DeFi 錢包詐騙

什麼是 DeFi 錢包詐騙？

DeFi 錢包詐騙是指誘騙加密貨幣使用者洩露錢包機密、簽署有害訊息、核准惡意智能合約，或將資產轉給攻擊者的詐騙手法。

這類詐騙的目標是使用自我託管錢包，與去中心化金融應用程式、代幣、流動性池、借貸協議、質押系統、跨鏈橋及其他區塊鏈服務互動的使用者。

詐騙者不一定需要受害者的助記詞才能竊取加密貨幣。

惡意代幣核准、Permit 簽章、帳戶授權，或一般區塊鏈交易，都可能提供足以轉移有價資產的權限。

部分 DeFi 錢包詐騙會利用假網站、應用程式、瀏覽器擴充功能、客服帳號、空投、廣告、社群媒體貼文或私人訊息。

其他詐騙則會使用惡意軟體、遭入侵的網站、欺騙性智能合約、地址投毒，或遭操縱的交易介面。

Ethereum 安全與詐騙防範指南提醒使用者留意網路釣魚、假贈品、冒充身分、惡意錢包請求及其他常見的加密貨幣威脅。

DeFi 錢包詐騙尤其危險，因為一般使用者通常很難或無法撤銷已確認的區塊鏈轉帳。

自我託管讓錢包持有者能直接掌控資產，但也代表持有者必須自行保護金鑰並仔細檢查交易。

DeFi 錢包的運作方式

DeFi 錢包會儲存或管理用於授權區塊鏈帳戶操作的加密金鑰。

加密貨幣通常記錄在區塊鏈上，而非存放於錢包應用程式內。

錢包會使用使用者的私鑰建立數位簽章。

有效簽章可授權轉帳、智能合約互動、代幣核准、治理投票、委託單、帳戶授權或其他操作。

使用者可以分享公開錢包地址，讓其他人和應用程式知道資產應傳送至何處。

私鑰和助記詞必須保密，因為兩者都可能讓他人控制帳戶。

錢包應用程式可以顯示預計執行的交易，但區塊鏈實際執行的是已簽署的編碼指令。

欺騙性介面可能將操作描述為登入或驗證，但實際編碼的請求可能授予重要權限。

為什麼 DeFi 錢包使用者會成為攻擊目標

DeFi 錢包可以在同一帳戶中持有加密貨幣、價值穩定型資產、流動性部位、質押代幣、治理權及數位收藏品。

因此，錢包遭入侵後，攻擊者可能一次取得多種資產的存取權。

區塊鏈地址是公開的，犯罪者因此能找出餘額較高的帳戶。

DeFi 使用者也經常與陌生網站和智能合約互動，增加遇到欺騙性簽署請求的機會。

新協議可能要求代幣核准或複雜交易，初學者往往難以理解。

詐騙者利用緊迫感、貪婪、恐懼、好奇心和困惑，而不是直接破解區塊鏈加密技術。

受害者可能因為錢包應用程式顯示了某項請求，就誤以為該請求一定安全。

錢包會確認使用者授權的操作，但不一定能判斷使用者的決定是否明智，或網站是否可信。

助記詞網路釣魚

助記詞網路釣魚詐騙會要求受害者在假網站、應用程式、表單或客服對話中輸入錢包恢復助記詞。

恢復助記詞通常可以重建該錢包衍生出的所有帳戶。

取得助記詞的詐騙者可能匯入錢包，並在無須進一步授權的情況下轉走資產。

常見藉口包括錢包驗證、同步、遷移、安全檢查、空投資格、身分驗證及修復交易。

合法的去中心化應用程式不需要恢復助記詞就能連接錢包。

只有在使用者主動開始且信任的錢包恢復流程中，才應輸入錢包恢復資訊。

絕不可透過陌生人、廣告、私人訊息、電子郵件或客服帳號傳送的連結輸入助記詞。

私鑰竊取

私鑰可直接控制一個區塊鏈帳戶，或該帳戶相關的一組功能。

假客服人員可能聲稱要檢查失敗的交易，並要求使用者匯出私鑰。

惡意軟體可能搜尋瀏覽器儲存空間、螢幕截圖、剪貼簿資料、文字檔及雲端備份中的私鑰。

絕不可為了領取代幣或修復錢包而將私鑰貼到網站上。

任何取得私鑰的人，通常都能以帳戶持有者的身分簽署交易。

變更錢包密碼不會讓已外洩的區塊鏈私鑰失效。

應將剩餘資產轉移至使用未遭入侵金鑰資料建立的新錢包。

