【2026 防詐騙】「只是連錢包查空投資格，那個簽名我看不懂但按了確認」：假空投網站的錢包授權釣魚，如何讓 31 歲工程師十分鐘內被搬走 320 萬的 NFT 與 USDT
一個簽名，搬空一個錢包：小陳的十分鐘
小陳在內湖上班，31 歲，前端工程師。加密貨幣資歷三年，不算老手，但私鑰、助記詞、硬體錢包都懂，朋友遇到幣圈問題都會問他。他的錢包裡有 8 顆 ETH、一萬多枚 USDT，還有幾張熊市撿的 NFT，合計約 320 萬。
某個週六晚上，他在 X（Twitter）看到有人轉推：「某條知名 Layer 2 公鏈的空投名單開放查詢了，曾經交互過的地址最高可領 4,200 枚」。推文附的網址，跟官方域名幾乎一樣，只差一個字母。
他點進去。網站配色、Logo、倒數計時都跟官方同步，甚至還有中文介面。他按下「查詢空投資格」，MetaMask 跳出「連接錢包」請求，他確認了。畫面顯示：「恭喜，您的地址符合 3,200 枚領取資格」，下面一顆大大的「立即領取」。
按下領取，錢包跳出一個簽名請求。內容不是白名單地址、不是金額，而是一串他看不太懂的文字與十六進位代碼。他猶豫了三秒，想著「簽名又不用花 gas，也不是轉帳，應該只是身份驗證」——按下確認。網站閃了一下，顯示「領取失敗，請稍後再試」。
他去洗了個澡。十分鐘後回來，社群群組已經炸開：他的 NFT 正在被低價掛售。他打開錢包：ETH 還在，USDT 全空，NFT 全部消失。全部損失，約 320 萬。
詐騙手法完整解析：不用你的密碼，也能搬走你的錢
這類攻擊有個名字：錢包釣魚，近兩年主流的工具叫 wallet drainer（錢包抽取器）。它不偷密碼、不偷助記詞，而是「釣」你親手簽下一個授權。整個流程分四步：
第一步，流量佈局。詐團搶在官方公告空投前註冊仿冒域名，有的只差一個字母（arb1trum 換成 arbirum）、有的用同形異義字混淆視覺。他們在 X 上用假帳號在官方貼文下方大量回覆釣魚連結、買搜尋引擎廣告排到第一，就等你手滑點進去。
第二步，完美複製官網。網站 UI、文案、倒數計時全部照抄，差別只在「領取」按鈕背後綁的是詐團的智能合約。
第三步，也是最關鍵的一步：釣簽名。你按「領取」，錢包跳出的不是轉帳，而是一個授權請求。常見三種：
– setApprovalForAll：把你的某系列 NFT「全部轉移權限」授權給對方。小陳中的就是這個。
– approve（unlimited）：授權對方無限額度動用你的 USDT 或其他代幣，之後分批轉走。
– permit / 盲簽：只要簽個名，對方拿著簽名就能代替你花錢，連 gas 都不用你出。
很多人跟小陳想得一樣：「簽名不是轉帳，沒事」。但在鏈上，簽名就代表你的身份——授權一旦簽出去，等於把家里保險箱的備用鑰匙交給陌生人，他什麼時候開、搬多少，都不再需要你確認。手續費對方出，你的資產在他端自動搬運。
第四步，快速變現。機器人拿到授權後，幾分鐘內把 NFT 以地板價一半掛單拋售、USDT 換成以太幣，丟進混幣器斷金流。等你發現，資產早繞了好幾手。
如何識破這種詐騙
– 空投查詢不需要任何「簽名」。真正的空投領取，合約會顯示領取代幣名稱與數量，且需要你付 gas。如果簽名內容是看不懂的代碼、或要求你「驗證錢包」就送資格——關掉。
– 看清楚簽名請求的關鍵字：approve、setApprovalForAll、Unlimited 出現任何一個，都是紅旗。
– 域名逐字檢查。官方連結只從官方 X 的主頁貼文、官方 Discord 公告頻道取得，不要相信「官方帳號」的回覆區與私訊——那是最容易佈滿釣魚連結的地方。
– 搜尋引擎前幾名的「交易所/空投」結果可能是廣告，認明「廣告」標籤。
– 定期用 revoke.cash 或 Etherscan 的 Token Approval 工具檢查自己錢包的授權清單，把用不到的授權撤掉。
– 大額資產與日常互動錢包分開。查資格、mint 這種高風險動作，用只有幾百塊的熱錢包操作。
中招了怎麼辦：黃金一小時的搶救順序
– 第一步，立刻撤銷授權。用 revoke.cash 連接錢包，把可疑地址的 approve 與 setApprovalForAll 全部 revoke。撤完之前，剩下的資產都還在危險中。
– 第二步，剩餘資產轉入全新錢包。不要留在原地址，詐團可能還握有其他休眠授權。
– 第三步，保存證據。釣魚網址、簽名的 hash、對方合約地址、被轉走的交易 hash，全部截圖存檔——報案與後續追蹤都要用。
– 第四步，打 165 反詐騙專線報案，並到 165 的「區塊鏈數位資產詐欺」通報平台登錄交易資料；若資產流向中心化交易所，警方可透過交易所凍結。
– 第五步，小心二次詐騙。上網搜「被盜 錢包 找回」，會出現一堆「鏈上還原大師」「駭客追回服務」，先收你 0.5 ETH「手續費」再消失。錢包被盜目前幾乎沒有民間追回服務，一律視為詐騙。
自保清單：簽名之前，先過這五關
– 簽名前自問：這個網站是從哪裡連過來的？官方 or 回覆區？
– 簽名內容看不懂，就不要簽。沒有任何正當空投需要你簽下看不懂的東西。
– setApprovalForAll、approve unlimited、permit 出現即止損。
– 互動錢包只放小錢，重資產放冷錢包，永遠不碰陌生網站。
– 每季用 revoke.cash 大掃除一次授權。
– 助記詞不輸入任何網站，任何時候都不。要求助記詞的 100% 是詐騙。
結語：在鏈上，簽名就是你的簽名筆跡
Web2 時代被盜帳號，客服還能幫你找回來；鏈上世界沒有客服、沒有掛失、沒有回滾。一個簽名，效力等同於你親筆簽名的授權書——小陳懂技術、懂私鑰，還是栽在那三秒的僥倖上。
空投季就是釣魚季。記住這句話：真正屬於你的空投，不會因為晚十分鐘領取而消失；但一次手滑的簽名，會讓你十年的積累瞬間歸零。