"免费领空投"这四个字,大概是链上最贵的免费。假空投骗的不是你的贪心那么简单——它利用的是大多数人根本看不懂钱包弹出来的那一串确认到底在确认什么。你以为在领币,其实是在给一个陌生合约签下"今后随便动我的 USDT"的同意书。这篇不讲钱包底层技术,只讲清楚一件事:那个"授权(approve)"按钮为什么这么危险,以及怎么不被它坑。
- 假空投盗币的核心不是"骗你转账",而是骗你签一笔授权(approve),授权一旦给出去,骗子可以在之后任意时间把对应代币转走。
- 大多数授权默认是无上限额度、长期有效的,所以一次签名就足以让钱包里的某种代币被慢慢、甚至一次性搬空。
- 钱包里凭空多出来的代币九成是诱饵,别去"领取""兑换"它;参与空投用独立小钱包,大额资产放冷钱包。
假空投骗局到底是什么
空投本身是真实存在的:一些项目会把代币免费发给早期用户或符合条件的钱包,用来做推广和分发。问题是,这件好事被骗子整套照搬,做成了诱饵。
假空投的剧本通常是:你在某个群、某条推文、某个私信里看到"XX 项目空投开放领取,先到先得",或者你打开钱包发现里面莫名其妙多了一笔代币,名字看着挺正经。你顺着提示进到一个领取页面,页面让你"连接钱包"——到这里都还没出事。真正的陷阱在下一步:它弹出一个让你确认的窗口,文案写着"领取""激活""验证资格",而你点下去的那一下,实际签的是一笔授权交易。
从这一刻起,骗子不需要你的私钥、不需要你的助记词,也能把你钱包里对应的代币转走。整个过程你甚至感觉"我什么都没转出去啊"——没错,你没转,你只是给了别人转的权限。
先把"授权(approve)"讲成人话
钱包里的代币(比如 USDT、各种 ERC-20 代币)有个机制:当你想在某个去中心化应用(DApp)里用某种代币——比如去交易、去质押——你得先"授权"这个应用的合约可以动用你的这种代币,之后它才能在你发起操作时帮你划转。这是 DeFi 正常运转需要的一步,本身不是坏事。
打个不太精确但好懂的比方:授权就像你把一张银行卡的代扣权限开给某个商户。开了之后,这个商户在约定范围内可以从你卡里扣钱,不用你每次再输密码。问题来了——
真正要命的是"额度"和"期限"这两件事
很多授权请求默认申请的是无上限额度(你能看到一长串大得离谱的数字,或者直接写"unlimited"),而且没有到期时间。翻译成人话:你不是开了"最多扣 100 块"的代扣,而是开了"这张卡里这种钱,你想扣多少扣多少,永久有效"。如果开权限的对象是骗子合约,它什么时候来把你这种代币全划走,完全由它决定。
这就是为什么很多人"明明很久没操作,钱包却突然被掏空"——授权是几个月前签的,骗子只是挑了个时候来收割而已。授权不会因为时间过去就自动失效,你不主动撤销,它就一直挂在那里。
签名和授权,到底差在哪
很多人把钱包弹出来的所有确认都笼统叫"签名",其实它们不是一回事,危险等级也不同。
| 普通链下签名(signature) | 授权 / 交易(approve) | |
|---|---|---|
| 常见用途 | 证明"这钱包是我的",比如登录 DApp、加入白名单 | 授予合约动用你某种代币的权限 |
| 是否上链 | 多数不上链、不花网络费 | 会上链,需要支付网络费(gas) |
| 直接动资产吗 | 正常情况下不直接动 | 授权后,对方可在权限内划走对应代币 |
| 钓鱼时的风险 | 骗子会构造"看起来无害"的签名,实则等同授权或转移资产 | 额度无上限 + 长期有效时,一次就够把某种代币搬空 |
说明:不同钱包、不同链对签名与授权的展示方式略有差异。共同的安全原则只有一条——看不懂的确认一律不点,先搞清楚它到底在请求什么。
这里要补一句别掉以轻心的话:"链下签名不上链、不花钱"不等于一定安全。骗子可以把一个等同于"允许转移你资产"的请求,包装成一个看上去人畜无害的签名弹窗(没有 gas、没有"approve"字样),让你放松警惕点下去。所以判断标准不是"它要不要花钱",而是你是否看懂了它在请求什么、对方是不是你信任的地址。
三种盗法,长什么样
同样是假空投,引你上钩的入口不太一样,认出它们的形态能帮你提前刹车。
① 假领取页诱你签授权
最常见。一个做得很像项目官网的"空投领取页",连上钱包后立刻弹出确认。看似在"领币",实际请求的是对你钱包里 USDT 或主流代币的授权。页面往往用倒计时、"仅剩 N 个名额"催你别细看直接点。
② 假代币 / 假 NFT 空投进你钱包,诱你去交互
你没做任何事,钱包里却凭空多了一个代币或一张 NFT。它的名字或图片里常嵌着一个网址,像是在喊"快来这个站领取/兑换我"。你一旦照做去那个站交互,真正的授权陷阱就在那等着。资产本身躺在钱包里不会害你,去那个站交互才会。
③ 假"解除风险 / 检测授权"页面
这一种专坑已经警觉的人。它伪装成"授权安全检测""一键解除风险授权"的工具,声称帮你扫描并撤销危险授权。结果你点的"解除",本身又是一笔新的恶意授权。打着安全的旗号,做的是反向的事。
看到这些信号,就该停手
越是符合下面几条,越要警惕