DeFi 假網站

DeFi 假網站會仿冒合法應用程式的名稱、設計、代幣符號和介面。

網域可能多出一個字母、使用相似字元、加入誤導性子網域，或採用不同的網域結尾。

使用者可能透過搜尋廣告、社群媒體回覆、贊助貼文、遭入侵的帳戶，或聲稱必須緊急遷移的訊息看到這類網站。

連接錢包不一定會立即轉移資產，但網站可能馬上要求使用者簽署有害訊息或核准權限。

使用者應透過已驗證的書籤，或經官方文件確認的連結進入應用程式。

應檢查完整網域，而不只是頁面設計或標誌。

鎖頭圖示代表與畫面顯示的網域之間有加密連線，並不能證明該網域合法。

假錢包應用程式和瀏覽器擴充功能

詐騙錢包應用程式可能仿冒真正的自我託管錢包，並暗中將恢復助記詞傳送給攻擊者。

假瀏覽器擴充功能可能竄改交易詳細資訊、監控密碼、插入欺騙性彈出視窗，或竊取儲存在瀏覽器中的金鑰。

只應從官方發布者的已驗證頁面，或由發布者連結的可信任應用程式商店頁面安裝應用程式。

使用者應檢查開發者名稱、下載紀錄、權限、發布日期、評論及官方連結。

高評分不代表安全，因為評論可能是購買或複製而來。

若收到訊息要求重新安裝或更新錢包，應視為可疑情況。

假客服詐騙

DeFi 協議通常不會主動私訊在公開討論區中提及問題的使用者。

詐騙者會監看公開討論，迅速冒充管理員、開發者、版主、安全團隊及錢包客服人員。

冒充者可能要求使用者提供恢復助記詞、分享螢幕、授予遠端存取權、支付驗證費，或連接至修復網站。

合法客服人員不需要私鑰或助記詞來查看公開交易。

若有人聲稱必須將資金轉到由客服控制的安全錢包，就是企圖掌控資產。

使用者應透過專案的已驗證文件自行開啟客服管道，而非點擊回覆或主動傳來的訊息。

錢包排水器

錢包排水器是用來辨識有價資產並取得轉移權限的惡意程式碼或基礎設施。

排水器可能要求多個簽章，或在一次欺騙性操作中鎖定多種資產。

目標可能包括同質化代幣、質押部位、流動性代幣、數位收藏品及原生加密貨幣。

高階排水器會先讀取受害者公開錢包餘額，再選擇最有價值的資產下手。

部分排水器會延遲竊取資產，避免受害者立即將損失與惡意簽章聯繫起來。

將錢包與網站中斷連線，不一定會取消已記錄在鏈上的核准權限。

Ethereum 詐騙檢舉指南說明，惡意核准可能讓代幣遭持續竊取，直到相關權限遭撤銷為止。

惡意代幣核准

代幣核准會授予智能合約或地址權限，使其能花用使用者指定數量的代幣。

去中心化交易、借貸、流動性及質押應用程式通常需要這項權限。

依據ERC-20 代幣標準，持有人可以設定額度，允許支出方代表持有人轉移代幣。

惡意應用程式可能要求無限額度，即使預定操作只需要少量代幣也不例外。

核准本身可能不會立即移除代幣。

核准的支出方之後仍可使用該權限，即使使用者已忘記當時的互動也一樣。

Ethereum 的Trillion Dollar Security 報告指出，沒有期限的無限核准可能讓使用者在應用程式或前端遭惡意操縱或入侵時暴露於風險之中。

無限核准詐騙

無限核准會讓支出方使用錢包中某種代幣目前及未來的全部餘額。

使用者核准時可能只持有少量代幣，之後卻存入更多資產。

若核准仍有效，遭入侵的合約就能轉走新存入的代幣。

若應用程式和錢包支援，使用者應將核准額度限制在所需數量。

應檢查並撤銷不再需要的舊核准。

撤銷核准是一筆區塊鏈交易，通常需要支付網路手續費。

若恢復助記詞或私鑰已外洩，撤銷代幣核准並不足以保護錢包。

Permit 簽章詐騙

Permit 簽章可透過鏈下簽署訊息變更代幣額度，不必另外送出核准交易。

ERC-2612 Permit 標準允許透過簽署訊息修改 ERC-20 額度。

