加密货币钓鱼骗局有哪些？13 类常见手法怎么识别

这页怎么用：按骗局从哪儿找上你来查

加密货币的钓鱼骗局花样多，入口就那么几个：一条私信、一个弹窗、一条搜索结果、一封邮件、一个快递包裹。这页按入口把常见手法分成 13 类，每类写三样东西：它长什么样、哪一步出事、动手前核对什么。核对步骤里涉及具体产品的，都给了厂商或机构原始页面的链接，外链核对于 2026 年 10 月。

各类开头描述的情景是为说明手法设的，不是事件记录。真实事件的复盘另放在公开安全事件复盘。

已经中招的，直接跳到处理顺序。

2025 年被骗走多少：两份年度报告的数字

两份报告都发布于 2026 年 1 月，统计范围不同，数字不能相加。

Chainalysis 2026 年 1 月 13 日发布的加密诈骗年度报告，统计的是各类诈骗地址在链上收到的钱：2025 年至少 140 亿美元；2024 年的数字从最初报告的 99 亿美元重算为 120 亿美元；报告预计，随着更多地址被识别，2025 年的数字可能超过 170 亿美元。报告点名冒充类诈骗比 2024 年增长超过 1400%，还给了一组对比：与 AI 工具供应商有链上关联的诈骗，平均每起行动收款 320 万美元，没有这种关联的是 71.9 万美元。

Scam Sniffer 2026 年 1 月 3 日发布的2025 年钓鱼报告只统计钱包签名类钓鱼：2025 年损失 8385 万美元、受害者 106,106 人，2024 年是 4.94 亿美元，金额下降 83%。全年单笔最大的一起是 9 月的 650 万美元，出自一次 Permit 签名；报告还写到，大额案件的损失里 Permit / Permit2 签名占 38%。

两组数字放在一起看：签名钓鱼的总额降了，冒充类在涨，大额损失仍然集中在 Permit 这类签名上。

13 类手法速查表

1. 自称客服主动私信、来电：怎么判断真假

假设你在社交平台发了一句「提币怎么还没到」，不久就有顶着交易所头像、名字带 Support 的账号来私信，或者在你的帖子下面回复一个「申诉表单」链接；也可能是一通自称风控部门的电话，说账户有异常登录，要你配合验证。

三种入口要的东西是一样的：助记词、私钥、登录密码、短信或验证器上的验证码、验证器的绑定二维码，或者让你把币转到一个「安全地址」。这几样里任何一样给出去，对方就能自己动你的钱或登录你的账户，所以没有哪种客服业务需要你把它们交出来。

• 头像、名称、认证标记、关注数都仿得出来，不拿它们当依据。评论区里回复你的「官方账号」，先看账号名的拼写，再从官网页脚列出的社交账号点进去对一遍。
• 来电里要你读验证码、装远程控制软件、把币转去「安全账户」的，挂断。Ledger 在官方的钓鱼活动通报页里写明：Ledger 不会用短信或电话联系你，Ledger 和它的客服也不会索要 24 个恢复词。
• 「先转一笔过来，验证后加倍返还」「先交保证金才能解冻」这类先转后得的说法，不管套在客服、活动还是直播间上，都按骗局处理。
• 已经把验证码或绑定二维码给出去的：马上从官方入口登录，改密码、重置二次验证，检查提币白名单和登录设备里有没有不认识的。已经把助记词给出去的，按《私钥或助记词泄露了怎么办》处理。

2. 钱包里突然多出陌生代币，能卖吗

钱包里多出一个没买过的代币，名字像某种奖励或领取凭证，旁边还标着不低的价格。

这个代币躺在地址里，动不了你别的币：授权是按代币分开的，对它做什么授权，涉及的也只是它自己。出事在后一步。代币名称或它的「官网」把你引到一个领取、兑换页面，那个页面要你确认的授权，对象是你钱包里真正值钱的币，这就成了下面第 3 类。

