“您有一笔提现申请正在处理,若非本人操作,请点此取消。”收到这样一条短信或邮件,账户是不是真出了事,在消息里看不出来——发件人名称、号码、链接上显示的文字都能伪造。能确认的办法只有一个:不点它给的链接,自己打开 App 或用书签进站,看站内有没有同样的通知。
- 消息里的链接一概不点、号码一概不回拨;要查,用书签或官方 App 自己进站看通知。
- 已经点了、输了密码或验证码:马上从书签进真站,先改登录密码和资金密码,邮箱密码一起改;再踢掉陌生设备,查 API 密钥和提币白名单,重绑 2FA。
钓鱼短信和邮件通常写些什么
美国联邦贸易委员会(FTC)的钓鱼识别指南列过这类消息常用的说法:说发现了可疑活动或登录尝试,说你的账户或付款信息有问题,说需要你确认某些个人或财务信息,或者让你点链接去付款。指南里放了一封冒充 Netflix 的钓鱼邮件做样例,FTC 给它标了三个记号:
- 称呼是泛称,没有写收件人是谁;
- 说你的账户因为账单问题被暂停;
- 请你点一个链接去更新付款信息。
把 Netflix 换成交易所,结构不变:账户出了岔子、给一个链接、催你马上处理。
换成交易所的说法,大致是这样(以下四条是示例)
- “您的账户检测到异地登录异常,为保障安全,请点击链接立即验证身份。”
- “您的KYC 实名认证即将过期,请于 24 小时内点击重新认证,逾期账户将被冻结。”
- “您有一笔提现申请正在处理,若非本人操作,请点此立即取消。”
- “系统升级,您的账户需重新激活,请通过以下链接完成验证以恢复使用。”
“非本人请点此取消”这一条要单独留意:它让你以为自己是在保护账户,越着急越会去点。
点了链接会被带到哪里
短信和邮件本身拿不走钱,它的用处是把你领到下一步。去向有两个:
一个是高仿假站。链接打开的页面和真交易所长得一样,你输入的账号密码被转到对方手里;接着页面提示“为完成验证,请输入短信 / 验证器验证码”,你照填,验证码也一并被拿走,对方用这套信息去真站登录、提币。假站的域名怎么看,见 假交易所网站的 5 种域名障眼法。
另一个是“联系客服”。有的邮件不给登录链接,而是留一个“客服电话 / 客服 Telegram”。你联系过去,对面的“客服”会一步步让你转账或交出验证码。那个号码或账号是不是官方的,核法在 自称客服的人去哪核。
发件人显示是官方,能信吗
不能单凭显示的名字信。下面四处,是一条消息里可以对照的地方:
| 看哪里 | 钓鱼消息常见的样子 | 怎么处理 |
|---|---|---|
| 发件人 | 号码、邮箱、显示名称看着像官方 | 显示成谁都不作数;币安的邮箱和电话可以贴进 Binance Verify 查是不是官方的 |
| 链接 | 文字显示是官网,实际指向拼写近似或加了词的域名 | 显示的文字不等于真实地址,不点就不用分辨 |
| 时限 | “24 小时内”“逾期冻结”“立即”“非本人请取消” | 越催越要停下来,自己进站看 |
| 称呼 | “尊敬的用户”“亲爱的客户”,不写你是谁 | FTC 样例的第一个记号就是泛称 |
链接里的域名拿不准,可以贴进本站的域名核对器,看它和官方域名差在哪。
在香港用本地手机号收短信的,还多一处可以看:通讯事务管理局办公室的短讯发送人登记制下,已登记的公司或机构发短信时,发送人名称以“#”号开头,通讯办的登记册可以查某个名称登记了没有。这项制度从 2023 年 12 月 28 日起实施,现已开放给各行业申请;一家交易所有没有登记,要到登记册里查,不能默认。通讯办在同一页提醒:任何情况下,都不要向身份未经核实的短信发送人披露个人资料、转账,或打开短信里的超链接。
最省事的办法:消息里的链接一概不点
上面四处要逐条对照,钓鱼消息的细节也会越做越像。省事的办法是把进站方式固定下来:
不点短信和邮件里的任何链接
不管它显示是谁发的、说得多急,都不点消息里的链接。担心账户出事,就自己输入官方域名,或者打开之前装好的官方 App、用存好的书签进站,看里面有没有通知。
这样做,短信里的说法怎么变、域名仿得多像都不要紧——你根本不经过它给的那条路。
- 交易所官方域名第一次确认后存成书签,以后只从书签或官方 App 进。
- 任何页面要你输入钱包助记词或私钥的,关掉。
- 开启验证器 2FA 和提币地址白名单,密码泄露时多一道防线。
万一真是交易所发的,不点会耽误事吗
不会。真有需要你处理的事,站内也会有同样的通知;自己进 App 或官网看一眼,比点消息里的链接多花不了多少工夫。FTC 的指南给的也是这个办法:你确实在那家公司有账户的话,用你知道是真的电话或网站去联系对方,不用消息里给的联系方式。
交易所自己的说法可以拿来对照。欧易帮助中心的防范新型电话诈骗说明(页面标注 2026 年 9 月 22 日更新)写明:官方客服只通过 App 内的语音功能联系用户,不会主动打手机电话、发短信,也不会经任何外部平台联系,不会索要密码和验证码。按这段话,一条让你回拨号码、加“客服”或报验证码的“欧易短信”,就不是官方发的。别的平台各有各的规则,拿不准时同样以站内通知为准。
已经点了链接、输了密码或验证码怎么办
要抢时间,先做账户里的事:
从书签进真站,先改密码,再查有没有被改动
用书签或手动输入官方域名进入真账户(确认域名无误),先改登录密码和资金密码,邮箱密码一起改。接着踢掉不认识的登录设备和会话,删掉可疑的 API 密钥,看提币地址白名单有没有被加陌生地址,有就撤掉;2FA 解绑后重新绑定。
转移资产、报告官方
必要时把资产转到自己完全控制的地址,并通过站内客服(别找短信里的“客服”)报告异常。那条短信 / 邮件和链接域名截图留好。
点开过附件或装过东西的,查一遍设备
FTC 的指南写到:如果你点的链接或打开的附件可能装了有害软件,先更新设备上的安全软件,再做一次扫描,把查出来的问题清掉。短信让你“下载新版 App”而你已经装了的,按 装了假交易所 App 之后的清理步骤处理。
已经有币被提走的,改密码、留证据、报案的顺序见被骗后怎么办。钓鱼邮件本身,FTC 的指南给了一个转发举报的地址:反钓鱼工作组(APWG)的 [email protected]。