詐騙者可能將簽章描述為登入、免費領取、帳戶驗證或免 Gas 連線。

其他人之後仍可將該簽章提交至區塊鏈。

因此，建立權限時，受害者可能看不到立即發生的鏈上交易。

核准 Permit 請求前，應檢查代幣、支出方、核准數量、期限及網路。

不需要支付網路手續費的訊息，仍可能授權竊取有價資產。

盲簽詐騙

盲簽是指使用者核准編碼資料，卻不清楚該資料代表什麼操作。

錢包可能顯示一長串十六進位訊息，或難以理解的合約函式。

使用者可能因網站聲稱請求是用來證明錢包所有權而簽署。

但該簽章實際上可能授權轉帳、委託單、代幣核准或帳戶層級權限。

結構化簽署標準能提高可讀性，但欺騙性介面仍可能提供誤導說明。

ERC-7730 清晰簽署格式旨在提供易讀的交易資訊，降低前端及網路釣魚風險。

若無法確定簽章的後果，使用者應拒絕簽署。

惡意交易模擬

部分錢包會在使用者確認前模擬交易，並顯示預期的餘額變化。

模擬可能揭露可疑轉帳、核准或合約呼叫。

這是安全輔助工具，不是安全保證。

若合約行為取決於時間、區塊鏈狀態、外部呼叫或後續交易，模擬結果可能不完整。

惡意網站也可能顯示與錢包實際交易內容不符的假預覽。

使用者應閱讀錢包的確認畫面，不要只相信網站的說明。

EIP-7702 帳戶授權詐騙

Ethereum 的現代帳戶授權功能可讓外部擁有帳戶使用智能合約程式碼，實現進階錢包功能。

這能支援交易批次處理、代付手續費、恢復系統及可程式化權限等實用功能。

但如果使用者將帳戶授權給惡意程式碼，也會產生重大的網路釣魚風險。

目前的Ethereum EIP-7702 安全指南提醒，帳戶授權後，智能合約可能完全控制資產。

惡意授權可能比一般代幣核准授予更廣泛的控制權。

使用者應檢查授權目標，並了解該權限適用於一個或多個網路。

除非清楚了解授權行為，否則不應簽署要求升級、啟用、修復或強化錢包的請求。

地址投毒詐騙

地址投毒會試圖將攻擊者控制的地址放入受害者的交易紀錄。

攻擊者會建立一個地址，使其開頭或結尾字元與受害者常用地址相同。

接著，攻擊者會向受害者帳戶傳送或從該帳戶傳送小額或零額交易。

受害者之後可能從交易紀錄複製相似地址，將加密貨幣傳給攻擊者。

只檢查地址開頭和結尾各 4 個字元並不足以防範風險。

每次進行重要轉帳前，都應透過可信來源核對完整收款地址。

若初次新增流程安全，使用已儲存的地址簿和允許名單可降低風險。

剪貼簿替換惡意軟體

剪貼簿惡意軟體會監控複製的加密貨幣地址，並將其替換成攻擊者的地址。

替換後的地址可能與原地址相似，足以避開即時察覺。

使用者最後會簽署一筆有效交易，但收款對象錯誤。

若使用者未比對可信裝置螢幕上顯示的地址，即使使用硬體簽署裝置，也可能核准這筆竊取資產的交易。

貼上後及簽署前，都應再次檢查完整收款地址和金額。

先進行小額測試交易可降低地址錯誤造成的損失，但正式交易仍須另外核對。

資訊竊取惡意軟體

資訊竊取惡意軟體可能收集錢包檔案、瀏覽器資料、密碼、工作階段 Cookie、剪貼簿內容、螢幕截圖及恢復助記詞。

CISA 在 2025 年指出，LummaC2 資訊竊取程式曾被用來外洩登入憑證和加密貨幣錢包資訊。

CISA 的 LummaC2 安全公告建議採取軟體更新、多重驗證、應用程式控制及端點監控等措施。

錢包使用者不應安裝聊天群組傳送的陌生交易工具、代幣領取程式、瀏覽器指令碼、破解軟體或附件。

即使錢包應用程式乾淨，也無法保護已遭感染作業系統外洩的機密。

在可行的情況下，應將高額資產的簽署操作與一般瀏覽及安裝軟體分開。

QR Code 詐騙