- 钱包里凭空出现你没买过、没参与过的代币或 NFT,名字里还带着网址。
- "领空投"必须先连接钱包并签一个你看不懂的确认,尤其确认内容涉及 approve、unlimited、或一长串大额数字。
- 页面用倒计时、限量名额、"立即激活否则作废"催你别细看。
- 链接来自陌生私信、群里"管理员"、被缩短的短链,而不是你主动找到的官方渠道。
- 声称能帮你"检测/解除危险授权",却要你再签一次。
有一条经验值得单独记:真正的项目方不会催。正经空投就算有领取窗口,也不会用"再不点就没了"这种话术逼你在三秒内连钱包签东西。催得越急,越大概率是局。
参与空投的安全姿势
不是让你彻底远离空投——而是把"如果中招,损失也有限"这件事提前安排好。
- 准备一个独立的小钱包专门用来打空投、试新项目,里面只放你输得起的小额资金,不放大头资产。
- 每次签东西前读一眼弹窗:它是签名还是授权?对方是哪个合约地址?额度是不是无上限?看不懂就直接取消。
- 能设额度的时候,给授权设一个够用就好的额度,不要默认放行无上限。
- 定期用授权管理工具复查并撤销旧授权:把那些早就不用的 DApp、来路不明的合约权限清理掉,别让它们一直挂着。
- 真正值钱的资产放冷钱包(硬件钱包),日常交互的热钱包和它物理隔离,热钱包就算出事也烧不到冷钱包。
- 钱包里凭空多出来的东西,当它不存在,不点、不领、不兑换。
一句话原则
钱包安全的真正分界线,不在"我会不会被骗",而在"我签每一笔确认前,有没有看懂它在请求什么"。把"看不懂就取消"变成肌肉记忆,绝大多数授权盗币都进不来。
已经签了授权,马上做这几件事
如果你刚反应过来自己可能在某个可疑页面签了授权,别纠结"会不会真出事",直接按下面的顺序处理,越快越好。
先抢救大额资产
如果钱包里有较大金额,第一动作不是研究怎么撤销,而是立刻把值钱的资产转到一个全新的、从没在可疑站交互过的钱包。撤销授权要时间,转移资产更直接。
撤销(revoke)那笔可疑授权
用授权管理工具找到给可疑地址的授权,执行撤销。注意:撤销本身是一笔链上交易,需要支付网络费;网络拥堵时给足手续费,别让撤销卡在路上。
顺手清理所有可疑授权
既然在查了,把所有来路不明、早不用的授权一并撤掉,免得漏掉别的隐患。
这个钱包以后降级使用
已经在可疑站签过东西的钱包,信任度就打了折。重要资产换新钱包管理,这个旧的留着跑跑小额、当试验田就好。
保留证据、必要时报案
截图保存可疑站域名、交易哈希、聊天记录。被骗后的取证、止损和报案怎么做,看我们的 已经被骗了怎么办。
别再上"帮你追回"的二次诈骗
钱包被盗的消息一传出去,很快会有人私信你"我能帮你追回被盗资产""先付点手续费就行"。这几乎全是盯着受害者的二次诈骗,详见我们对 USDT 回收 / 解冻骗局 的拆解。
常见疑问
钱包里凭空多出来一个代币,能卖吗?
先别动它,更不要去任何页面“领取”“兑换”它。这种凭空出现的代币常被用作诱饵,代币名字里往往带一个网址,引导你去一个钓鱼站连接钱包、签授权。你不去交互,它就只是钱包里一个躺着的数字,本身不会让你掉币;一旦你被诱导去那个站签了授权,真正的资产才有危险。
签名(signature)和授权(approve)有什么区别?
普通的链下签名通常用来证明“这个钱包是我的”,比如登录某个 DApp,本身不直接动你的资产;而授权(approve)是一笔会上链的交易,等于你授予某个合约地址“今后可以动用你钱包里某种代币”的权限。危险在于授权可以设成无上限额度且长期有效,骗子拿到授权后,可以在你毫无察觉时把对应代币转走。不过钓鱼站也会构造看起来无害、实则等同于授权或转移资产的特殊签名,所以看不懂的签名一律不要点确认。
我已经在可疑页面签了授权,钱还没被转走,来得及吗?
有可能,关键是快。立刻用授权管理工具撤销(revoke)给那个可疑地址的授权,并尽快把钱包里有价值的资产转到一个全新的、从没在可疑站点交互过的钱包。撤销本身也是一笔需要支付网络费的链上交易。如果你的资产较大,最稳妥的做法是先转移资产,再处理撤销。
用硬件(冷)钱包是不是就不怕授权盗币了?
硬件钱包能保护你的私钥不被偷,但它挡不住你亲手签下的恶意授权——如果你用硬件钱包连上钓鱼站,确认了一笔无上限授权,对方照样能划走对应代币。冷钱包的正确用法是只放资产、尽量少做日常交互;真要在链上到处试,用一个隔离的小热钱包。
与其在链上到处签看不懂的授权,不如把大头资产放在正规渠道
授权盗币之所以高发,是因为很多人把全部身家都放在一个天天到处交互的热钱包里。一个更稳的做法是:日常小额折腾用独立小钱包,真正想长期持有的资产,通过正规大所的官方渠道管理。OKX 是主流交易所之一,可以从下面的官方注册入口进入,官方域名是 okx.com。
接着读这些
- 高仿钓鱼网站与假交易所——假空投的领取页,本质上也是一种高仿钓鱼站。
- 地址投毒(转账地址被掉包)——同样发生在链上,盯的也是你钱包里的资产。
- 假预售与貔貅盘(rug pull)——同样发生在链上,只是骗的是你的本金而不是授权。
- 已经被骗了怎么办——授权被盗后的止损、取证与报案完整流程。