想知道它是什么，把合约地址放进区块浏览器看。只读页面不需要连接钱包。更细的判断见《钱包里突然多了陌生 token 是什么？》。

3. 领空投时弹出的授权窗口，哪些不能点

假设你点进一个「领取空投」或「铸造 NFT」的页面，连接钱包后点了页面上的 Claim。钱包弹出一个确认窗口，你以为是在领东西。

出事的一步就在这个窗口里：页面按钮写的是「领取」，钱包窗口里的操作却是 approve、increaseAllowance 或 setApprovalForAll。前两个是把某种代币的动用额度交给一个地址，后一个是把某个 NFT 合集里你名下的全部藏品交给一个地址管理。确认之后，对方不用再经过你，就能在额度内把币或 NFT 转走，可以马上转，也可以隔一段时间再转。

• 领取类操作用不着你把已有资产的额度授权出去。窗口里写着无限额度、或者额度是一长串数字的，拒绝。
• 对方地址不认识就不确认。项目的合约地址以它官方文档公布的为准，别拿页面上显示的去核页面自己。
• 常去试新项目的地址和长期存币的地址分开，试新项目的那个钱包只放小额。
• 已经确认过可疑授权：照《代币授权怎么查、怎么撤销》的步骤撤销；撤销确认之前，可以先把被授权的那种资产转走。

4. 假钱包 App：从哪里下载才对

假钱包 App、假交易所 App 的界面可以做得和真品一样，差别在你输入的东西去了哪里：在假钱包里创建或导入助记词，助记词就不只你一个人有；在假交易所 App 里登录，账号、密码和验证码都交给了对方。界面像不像、功能全不全，都不能当依据，能当依据的只有下载入口。

• 自己在地址栏输入官网域名，或者用早先存好的书签，从官网的下载按钮跳到应用商店页面再装。不在商店里搜同名 App，也不点搜索结果里的广告。以 MetaMask 为例，官方的下载页给出的就是 App Store 和 Google Play 的商店链接。
• 聊天群里的安装包、「内部版」「最新版」链接、第三方安装包下载站，都不装。
• 官网同时提供安装包和校验值（SHA-256）的，下载后先算一遍再装：macOS 用 shasum -a 256 文件名，Windows 用 certutil -hashfile 文件名 SHA256（微软文档）。算出来和官网公布的不一致，删掉。
• macOS 的 Gatekeeper 检查的是软件有没有已识别开发者的签名、有没有经过 Apple 公证（Apple 平台安全指南），它不替你判断这个开发者是不是品牌官方。能顺利打开，不等于装的是真品。
• 钱包类软件以升级、同步、验证为由要你输入助记词的，退出。Ledger 的通报页写得很直接：24 个词只应输入到设备本身，没有任何正当理由把它打进电脑。

已经在可疑 App 里输入过东西的：是钱包，助记词按已泄露处理；是交易所，换一台干净设备从官网登录，改密码、重置二次验证，把不认识的提币地址和登录设备删掉。

5. 二手或来路不明的硬件钱包能用吗

来路有两种：二手平台上一台便宜不少的硬件钱包，卖家说买来没怎么用；或者一个没下过单的包裹，里面是一台品牌硬件钱包和一张写着「赠品」的卡片。

这类设备的问题在于：助记词可能不是只有你知道。卡巴斯基 2023 年 5 月拆解过一台假 Trezor，买家是在分类信息网站上买的：盒子和设备上的全息贴都在、没有破损，里面的微控制器被换过，固件里预存了 20 组助记词，设备「新生成」的其实是其中一组。