惡意 QR Code 可能包含攻擊者的錢包地址、網路釣魚網站、連線請求或交易指令。

這類 QR Code 可能出現在假客服訊息、代幣贈品、發票、活動海報或直播影片中。

掃描 QR Code 不代表其目的地安全。

核准前，錢包或瀏覽器應顯示解碼後的網域、地址、網路和要求執行的操作。

若 QR Code 聲稱可驗證錢包，卻要求轉帳或核准代幣，應予以拒絕。

假空投詐騙

假空投會以免費代幣為誘餌，誘使使用者造訪網站或簽署交易。

網站可能要求無限代幣核准、Permit 簽章、帳戶授權或直接轉帳。

詐騙者可能向錢包傳送毫無價值的代幣，並以代幣名稱宣傳惡意網站。

收到陌生代幣，不代表持有人必須造訪其網站或與其合約互動。

不要只因陌生資產出現在錢包中，就核准、兌換或領取該資產。

即使是真正的空投，也可能產生稅務、隱私和智能合約風險。

惡意 NFT 和代幣垃圾訊息

陌生代幣和數位收藏品的名稱或中繼資料，可能引導使用者前往詐騙網站。

使用者嘗試出售、領取、解鎖或兌換之前，資產本身可能沒有危害。

接著，相關網站會要求執行有害交易或簽章。

錢包使用者應隱藏或忽略未經請求的資產，不要依照其中嵌入的指示操作。

顯示的市場價值可能透過操縱流動性或誤導性中繼資料捏造。

蜜罐代幣詐騙

蜜罐代幣允許使用者買入資產，卻阻止一般持有人順利賣出。

合約可能限制轉帳、收取極高賣出稅、封鎖特定地址，或只允許經核准的帳戶賣出。

即使顯示的價格實際上無法成交，持續上漲的價格圖表仍可能吸引買家。

交易模擬、已驗證程式碼、持有人活動、流動性狀況及小額測試交易，都能提供有用的警訊。

沒有任何單一自動檢查工具能保證代幣安全。

假流動性和收益詐騙

詐騙性 DeFi 應用程式可能宣傳異常高額的質押、借貸、收益耕作或流動性獎勵。

使用者將加密貨幣存入由詐騙者控制的智能合約。

儀表板可能顯示捏造的收益，同時停用提領功能。

另一種詐騙會先允許小額提領，誘使受害者存入更多資產。

保證報酬及催促使用者盡快入金，都是重大警訊。

CFTC 數位資產詐騙資源提醒使用者留意詐騙性產品、操縱行為、假網站及輕鬆賺取加密貨幣獲利的承諾。

Rug Pull 與錢包排水器的差異

Rug Pull 是指專案內部人員放棄加密貨幣專案、抽走流動性、挪用金庫資產，或濫用合約特權控制權。

錢包排水器則透過個別錢包使用者授權的權限或交易竊取資產。

兩種手法可能同時出現。

假協議可能先收取存款，再透過額外的惡意核准清空已連線錢包。

使用者應同時檢查專案層級風險和錢包層級權限。

社群媒體帳號遭入侵

合法專案或公眾人物的帳號可能遭入侵，並被用來發布惡意連結。

攻擊者可能宣布緊急遷移、退款、代幣領取或限時獎勵。

由於訊息來自熟悉且經營已久的帳號，看起來可能相當可信。

使用者應透過多個互相獨立的官方管道確認重要公告。

遇到緊急訊息時應提高警覺，而不是降低防備。

假治理和遷移詐騙

詐騙者可能聲稱代幣持有人必須因升級、漏洞、治理投票或合約替換而遷移資產。

連結的應用程式可能要求核准轉移受害者的新舊代幣。

真正的遷移應透過官方治理提案、已驗證合約地址及公開技術指引記錄。

使用者應將公告與鏈上治理紀錄和官方文件比對。

遷移絕不應要求使用者揭露恢復助記詞。

核准與錢包連線的差異

連接錢包通常會讓網站查看選定的公開地址，並提出簽章請求。

基本連線本身不會自動授予網站轉移代幣的權限。

核准、簽署的 Permit、交易或帳戶授權，則可能建立額外權限。

中斷網站連線會結束目前的介面工作階段，但鏈上權限可能仍然有效。

使用者應分別檢查已連線工作階段和鏈上核准紀錄。

