网页只能在你打开它的时候骗你;App 装进手机之后是常驻的,拿到权限就能读你复制的地址、看到验证码通知。同样是仿冒,假 App 能做的事比假网站多,所以核对要放在点"安装"之前:从哪个入口下的、开发者是谁、它要了哪些权限。
- 下载顺序:先进交易所官网,从官网给的入口跳转到 App Store / Google Play,装之前核对开发者名称。别在商店里搜名字、装排在第一个的。
- 交易所 App 用不着无障碍、短信、悬浮窗权限,硬要这几项就停下。
- iPhone 上被引导去"VPN与设备管理"里信任企业证书的,是没经过 App Store 的安装包,不装。
假 App 比假网站多能做什么
钓鱼网站的能力范围基本关在浏览器那个标签页里:你输什么它收什么,页面一关,它就够不着你了。它读不到你别的 App,读不到你复制的内容。
App 装进手机之后一直在。安装和使用过程中它会向你申请权限——通知、剪贴板、相册、无障碍(辅助功能)、悬浮窗等等,每给一项,它能碰到的东西就多一层。拿到无障碍权限的恶意 App,可以读取屏幕上显示的内容、模拟你的点击。到这一步已经不是"骗你输入",而是它自己能动手。
假交易所 App 是从哪些渠道装到手机上的
官方 App 的下载入口在官网和应用商店。山寨 App 走的是下面几条路,其中一条就在应用商店里。
第三方下载站、聚合下载页
"XX 应用市场""安卓下载大全"这类非官方站点上的安装包,可能是被改过的版本。一个 App 只能在这种地方找到、官方商店里反而没有,就不要装。
私信 / 群里发来的安装包
"客服"或"老师"直接甩给你一个 .apk 文件、一个下载二维码,或一句"应用商店那个是旧版,用我这个新版"。安装包脱离了商店审核,里面塞了什么你根本无从得知。
苹果端的侧载:TestFlight 与企业证书
iPhone 不能随便装来路不明的 App,于是骗子绕道:用 TestFlight(本是给开发者做内测的)分发一个"测试版交易所",或者用企业证书 / 描述文件(MDM)让你"信任"后安装。一旦你按提示去"设置"里点了信任某个企业证书,等于给了它在系统里运行的通行证。
搜索结果与广告
你搜"OKX 下载""币安 app",靠前的结果可能是仿冒下载页,页面套着官方的样子,下载按钮却指向山寨包。带"广告 / Ad"标记的那几条尤其要跳过——广告位是可以买的。和假网站一样,排名靠前不等于官方。
应用商店里的仿冒上架
商店有审核,仿冒 App 仍然可能上架:用近似的名字、同样的图标和截图,归在"工具""效率""生活"这类类目下。商店里也有广告位。所以"在商店里搜名字、装第一个"等于把"哪个是真的"交给了搜索排序;要从官网给的入口跳过去,再核对开发者名称。
假 App 分哪三种:空壳、套壳、带恶意代码
三种的做法不一样,补救的重点也不一样:
| 形态 | 它怎么坑你 | 典型迹象 |
|---|---|---|
| 纯空壳:骗充值 | 整个"交易所"都是假的,你能注册、能充值、能看到余额和"盈利"涨,但永远提不出钱。本质是个收款界面。 | 充值顺畅、提现各种卡;只能私下/群里拿到;客服只在站外 |
| 套壳钓鱼:盗账号 | 外面套一层仿真界面,你输入的真交易所账号、密码、验证码被实时转发到骗子后台,他们拿去登录你的真账户提币。 | 登录后让你"再验证一次""绑定旧账号" 要你输助记词/私钥 |
| 带恶意代码:窃取后台信息 | App 里藏木马,读取你的剪贴板(尤其是你复制的钱包地址、助记词)、截取屏幕上的短信验证码,甚至篡改你复制的收款地址。 | 索要无障碍/通知/短信权限;手机变卡、发烫、流量异常 |
说明:三种可以同时出现,一个山寨 App 可以既是空壳又带恶意代码。
"纯空壳"这一类,美国 FBI 在 2022 年 7 月给金融行业的一份通告(PIN 20220718-001)里描述过:骗子冒用正规金融机构的名称和标志做投资 App,劝人下载后充值;受害者想提现时被告知要先交税,交了之后还是提不出来。FBI 给投资者的建议之一,是警惕主动劝你下载投资 App 的请求,尤其是来自没见过面、没核实过身份的人。
"套壳钓鱼"这一类要单说一句:"我只是登录看了看,一分钱没充"不等于没事。账号、密码、验证码在你输进去的时候就到了对方手里,他们拿去登录的是你在真交易所的账户。
剪贴板替换
带恶意代码的 App 可以盯着剪贴板:你复制一个钱包地址准备转账,粘贴出来的已经被换成对方的地址。链上转账发出去就撤不回来,所以粘贴出来的地址要完整核对一遍,中间几位也要看,只看开头结尾不够。如果是假 App 自己在后台把收款地址换掉,屏幕上看不出来,只能靠一开始就不装错。
装 App 时哪些权限不能给
安装和首次打开时,App 会连着弹几个权限请求。对一个交易所类 App,下面几项给出去之前要停一下:
- 无障碍 / 辅助功能:风险最高的一项。它能读取屏幕上显示的内容、模拟点击。看行情、下单、转账都用不着它——交易所 App 硬要无障碍权限,就不要继续。
- 通知 / 读取通知:你的短信验证码、登录提醒常以通知形式弹出,读取通知就可能截到验证码。