• 购买渠道：只从品牌官网或官网列出的授权经销商买。Trezor 官方页《Is my device safe to use?》的原话是不要从未经授权的第三方购买。
• Trezor 怎么验：同一页按型号写了全息封条的位置（Safe 7、Safe 5、Safe 3、Model T 在接口上，Model One 在包装盒上）；出厂设备不带固件，首次设置时才安装，连上后发现已经装好固件的不要用；Trezor Suite 只接受固件签名正确的设备。封条只是其中一项，卡巴斯基拆的那台封条完好。
• Ledger 怎么验：真伪校验的具体步骤以 Ledger 帮助中心当期的说明为准，从自己输入的 ledger.com 进去找。Ledger 通报页写明的两条可以先记住：安装包唯一的官方下载来源是 ledger.com；24 个词只输入到设备本身。
• 设置时的警告：设备屏幕或官方 App 弹出任何警告，停下来，不要点掉继续。
• 没下过单的包裹：不初始化，不扫包裹里的二维码，不拨里面留的电话。Ledger 通报页把冒充 Ledger 的纸质信件列为钓鱼：信里让你扫码或访问一个网站，最后要你输入 24 个词。

已经往这样的设备里放了币：用从官方渠道新买的设备生成一组新助记词，把资产全部转过去，旧设备不再使用。

6. 陌生人把私钥发给你，让你「帮忙提币」

手法是这样的：陌生人私信说币转错了链，卡在一个地址里出不来，把私钥或助记词发给你，请你帮忙转出来，事成分你一半。导入之后确实能看到里面有余额，只是地址里没有付手续费用的币，对方请你先垫一点。

这件事从头就不成立。把私钥交给陌生人，等于把整个地址交出去，真遇到麻烦的人不会这样求助。私钥是对方给的，他自己随时也能动这个地址，你转进去的每一笔手续费，他同样拿得走。

7. 网友带你去的「交易所」：杀猪盘与假平台

这一类靠的是时间。假设你在社交或婚恋 App 上认识了一个人，聊了几周到几个月，对方提起自己在某个平台上做交易、收益稳定，愿意带你；或者你被拉进一个「老师带单」的群，群里天天晒收益截图。你试着充了一小笔，账面涨了，提现也到账，于是加了金额。等你想把大额提出来，平台说要先交税、交保证金、升级账户。

平台上的余额和收益，只是它显示给你看的数字。小额提得出来，是为了让你放更多进去。

美国联邦贸易委员会（FTC）的加密货币诈骗提示里有三句可以直接拿来用：只有骗子会保证利润或高回报；不要把网上交友和投资建议混在一起；在假投资网站上，你要么根本提不出钱，要么得先付高额费用。

• 把「这个人」和「这笔投资」分开审。谁推荐的都一样，平台按陌生平台查。
• 平台名或域名是知名交易所的变体（多一个字母、换一个字母、加一个后缀），按假平台处理。自己输入你确认过的官网域名去比。
• 提现前要你再充一笔的，不管叫税、手续费、保证金还是解冻费，停止付款。正常的费用从余额里扣就行，用不着你另外转一笔进去。
• 「质押挖矿」「节点托管」页面要你先对 USDT 做授权才能参与的，按第 3 类看：授权给出去，对方就能在额度内转走你的 USDT。
• 「照着教程部署一个套利机器人合约，再往里转币」的，不做。Scam Sniffer 2024 年 3 月的报告拆过这种合约：教程带人在 Remix 里部署并转入 ETH，合约里无论调用 Start、Stop 还是 Withdrawal，结果都是把转进去的 ETH 发到骗子的钱包。

8. 只是签个名、没花 gas，币为什么没了（Permit）

假设你在一个页面上点了 Deposit 或 Verify，钱包弹出的不是交易确认，而是一个「签名请求」，里面是一段结构化数据，有 owner、spender、value、deadline 几个字段。它不花 gas，看上去只是签个名。

这是 Permit。EIP-2612 给 ERC-20 代币加了一个 permit 函数：持有人在链下签一段消息，拿到这段签名的人把它提交上链，效果等同于持有人自己发了一笔 approve，允许 spender 在 deadline 之前动用最多 value 数量的代币。签名本身不上链，所以签完之后链上没有记录，直到对方把它提交上去、再把代币转走。Revoke.cash 的说明页提醒的是同一件事：钱包对链上授权会给警告，对 Permit 签名常常没有，人会以为自己只是在登录网站。