如何檢查錢包請求

檢查請求內容前，先確認區塊鏈網路。

檢查完整網站網域和合約地址。

確認請求屬於交易、代幣核准、Permit 簽章、Typed Data 簽章、帳戶授權或一般訊息。

檢查資產、數量、收款方、支出方、期限和 Gas 費。

若簡單的登入或領取操作要求無限支出權限，應提高警覺。

若錢包顯示陌生程式碼或意料之外的資產轉移，應拒絕操作。

應透過官方文件核實相同資訊，不要只依賴提出請求的網頁。

如何檢查智能合約風險

從專案官方文件查找合約地址，並與錢包顯示的地址比對。

檢查原始碼是否已在可信任的區塊鏈瀏覽器上驗證。

確認合約是否可升級，以及由誰掌控升級權限。

確認持有人、管理員、暫停、鑄造、轉帳及緊急權限。

閱讀可取得的稽核報告，同時記得稽核並不能保證安全。

Ethereum 智能合約安全指南強調存取控制、測試、安全開發及合約失效應變規劃的重要性。

使用不同錢包

將錢包用途分開，可限制一次錯誤互動造成的損害。

長期儲存錢包可避免連接陌生應用程式。

較小額的活動錢包則可用於新的 DeFi 協議、代幣領取及實驗性交易。

也可以使用另一個錢包處理公開身分、遊戲或數位收藏品。

如果所有錢包都使用同一組已外洩助記詞，分開錢包也無法保護資產。

每一道安全界線都必須使用妥善分隔的金鑰及恢復資訊。

硬體錢包

硬體錢包會將簽署金鑰保存在專用裝置中，並以防止金鑰遭擷取為設計目標。

它可以防範部分試圖從電腦或手機竊取金鑰的惡意軟體。

但無法阻止使用者核准惡意交易。

應利用可信裝置的螢幕核對網路、地址、金額及合約操作。

若不檢查就核准硬體裝置上的每項請求，再強的金鑰保護也會變成薄弱的交易安全。

多重簽章錢包

多重簽章錢包需要多把已授權金鑰核准交易。

這能降低單把金鑰遭竊就立即造成金庫損失的風險。

Ethereum 詞彙表指出，多重簽章帳戶需要多個核准才能執行交易。

若簽署者使用不同裝置、地點和驗證程序，多重簽章保護效果會更好。

若所有簽署者都依賴同一則誤導訊息，仍可能一起核准同一筆欺騙性交易。

組織應要求獨立審查，而非依照同一套指示反覆點擊。

簽署惡意核准後該怎麼辦

立即停止與可疑網站互動。

檢查已簽署的交易或訊息，確認代幣、支出方、數量、網路及核准類型。

若私鑰仍安全，請透過可信介面撤銷惡意代幣核准。

若無法確定簽章的完整影響，請將特別有價值的資產轉至乾淨錢包。

中斷有效的應用程式工作階段，並移除可疑瀏覽器擴充功能。

監控錢包是否有後續交易，並保存證據。

尚未提交的 Permit 簽章可能在期限前仍可使用，因此先轉移受影響的代幣可能比等待更安全。

洩露助記詞後該怎麼辦

一旦恢復助記詞外洩，就應視整個錢包已遭入侵。

使用乾淨且可信任的裝置，以新產生的恢復資訊建立新錢包。

盡可能迅速且謹慎地將剩餘資產轉移至新錢包。

未來不得重複使用已外洩的助記詞。

單獨撤銷核准並不足夠，因為攻擊者可以直接簽署新交易。

保護可能洩露助記詞的電子郵件帳戶、雲端儲存空間、密碼管理工具和裝置。

不要接受要求控制新錢包的陌生人協助。

遭惡意軟體感染後該怎麼辦

讓受感染裝置中斷連接敏感帳戶和網路。

使用另一台可信任裝置保護電子郵件、金融帳戶和剩餘加密貨幣。

透過乾淨裝置變更密碼並撤銷有效工作階段。

在疑似遭入侵環境之外建立新的錢包金鑰後，再轉移資產。

可能需要由專業人員檢查裝置，或完整重新安裝作業系統。

還原同一個遭入侵的瀏覽器設定檔、擴充功能或備份，可能讓惡意軟體或遭竊工作階段資料再次出現。

檢舉 DeFi 錢包詐騙

保存錢包地址、交易雜湊值、代幣合約地址、網域、電子郵件、使用者名稱、螢幕截圖、日期及金額。

