幣圈有句自嘲：「散戶不是在領空投，就是正在被空投領走。」11 月行情回穩，各種「空投季」傳聞滿天飛，每一個熱門項目的名字，都成了駭客漁場裡最肥的魚餌。以下案例依真實詐騙模式改寫——主角不是幣圈小白，恰恰是一個自認很小心的人。
真實案例：一次「免費領幣」，三分鐘搬空 65 萬
28 歲的小晴（化名）在台北擔任 UI 設計師，幣齡三年，自認不是無腦梭哈的那種人：資產放在硬體錢包，交易所官網一律用書籤，助憶詞抄在紙上離線保存。她的習慣是盯著幾個熱門公鏈的空投傳聞，等項目正式公告再行動。
11 月中旬某個晚上，她在 X（Twitter）刷到一則貼文：「$ZKL 空投查詢正式開放，連接錢包查看你的追溯資格」。發文帳號的名稱、頭貼、簡介都跟官方一模一樣，只差帳號 handle 裡一個肉眼難辨的字元。貼文下面已經有一排「感謝項目方」「領到 4,000 枚」的回覆，截圖齊全。
她點進貼文附的網站，網域長得像官方的變體（zkl-airdrop．cc），頁面設計與官網像素級相似，連動畫都沒少。連接錢包、點下「查詢資格」，畫面跳出：「恭喜，偵測到 3,200 枚 $ZKL 可領取」。她點了 Claim，瀏覽器錢包彈出簽名請求——金額顯示 0，手續費 0，只有一行她沒細讀的英文：Approve access to all your tokens。
簽完，畫面開始轉圈「處理中」。三分鐘後，她錢包裡的兩隻藍籌 NFT、USDC 與 USDT 被一筆筆轉出，市值合計約 65 萬。區塊鏈瀏覽器上，收款方是一個部署不到 48 小時的合約。她簽下的根本不是「領空投」，而是一份無限授權——從那一刻起，她的錢包對方隨時能提。
詐騙手法完整解析：你簽的不是名，是提款卡密碼
第一，漁場就設在你刷推的地方。假空投的入口九成來自 X 與 Discord：高仿帳號在官方公告底下搶樓層、假 DM 群發、假中獎通知。項目越熱、公告越急，釣魚網站上線越快——有時比官方頁面還早。
第二，像素級官網。克隆一個官網的成本是零：右鍵另存、換個網域就能上線。域名陷阱五花八門——多一個字元、把 r 換成 rn、.io 換成 .cc、在商品名後面加 -airdrop。疲勞的深夜、興奮的 FOMO，肉眼根本分不出來。
第三，最危險的一步：無限授權。多數人以為「簽名不等於轉帳，錢不會動」。大錯。區塊鏈上有兩種危險操作：其一是 approve / permit 型的授權，一次簽名，允許某個合約日後動用你指定（或無限）數額的代幣；其二是 setApprovalForAll，一鍵把整個 NFT 系列的管理權交出去。詐團要的就是這一簽——你按的是「領取」，合約讀到的是「全部拿走」。
第四，這是一門租賃生意。「吸血鬼合約」（Wallet Drainer）早就產業化：駭客團隊把工具做成訂閱制出租，技術方抽走贓款的三成。釣魚網站、引流帳號、洗錢跑分各自分工，受害者面對的不是單打獨鬥的騙子，而是一整條流水線。
第五，為什麼錢包沒有警告你？因為交易金額是 0、對象是你「自己同意」的網站、按鍵是你自己按的。工具只能提示風險，不能替你讀懂那一行英文。它們賭的，就是你永遠不會細讀。
如何識破這種詐騙：五個檢查，擋下吸血鬼合約
檢查一：網域逐字讀。領空投前，把網址一字一字念出來：有 -airdrop、-claim、-reward 後綴的，先當詐騙。真正的空投頁永遠掛在項目主網域底下，而且會由官方主帳號的置頂貼文連結。
檢查二：只走書籤，不走連結。任何空投消息，一律自己開書籤或手動輸入官方網域查證。社群貼文裡的連結、私訊裡的連結、搜尋廣告裡的連結，全部預設有毒。
檢查三：看懂簽名內容再按。彈出視窗裡出現 approve、permit、setApprovalForAll、unlimited 這些字，停下來。一個正常的空投領取，只會要求你支付小額手續費（gas），永遠不需要「批准存取你全部的代幣」。
檢查四：冷熱分離。日常互動、連網站用的熱錢包只放小額；大額資產待在硬體錢包，永遠不碰任何網站簽名。獵人再厲害，也釣不到不露面的魚。
檢查五：免費的最貴。真空投是項目方把幣「送進」你的錢包，你什麼都不用簽。反過來要求你「簽名驗證資格」「批准才能領取」的，不是空投，是魚鉤。
中招了怎麼辦：黃金一小時的損害控制
第一步，立刻撤銷授權。打開 revoke.cash 或 Etherscan 的 Token Approval 頁面，連上被釣的錢包，把可疑合約的授權全部 Revoke。撤得快，還來得不及被搬走的資產就保住了。
第二步，資產大搬家。把錢包裡還倖存的代幣與 NFT，轉到一個全新產生的錢包位址——不要沿用同一組助憶詞底下的舊位址，因為授權是綁在位址上的。
第三步，保存證據。網站截圖、來源貼文連結、錢包彈窗畫面、每一筆被轉出的交易哈希（tx hash），全部存檔。鏈上紀錄就是最完整的報案材料。
第四步，報案與止付。撥打 165 反詐專線並至派出所報案。加密資產透過混幣器洗錢後追回機率不高，但即時報案有助於警方鎖定金流、圍堵下游，也讓統計數字逼出更多執法資源。
第五步，原諒自己。被騙不是因為笨，是因為對手是武裝到牙齒的產業。羞恥感讓多數受害者沉默，而沉默正是這門生意最好的保護色。
自保清單：領空投前，先過這七關
- 冷熱分離：互動錢包只放你賠得起的金額，大額資產離線保存。
- 書籤主義：所有官方網站存書籤，永遠不從貼文連結進入。
- 逐字簽名：看不懂的簽名請求，寧可放棄空投，也不按下確認。
- 定期斷捨離：每月上 revoke.cash 清一次殘留授權，像整理錢包發票。
- 助憶詞是底線：任何網頁、任何「官方客服」要求輸入助憶詞，100% 是詐騙，沒有例外。
- 開啟防護：錢包與瀏覽器開啟模擬交易與釣魚警告功能，多一層嘮叨多一分安全。
- 慢三分鐘：再火的空投都不差你三分鐘。簽名前離開螢幕喝口水，回來再讀一次那些英文。
結語
空投的本意，是把報酬還給早期用戶；但在詐團手裡，「免費」兩個字成了最便宜的魚餌。小晴的三分鐘，換走了 65 萬與三年的小心謹慎——她事後說，最痛的不是錢，是「我明明什麼都做對了」。其實她只差一件事：在按下確認前，把那行英文讀完。這個市場獎勵的不是手速最快的人，而是活得最久的人。把這篇轉給你身邊在幣圈的朋友，一次分享，可能就擋下一次 65 萬的蒸發。