字段名是 PermitSingle、PermitBatch 的，是 Uniswap Permit2 的签名：按 Permit2 文档，前者授权一种代币，后者一次授权多种代币，核对方法相同。

已经签了可疑的 Permit：

• 最快的一步是把这种代币从这个地址转走。这段签名授权的是这个地址上的这种代币，地址里没有了，对方就无币可转。
• 签名在提交上链之前可以作废。EIP-2612 规定每个地址有一个 nonce，permit 每成功一次 nonce 加 1，同一段签名用不了第二次；nonce 先被用掉，对方手里那段就失效了。Revoke.cash 的账户页有一个 Signatures 标签可以尝试取消，它自己也写明这很难抢在对方前面，而且它无从知道你实际签过哪些。
• 对方已经把 Permit 提交上链的，授权会出现在授权列表里，按普通授权撤销，步骤见《代币授权怎么查、怎么撤销》。

9. 扩展商店里好几个同名钱包，哪个是真的

在 Chrome 应用商店搜钱包的名字，结果里可能并排着好几个同名、同图标的扩展。

装错的后果和假 App 一样：在里面创建或导入钱包，助记词就不只你一个人有。对方不一定马上动手，「用了一阵没出事」说明不了什么。

以 MetaMask 为例（商店页核对于 2026 年 10 月）：

• 扩展 ID：Chrome 应用商店详情页地址的最后一段就是扩展 ID。MetaMask 的商店页地址以 nkbihfbeogaeaoehlefnkodbefgpgknn 结尾。
• 开发者：这一页显示的开发者是 Consensys Software Inc.，网站一栏指向 metamask.io。
• 入口：不在商店里搜，从 metamask.io/download 进，由官网把你带到浏览器对应的商店页面。

别的钱包照这个顺序做：先官网，再由官网跳商店。搜到某个 DEX 或项目的「官方扩展」，先到它官网确认有没有出过浏览器扩展。和钱包打交道的操作，最好单独用一个浏览器用户配置，里面只装钱包扩展，不用的扩展卸掉。

已经装了同名的假扩展并在里面建过或导入过钱包：卸载解决不了问题，助记词按已泄露处理。

10. 邮件、短信里的「账户异常」链接

这类邮件的样子：发件人显示名写着某交易所的安全团队，说检测到异常登录，要你在 24 小时内点链接完成验证，否则冻结账户。链接的文字看着是官网地址，实际指向的是在品牌名后面多加了一段单词的近似域名。

显示名和链接文字都是发件人自己填的，证明不了什么。点进去是一个和官网一样的登录页，你输入的密码和验证码会被对方拿去登录真的账户。

• 以新固件、安全升级、数据泄露补偿为由，要你在网页里输入助记词的邮件，是钓鱼。Ledger 通报页的说法：恢复词只在设备上输入，Ledger 和它的客服不会索要。
• 交易所账户有防钓鱼码功能的，设上：官方邮件会带着你设的那串字符，没带的直接删。带了也只是少一个疑点，要操作仍然从书签进。
• 给交易所账户单独用一个不对外的邮箱，收到的钓鱼邮件会少很多。

11. 搜索结果第一条是广告：假官网怎么避开

搜索结果页的第一条带着广告标记，标题写着某钱包或交易所的官方下载，显示的网址看上去也是官网。

Google Ads 的落地页政策把两种情况都列为不予批准：显示网址的域名与实际到达的网址不一致；从最终到达网址再跳转到另一个域名。政策禁止，不等于你看到的每条广告都合规。Scam Sniffer 在 2023 年 12 月和 2025 年 1 月各有一篇报告，追踪的就是经广告投放的钱包钓鱼和恶意软件。