FBI 網路犯罪申訴中心加密貨幣專頁要求受害者提供交易雜湊值、錢包地址、通訊詳情及相關識別資料。

美國受害者也可透過FTC 詐騙檢舉系統提交消費者詐欺資訊。

應向託管或顯示惡意網域、社群帳號、應用程式及智能合約的服務檢舉。

檢舉不保證能追回資產，但有助調查人員串聯相關犯罪並提醒其他使用者。

追回資產詐騙

追回資產詐騙者會鎖定已經損失加密貨幣的人。

他們可能冒充區塊鏈調查人員、律師、駭客、政府人員或資產追回專家。

受害者會被要求預付手續費、稅金、Gas 費、訴訟費或軟體費。

CFTC 追回資產詐騙警告指出，政府機關不會要求以加密貨幣等特殊方式支付費用來追回遺失資金。

FBI 也曾警告，犯罪者會冒充網路犯罪申訴中心，並謊稱能提供追回服務。

合法的執法報案流程不會要求交出助記詞，也不會要求將加密貨幣支付到調查人員的錢包。

常見警訊

要求提供助記詞、私鑰、密碼或驗證碼，是重大警訊。

保證獲利、秘密策略及無風險收益的說法並不可信。

對遷移、帳戶停用或代幣領取施加意外緊迫感，應謹慎看待。

與官方地址只有些微差異的網域，可能是網路釣魚網站。

只為小額交易要求無限核准，值得進一步檢查。

無法說明的帳戶授權或 Typed Data 簽章可能造成重大風險。

透過私人訊息主動提供的客服協助，經常是冒充行為。

要求預付加密貨幣的追回服務，可能再次企圖詐騙使用者。

常見問題

簡單來說，什麼是 DeFi 錢包詐騙？

這類詐騙會誘騙 DeFi 使用者交出錢包機密、加密貨幣、簽章或智能合約權限。

詐騙者能在不知道我的助記詞時竊取加密貨幣嗎？

可以。惡意核准、Permit 簽章、交易或帳戶授權，都可能在不揭露助記詞的情況下授權竊取資產。

連接錢包會讓網站取得控制權嗎？

基本連線通常會揭露選定地址，但後續核准和簽章可能授予支出或帳戶控制權。

簽署訊息安全嗎？

不一定。簽署訊息可能代表 Permit、委託單、帳戶授權、驗證請求或其他有價值的授權。

什麼是錢包排水器？

錢包排水器是用來取得權限並轉移已連線錢包有價資產的惡意程式碼。

什麼是代幣核准？

代幣核准會允許指定地址或智能合約花用持有人帳戶中的代幣。

什麼是無限代幣核准？

這項權限允許支出方使用錢包中某種代幣目前及未來的全部餘額。

中斷網站連線可以取消核准嗎？

不行。中斷介面工作階段通常不會移除記錄在區塊鏈上的核准。

如何取消舊核准？

使用可信任的核准管理介面或直接提交合約交易，將額度設為 0。

撤銷核准能保護已外洩的助記詞嗎？

不能。持有助記詞的攻擊者可以直接建立新交易和核准。

什麼是 Permit 詐騙？

詐騙者誘騙使用者簽署訊息，讓另一個地址取得花用代幣的權限。

免 Gas 簽章也會竊取代幣嗎？

會。攻擊者可能稍後提交已簽署的授權，並支付區塊鏈手續費。

什麼是盲簽？

盲簽是指核准編碼資料，卻不清楚其實際效果。

什麼是 EIP-7702 授權詐騙？

詐騙者誘騙使用者將帳戶操作授權給惡意智能合約程式碼，使其能控制資產或交易。

什麼是地址投毒？

地址投毒會在交易紀錄中放入相似的攻擊者地址，讓受害者日後可能誤將其複製。

如何避免地址投毒？

透過可信來源核對完整收款地址，不要盲目從交易紀錄複製地址。

什麼是剪貼簿惡意軟體？

這類惡意軟體會在使用者傳送加密貨幣前，將複製的錢包地址替換成攻擊者控制的地址。

硬體錢包能阻止所有詐騙嗎？

不能。硬體錢包可以保護私鑰，但使用者核准惡意交易時仍可能簽署該交易。

未知空投代幣有危險嗎？

這些代幣可能被用來宣傳網路釣魚網站或誘導使用者進行有害合約操作，因此通常應忽略未經請求的資產。

