8 分钟 · 64 万美元 USDC 蒸发
先把结局摆这。2025 年 2 月 11 日凌晨，一名加密用户签下一个 Permit2 离链签名，8 分钟后他钱包里的 64 万美元 USDC 通过一笔 transferFrom 被一次性扫走。整个过程他的钱包没有发起任何 transaction，是攻击者用他的签名调用的。
那 8 分钟之前 · 一条吐槽推文
同一天洛杉矶时间 1:47 AM，另一位 Web3 开发者在 X 上吐槽 Phantom 钱包「swap 失败了 3 次」。47 秒内他收到 4 条回复，全部来自「Phantom Support」「SolanaHelp」「Web3 Rescue Bot」之类的账号，全部挂蓝标，全部建议「connect wallet to our diagnostic tool」。这位开发者警惕度高，截图自嘲发回去。但同一推文下，另一个资金量更大、警惕度更低的用户走完了流程 —— 那个人就是 8 分钟蒸发 64 万的主角。
为什么这事 60 秒就能发生
这类团伙的回复机器人规模很大，一套话术能在很短时间里铺满大量官方账号的评论区。bot 后台共享一份「品牌-关键词-话术」数据库，监控所有大型钱包、链、交易所官方账号下的评论。脚本扫到 lost / stuck / pending / help 等词，1 分钟内贴回复。蓝标账号库由大量被盗或刷量号轮换，封一批换一批。
中招的时刻很一致：深夜、刚遇到技术问题、心情焦躁。social engineering 教科书里的「低警惕窗口」在现实里就是这副样子。
5 条信号
- 你发推 60 秒内多个「客服」齐刷刷出现 —— 没有任何官方反应能这么快
- 回复账号粉丝不少，但互动很少、注册时间很近
- 链接挂 calendly / linktree / typeform —— 真官方永远是自家域名
- 「connect wallet / sign for verification」—— 钱包不需要签名来「诊断」
- @username 里有数字代替字母（Phant0m_Help 那个 O 是零）
已经签了怎么办
EIP-2612 Permit 提交上链前 revoke.cash 看不到；Permit2 不同，你的代币先授权给了 Permit2 合约，这条 revoke.cash 看得到，撤掉后 Permit2 名下的签名就用不了。能撤先撤，同时把资产转到新地址。按《私钥泄露应急 · 五步抢救流程》第三步执行。每多 1 分钟攻击者越接近调用 transferFrom。
装一个 Pocket Universe 或 Rabby 这种签名解析插件，那 64 万本来可以拦住 —— 它们会把 Permit2 的结构化字段翻译成「你将授权 0xabc... 转走全部 USDC，金额 max uint256」。看到这种翻译就知道是钓鱼。