- 剪贴板访问:用来偷或替换你复制的钱包地址、助记词。
- 短信权限(安卓):直接读取你收到的短信验证码,绕过你这个"人"。
- 悬浮窗 / 在其他应用上层显示:可以在真 App 上覆盖一个假输入框,你以为在真 App 里输入,其实输进了它。
权限和功能对不上,就是警报
判断只看一点:这项权限和"看行情、下单、转账"有没有关系?一个交易所 App 要无障碍、要读短信、要常驻悬浮窗,在功能上说不通,就不给。
怎么确认手机里的交易所 App 是官方的
下载入口从官网出发
自己输入官方域名进官网,从官网给的入口跳转到 App Store / Google Play,或者按官网下载页给的方式安装。不在商店里搜名字、点排在最上面的那个;别人发来的安装包一律不装。
核对开发者名称
在商店页面看"开发者"一栏,和官网下载页写的主体是不是一致。写着陌生个人名或不相干公司名的,不装。
看上架时间、评价和类目
刚上架没几天、评价很少,或者评价内容雷同的"交易所",先不装。再看它归在哪个类目:一个交易所被放在"工具""效率""生活"底下,就对不上。
iPhone 上被要求"信任证书"的,停
从 App Store 装的 App,不需要你去"设置 → 通用 → VPN与设备管理"里手动信任企业证书。出现这种引导,说明这个安装包没有经过 App Store。
OKX、币安的 App 分别从哪下
两家的顺序一样:先认域名,再下 App。
| 平台 | 自己输入的官方域名 | 有人发来"新版下载链接"时,去哪核 |
|---|---|---|
| OKX(欧易) | okx.com | OKX 的官方渠道核验页:核对联系你的渠道是不是官方的。页面写明,官方渠道管理员不会主动私信你,也不会索要你的个人、财务或账户信息。 |
| 币安(Binance) | binance.com | Binance Verify:输入一个网址、邮箱、电话、Telegram 或社交媒体账号,查它是不是币安官方的。对方发来的下载链接可以先贴进去查。 |
- 在浏览器地址栏手动输入上表的域名,不点搜索结果,带"广告"标记的那条更不点。
- 进了官网,从官网给的下载入口跳转到应用商店,核对开发者名称后再装。
- 装好后把官网存成书签,以后只从书签进;开启双重验证(2FA)。
其它平台照同样的顺序做。拿不准一个域名是不是在仿冒,可以用本站的域名核对器比一下。
- ☐ 我是手动输入官方域名进的官网,顺着官网入口下载,不是在商店或搜索里搜来的第一个
- ☐ 我没点带"广告 / Ad"标记的结果,也没点陌生人发来的下载链接或安装包
- ☐ 开发者名称是这家交易所的官方主体,下载量、评价量和一个主流大所对得上
- ☐ 安装过程没要我关掉系统防护,也没要我去信任企业证书
- ☐ 装好后已把官网存成书签,开了 2FA
哪些情况说明装到的是假 App
下面几种情况占了一种,就先别登录、别充值。
- 是别人(客服、老师、群友)发安装包或下载二维码给你的,还说"商店那个是旧版"。
- 要你去"信任企业证书"、装一个描述文件(MDM),或者先关掉手机的系统防护才能装、才能用。
- 安装/启动时强行索要无障碍、短信、悬浮窗等和交易功能无关的权限。
- 充值顺利、提现总卡,或提现要先交"税/保证金/手续费"。
- 登录后让你"再验证一次""绑定旧账户",甚至要你输入钱包助记词或私钥。
- 客服只在 Telegram / QQ / 微信 私聊,App 内没有正规工单入口。
已经装了假 App、登录过或充了钱怎么办
按下面的顺序来。只要在里面输过账号密码,哪怕一分钱没充,也按"账户已泄露"处理。
卸载 App,清掉证书和描述文件
卸载前先把它的名称、开发者名和下载来源截图留好,报案时用得上。然后删掉这个 App。iPhone 还要进"设置 → 通用 → VPN与设备管理"里删掉它装上的企业证书 / 描述文件;安卓里取消它的无障碍等权限再卸载。
换一台干净设备处理后续
这部手机已经可能被植入了东西,后面改密码、查账户的动作,尽量在另一台你确信干净的设备上做。
改登录密码和资金密码,踢掉陌生设备,重绑 2FA
在干净设备上从你自己存的官方域名进入真正的交易所,先改登录密码和资金密码,邮箱密码一起改。然后把其他登录会话全部下线,不认识的设备踢掉;2FA 解绑后重新绑定。
查登录记录、绑定信息、API 与提币白名单
接着翻一遍设备与登录记录,确认绑定的邮箱和手机号没被改过;删掉不认识的 API 密钥,检查提币地址白名单有没有被加进陌生地址。
助记词接触过就换钱包
如果你的钱包助记词曾在这个 App 里输入过或被它读到过,要默认它已经泄露,把还在你掌控里的资产尽快转到新钱包。
充进去的钱提不出来的,充值记录、App 截图和发给你安装包的人的聊天记录留好,报案的渠道见 被骗后怎么办。对方说再交一笔"税"或"保证金"就能提现的,不要交,原因见 USDT 被冻结要交解冻费是真的吗。
顺手再看
- 假交易所网站的 5 种域名障眼法——下载页的域名,照那张表核对。
- 自称客服的人,去哪核——"客服"发来安装包时先做的事。