• 常用的官网，第一次手动输入域名后存成书签，之后只走书签。
• 非搜不可时用 site: 限定域名，比如 site:你确认过的官网域名 download，结果只来自这个域名（Google 的说明）。
• 跨链桥、DEX 这类要连接钱包的页面同理：从项目官方文档或官网给的链接进，不从搜索结果进。
• 已经下载了安装包的，按第 4 类的办法校验后再决定装不装。

12. 名人出镜的「紧急迁移」视频

假设你刷到一条转发量很高的帖子，视频里是某交易所创始人对着镜头说：平台 24 小时内要做资产迁移，所有用户到视频下方的链接完成验证，否则资产冻结。评论区一排「已迁移成功」。

视频像不像本人，用不着你来判断；转发量、评论、认证标记也都做得出来。Chainalysis 的年度报告把 AI 工具列为诈骗收款升高的因素之一，前面引过那组数字。要核对的是另一件事：这家平台自己的渠道里有没有这条公告。

直播间或视频里「先转币过来、加倍返还」的活动，同样按骗局处理。

13. 被骗后有人说能「帮你追回」

被骗之后在论坛、社交平台发帖求助，很快会有人私信，自称链上取证团队、律师或白帽黑客，说能把钱追回来，先收一笔调查费、授权金或律师费。

英国金融行为监管局（FCA）把这叫 recovery room scam：骗子找上已经被骗过、或投资失败的人，说能帮忙把钱拿回来，条件是先付费；这笔费用常被说成税、律师费或手续费。FCA 的建议是立即终止联系，不付钱，不提供银行信息。

• 对方自称的身份（前执法人员、某链上分析公司的员工）你核实不了，不作依据；网站做得再正规也一样。
• 想追，走报案：向所在地警方报案，带上聊天记录、转账哈希、对方地址和网页截图。
• 求助帖里不留联系方式。
• 第二次被骗的损失同样保留证据，一并报案，不再追加任何费用。

明知道有骗局，为什么还是会点

上面 13 类借用的情绪就那么几种。每一种都可以提前给自己定一条规矩，到时候照规矩办，不临场判断：

• 被限时催促（「24 小时内不验证就冻结」「最后几小时领取」）：限时催你动钱包的，先放着，到官方渠道核对完再说。
• 看到权威标记（logo、认证账号、工单截图、名人出镜）：这些都仿得出来，只认入口，看它是不是你自己打开的官方 App 或官网。
• 已经投了钱（「再补一笔就能全部提出来」）：发现自己在考虑再补一笔，就停止付款，先核实平台。
• 又困又急（深夜、赶时间、刚出过一次错）：这种时候不操作钱包，隔天再看。
• 想帮人（「帮我提一下币，分你一半」）：涉及别人的私钥、涉及先垫钱的，不参与。

该做和不该做对照表

已经中招了，按什么顺序处理

先分清出事的是哪一种，两种的处理不一样。

1. 助记词或私钥给出去了（输进了网页、假 App、假扩展，或发给了别人）：这个钱包整个作废。在一台干净的设备上新建钱包、生成新的助记词，把旧钱包里剩下的资产全部转过去。完整步骤见《私钥或助记词泄露了怎么办》。
2. 只是确认过授权或签过 Permit：助记词还是安全的，要做的是撤销授权；撤销确认之前可以先把被授权的那种资产转走，签的是 Permit 则撤销和转走两样都做。步骤见《代币授权怎么查、怎么撤销》；Permit 的处理见上面第 8 类。
3. 交易所账户的密码或验证码给出去了：从官方入口登录，改密码、重置二次验证，删掉不认识的提币地址、登录设备和 API 密钥。
4. 保留证据：聊天记录、转账哈希、对方地址、网页截图和网址。
5. 报案：向你所在地的警方报案。有公开网页入口的举报渠道，比如美国 FBI 的 IC3、美国 FTC 的 ReportFraud，可以同时提交。

做完这些之后，如果有人主动联系你说能把钱追回来，回到第 13 类看一遍再决定回不回。