2022 年 12 月,美国 FBI 的互联网犯罪投诉中心(IC3)发过一份公告(I-122122-PSA):有人在搜索引擎上买广告位冒充正规品牌,广告排在搜索结果最上面,点进去是照着官网做的页面;公告点名了加密货币交易平台,这类假页面会让人输入登录凭证和财务信息。假交易所网站靠的就是长得像——你以为在登录,密码和验证码其实正送到别人手里。
- 页面能仿得一模一样,判断只看地址栏的完整域名;下面表里的 5 种障眼法,对应 5 个核对点。
- 在假站输了密码和验证码,对方可以拿去登录你的真账户,所以"只是登录看了一眼"也要按账号泄露处理。
- 已经输了:从书签进真站改登录密码和资金密码(邮箱密码一起改)、踢掉陌生设备、查 API 密钥和提币白名单、重绑 2FA。
假交易所网站分哪两种
高仿钓鱼网站(也叫假交易所、钓鱼站)是照着真交易所做的一个外观一样的假网站。页面、logo、配色、登录框,连行情数字都可以和真站没差别,但它开在对方控制的、域名近似的地址上。
按目的分两种。一种偷账号:你在假站输入登录密码和短信 / 验证器验证码,这些信息被转到对方手里,用来登录你在真交易所的账户、把币提走。另一种骗充值:整个"交易所"是空壳,余额和盈利是后台填的数字,钱充得进去、提不出来——等你想提现,它会用"需要先交税""账户被风控""保证金不足"这类理由让你继续打钱。
两种都发生在你以为安全的时候:你正在"登录交易所",或者正在"往交易所充值"。
假交易所的链接是怎么到你手里的
假站要有人把链接递到你面前。常见的是这四条路:
搜索引擎的广告位
你搜"OKX 官网""币安 登录",结果最上面带"广告"标记的那条,可能是别人买的广告位,点进去是高仿站。开头那份 IC3 公告给个人的建议里有两条用得上:点广告之前先核对网址;要去某家机构的网站,直接在浏览器地址栏输入它的网址,不靠搜索。
私信和群里的链接
"客服""客户经理""带单老师""群管理"主动发来一个登录或活动链接,说"点这里领空投""点这里验证身份""新版地址,旧的失效了"。别人发来的登录链接,一律先不点。
假的"最新网址 / 备用网址"
"官网换地址了,这是最新备用网址"——这句话的用处是让你放弃书签里的旧地址。别人私信告诉你的"新网址"不要直接用,先去官方核验入口查:币安的 Binance Verify 可以输入一个网址、邮箱、电话、Telegram 或社交媒体账号,查它是不是币安官方的。
二维码和短链接
海报、私信里的二维码和被缩短过的短链接,扫开、点开之前看不到真实域名,加载出来时已经在对方的页面上了。打开后先看地址栏,再决定要不要往下操作。
怎么看网址是不是官方的:5 种域名障眼法
页面可以照抄,域名抄不了——对方只能用一个"看起来像"的域名。下面这张表按手法分了 5 种,每种对应地址栏里要核对的一处,用 OKX 的官方域名 okx.com 举例:
| 障眼法 | 示意 | 怎么识别 |
|---|---|---|
| 拼写近似(typosquatting) | 0kx.com(数字 0 冒充字母 o)、okex-vip.com | 一个字符一个字符地对,尤其 o/0、l/1/I、rn/m |
| 子域伪装 | okx.account-login.com(真正的域名其实是 account-login.com) | 看最后一个点之前的那一段才是主域名 |
| 后缀(TLD)变体 | okx.net / okx.co / okx.app | 记住官方用的后缀(OKX 官方是 .com) |
| 附加词 | okx-official.com / login-okx.com / okx-bonus.com | 官方主站不会在域名里加 official、login、bonus 这类词 |
| 同形字(IDN 同形攻击) | 用西里尔字母 о 替换拉丁 o,肉眼几乎一样 | 不靠肉眼,用书签/密码管理器自动匹配域名 |
说明:上表的仿冒域名都是为说明手法编的例子,不是指认某个真实网站。各交易所的官方域名以其官方公告为准;手头有一个拿不准的网址,可以贴进本站的域名核对器比一下。
只在假网站登录过、没转账,也会被盗吗
会。"我只是登录看了一眼,又没转账"不等于没事:登录这个动作本身,就把进入你真账户需要的东西交出去了。
过程是这样的:你在假站输入登录密码,假站把它转给对方;接着页面提示"输入短信验证码 / 验证器验证码完成登录",你照做,这串验证码也被转走。对方拿着密码和验证码去真交易所登录。如果你没开提币地址白名单,币就可能被直接提走。
空壳假站是另一条路:你注册、充值、看着账户里的数字涨,直到想把钱提出来才遇到各种障碍——钱从充进去那一刻起,就已经在对方的钱包里了。
哪些情况可以直接判定是假站
- 是别人把链接发给你的,尤其还催你"快点""限时""旧地址失效"。
- 让你"先充值激活""交保证金/手续费/税"才能提现或解锁。
- 登录后立刻弹出额外的"安全验证",要你再输一次验证码、助记词或私钥。任何真交易所都不会要你的钱包助记词/私钥。
- 客服通过 Telegram / QQ / 微信私信 主动联系你,而不是站内工单。
一个网址是不是官方的,去哪核
手头有一个拿不准的网址或平台名,可以查这几处:
- 交易所自己的核验页。币安的网址、邮箱、电话和社交账号贴进上面提到的 Binance Verify 查;查出来不是官方的,就不要在那个页面上输任何东西。
- 监管机构的警示名单。香港证监会的无牌公司及可疑网站名单里有"可疑虚拟资产交易平台"一类,可以按名称查。证监会在页面上写明,这份名单是为了及早向投资者示警,投资者不能只依赖名单上的资料——查不到不代表这个平台没问题。
- 本站的域名核对器。它只做字符比对:你贴进去的网址和几家交易所的官方域名像不像、差在哪。
核过一次之后,把进站方式固定下来,以后就不用每次都查:
- 确认过的官方域名存成书签,以后只从书签进,不靠搜索和别人发的链接。
- 手机 App 先进交易所官网,从官网给的入口跳转到 App Store / Google Play,装之前核对开发者名称;任何人发来的安装包都不装。
- 开启二次验证(2FA),优先用验证器 App,少用短信验证码;开启提币地址白名单。
在假交易所网站输了密码和验证码怎么办
按下面的顺序做,前三步都在真站的账户安全设置里:
立刻从真站改密码
用书签或手动输入官方域名进入真账户(确认域名无误),马上修改登录密码和资金密码,邮箱密码一起改。
撤销可疑设备 / 强制下线
在账户安全设置里查看登录设备和会话,踢掉所有不认识的设备,关闭可疑的 API key,并通过站内官方客服报告异常。
检查提币白名单,重绑 2FA
看看提币地址白名单有没有被加了陌生地址,有就撤掉;2FA 解绑后重新绑定。
假站的完整网址、把链接发给你的账号和聊天记录先截图留好,报案时要用。已经有币被提走的,转移剩余资产、报案的步骤在 被骗后怎么办。
相关的几篇
- 假交易所 App 怎么辨别——同一套仿冒,装进手机之后能做的事更多。
- 自称客服的人,去哪核是不是官方的——假站链接有不少是"客服"递过来的。
- 交易所正不正规怎么判断——域名是真的之后,平台本身靠不靠谱是另一道题。