货币吗？

务必格外谨慎，因为要求预付费用的追偿服务通常会再次诈骗受害者。

区块链交易可以撤销吗？

通常，普通用户无法撤销已确认的转账，除非收款方配合或其他获授权方介入。

诈骗发生后，我应该保存哪些信息？

保存交易哈希、地址、合约地址、域名、消息、屏幕截图、日期、金额和账户名称。

美国受害者可以在哪里举报 DeFi 钱包诈骗？

受害者可以向 FBI 网络犯罪投诉中心、FTC、相关监管机构和当地执法部门举报。

我应该用同一个钱包存储资产并参与 DeFi 吗？

将长期持有的资产与实验性 DeFi 操作分开，可以减少一次恶意交互所涉及的资产数量。

多重签名钱包能杜绝诈骗吗？

不能。多个签名者仍可能批准欺骗性交易，或有足够数量的签名密钥遭到控制。

交易模拟能保证安全吗？

不能。模拟可能遗漏状态变化、延迟操作、误导性界面或异常合约行为。

签名前应该检查什么？

检查域名、网络、合约、收款方、支出方、代币、金额、截止时间、授权范围和账户级权限。

遇到含义不明确的签名时，最稳妥的做法是什么？

拒绝签名，并独立核实请求操作后再继续。

结语

DeFi 钱包诈骗通过窃取钱包机密、欺骗性交易、恶意智能合约、虚假应用、冒充身份、恶意软件和社交工程手段攻击加密货币用户。

如果代币授权、Permit 签名或账户委托授予的权限足以盗取资产，诈骗者就不需要恢复助记词。

钱包连接、代币授权、普通签名、Permit 消息和委托账户权限造成的安全后果各不相同。

用户应先了解钱包显示的具体操作，再决定是否批准。

绝不要在 DeFi 网站、客服表单、私信或代币领取页面输入助记词和私钥。

如果较小额度已足够，就应避免无限代币授权。

应检查旧权限，因为断开网站连接并不会撤销链上权限。

硬件钱包和多重签名账户可以加强安全性，但无法保护那些未经核实便批准欺骗性指示的用户。

使用不同钱包、可信书签、更新设备、限制权限、完整核对地址并独立验证合约，可以降低风险敞口。

助记词一旦泄露，就必须迁移到全新的钱包；仅更改密码或撤销授权并不足够。

受害者应保存证据、尽快举报，并避免要求预付加密货币的追偿服务。

最有效的保护措施，是在授权前仔细核实每个域名、合约、资产、金额、收款方、权限和委托事项。