什麼是蜜罐代幣？

蜜罐代幣允許使用者買入，卻阻止或嚴重限制一般持有人賣出。

已驗證的智能合約仍可能有惡意嗎？

可能。程式碼已驗證只代表原始碼公開，不代表合約行為公平或安全。

智能合約稽核能保證安全嗎？

不能。稽核可能漏掉漏洞，也可能未涵蓋後續升級、前端或管理員操作。

合法的 DeFi 網站也可能遭入侵嗎？

可能。攻擊者可以入侵網域、前端、社群帳號、相依元件或管理員憑證。

我應該相信搜尋廣告中的 DeFi 網站嗎？

不應如此。廣告可能導向冒充網站，已驗證的書籤和官方文件是更安全的起點。

錢包客服會要求我的助記詞嗎？

不會。合法客服流程不會要求使用者揭露完整恢復助記詞或私鑰。

詐騙者能等幾天後再竊取資產嗎？

可以。核准、Permit 或其他授權可能在原始互動後持續有效。

為什麼只有一種代幣從我的錢包消失？

攻擊者可能只取得該代幣的核准權，而非整個錢包的控制權。

為什麼所有資產都消失了？

助記詞、私鑰、廣泛帳戶授權，或多種資產權限可能已遭入侵。

助記詞外洩後應該建立新錢包嗎？

應該。請將剩餘資產轉至在乾淨裝置上建立、使用全新恢復資訊的新錢包。

變更密碼後可以重複使用已外洩的助記詞嗎？

不可以。變更應用程式密碼不會讓助記詞衍生出的區塊鏈金鑰失效。

我應該付費請人追回遭竊的加密貨幣嗎？

務必格外小心，因為要求預付費用的追回服務經常以受害者為目標，進行第二次詐騙。

區塊鏈交易可以撤銷嗎？

一般使用者通常無法撤銷已確認的轉帳，除非收款方合作或有其他獲授權的介入措施。

詐騙發生後應保存哪些資訊？

保存交易雜湊值、地址、合約地址、網域、訊息、螢幕截圖、日期、金額及帳戶名稱。

美國受害者可以向哪裡檢舉 DeFi 錢包詐騙？

受害者可以向 FBI 網路犯罪申訴中心、FTC、相關監管機關及地方執法機關檢舉。

儲蓄和 DeFi 活動應使用同一個錢包嗎？

將長期持有資產與實驗性 DeFi 活動分開，可降低一次惡意互動可能波及的資產數量。

多重簽章錢包能完全免於詐騙嗎？

不能。多位簽署者仍可能核准欺騙性交易，或有足夠數量的簽署金鑰遭到控制。

交易模擬能保證安全嗎？

不能。模擬可能漏掉狀態變化、延遲操作、誤導性介面或特殊合約行為。

簽署前應檢查什麼？

檢查網域、網路、合約、收款方、支出方、代幣、數量、期限、核准範圍及帳戶層級權限。

面對不清楚的簽章，最安全的做法是什麼？

拒絕簽署，並在繼續操作前透過獨立管道核實請求內容。

結論

DeFi 錢包詐騙會利用錢包機密遭竊、欺騙性交易、惡意智能合約、假應用程式、冒充身分、惡意軟體及社交工程，鎖定加密貨幣使用者。

若代幣核准、Permit 簽章或帳戶授權提供足夠權限，詐騙者即使不知道恢復助記詞，也能竊取資產。

錢包連線、代幣核准、一般簽章、Permit 訊息及帳戶授權，會造成不同的安全後果。

使用者應先了解錢包顯示的確切操作，再決定是否核准。

絕不可將助記詞和私鑰輸入 DeFi 網站、客服表單、私人訊息或代幣領取頁面。

若較小核准額度已足夠，應避免無限代幣核准。

應檢查舊權限，因為中斷網站連線不會撤銷鏈上授權。

硬體錢包和多重簽章帳戶可以提升安全性，但無法保護未經查證就核准欺騙性指示的使用者。

使用不同錢包、可信書籤、更新裝置、限制權限、完整核對地址及獨立驗證合約，都有助降低風險。

助記詞一旦外洩，就必須遷移至全新錢包，單獨變更密碼或撤銷核准並不足夠。

受害者應保存證據、盡快檢舉，並避開要求預付加密貨幣的追回服務。

最有效的防護方式，是在每次簽署前仔細核實網域、合約、資產、數量、收款方、權限及帳戶授權。