钱包里突然多了陌生 token 是什么？

那是别人主动转到你地址上的代币：往任何地址转代币都不需要对方同意，所以它出现在你的钱包里，不代表钱包被人动过。它待在列表里不会造成损失，损失出在后面的动作：按代币名字或配套网站的指引去「领取」「兑换」，在那里给真 USDT、真 USDC 签授权，或者输入助记词。处理办法是不碰它：不点链接、不兑换、不转出，嫌碍眼就在钱包里把它隐藏。

陌生人为什么要给我转代币

给很多地址各转一份自己发行的代币，花的只是一点 gas，收到的人里只要有少数照着指引去操作，对发的人就划算。这类代币常见的几种包装：

• 名字叫 USDT、USDC，合约却不是真 USDT、真 USDC 的那一份。代币名字谁都能起，同名不代表是同一个代币。
• 把一个「领取」网址直接写进代币名字里。
• 借用知名协议的名字，后面加上 Reward、Airdrop 一类的字样。
• 余额显示成一个好看的整数，让人以为白得了一笔。

它会自己出现在资产列表里，是因为钱包在替你扫描。按 MetaMask 帮助中心 How to display tokens in MetaMask 一页，代币自动检测在 EVM 网络和 Solana 上默认开启。同一页的提醒是：对空投来的、不认识的代币保持怀疑，交互之前先查清楚。

放着不动没事，那损失出在哪一步

出在你照它的指引去「领取」，或者想把它换成 ETH、USDT 的时候。常见的三条路：

• 给真币签授权。页面让你对真 USDT、真 USDC、真 WETH 这类代币签一笔 approve，或者签一条看起来只是「验证」的 Permit 链下签名。签了哪一种币的授权，哪一种币就可能被对方用 transferFrom 转走。
• 交出助记词或私钥。有的页面让你「导入钱包验证资格」，输进去就等于把整个钱包交了出去。
• 和陌生代币本身交互。它的合约是对方写的，转它、卖它、给它授权，执行的都是一段你没看过的代码。MetaMask 在上面那一页还提醒：拿这种代币发交易失败后，区块浏览器里的报错信息如果让你去某个网站，那多半是钓鱼站，不要点。

ERC-20 的授权是按代币分开、记在各自合约里的：就算给这个陌生代币签了 approve，对方凭它也动不了你的真 USDT。丢币的那一步，是给真币签授权，或者交出助记词。哪几种签名会被这样利用，见《代币授权怎么查、怎么撤销》里「骗的是哪几种授权」一节。

陌生代币、零金额转账、小额到账：三种情况怎么分

钱包里多出来的不一定是带名字的陌生代币，还有两种长得像、目的不同的情况，常被混在一起说。

• 带名字或网址的陌生代币（假空投）。列表里多了一种你没买过的代币。对方要的是你去它指定的网站签授权或输入助记词。处理：不碰。
• 地址投毒。交易记录里多了一笔转账，金额通常是零，对方地址的开头和结尾几位和你常用的某个地址一样。按 MetaMask 帮助中心 Address poisoning scams 一页，骗子用靓号地址生成器造出近似地址，再用这笔转账把它塞进你的记录；这笔转账本身没有害处，损失出在你下次从交易记录里复制了它、把币转了过去，转出去的追不回。处理：转账前核对完整地址，中间的字符也要看；不从交易记录里复制地址；常用地址存进钱包的地址簿，以后从地址簿里选。
• 粉尘攻击（dusting）。收到一笔极小额的真币。对方不指望你点什么，而是观察这笔小额之后和哪些地址的钱一起被花掉，据此推断哪些地址属于同一个人，为之后的定向诈骗做准备。它不直接偷钱。处理：放着不动，不要把它和别的钱合在一起转出。

三种情况有一个共同点：到账这个动作本身不会让你丢币，也不需要你去「处理」「激活」或「撤销」什么。别人空投给你的代币，你没给它授权过，也就没有什么可撤的。有人以此为由催你去某个网站操作，那一步才是骗局本身，见《代币授权怎么查、怎么撤销》里关于假撤销工具的提醒。

想把它卖掉、转走、删掉，行不行

• 把它换成 ETH 试试。不要。这类代币往往会把你引到它指定的兑换页，而那个页面要你给真 USDT、真 USDC 签授权或 Permit 签名。
• 转给别的地址看看。没有必要。转账要调用这个代币自己的合约，代码是对方写的，可能直接失败、白付一笔 gas。你没授权过的真币它动不了，但也没有理由为它签任何一笔交易。
• 在钱包里把它删掉。能做的是隐藏：MetaMask 的说明是可以把代币从资产列表里移除，在代币列表里把它关掉即可。隐藏只是不显示，链上的记录还在，这没有关系。
• 在区块浏览器里点开它的合约看了一眼。只是查看不会触发任何交易。别去点代币页面或报错信息里写的网址。

已经点过链接、签过东西怎么办

按做到了哪一步来分：

• 只是打开过那个网站，没连钱包、没在弹窗里点过确认：关掉页面即可。
• 连过钱包、在弹窗里确认过授权或签名：马上去查这个地址的授权，把不认识的撤掉；签的是 Permit 这类链下签名的，按「签过可疑的 Permit 签名，还能作废吗」处理，同时把对应的代币转到另一个地址。查和撤的步骤见《代币授权怎么查、怎么撤销》。
• 在那个页面输入过助记词或私钥：按泄露处理，新建一组助记词，把资产转过去，顺序见《私钥或助记词泄露了怎么办？》。

同一类骗局的其它入口，见常见钓鱼手法怎么识别。