Android 假币安 App · 来自第三方应用商店的 APK

为什么有人会装第三方 APK

原因通常不复杂：搜「币安 App 下载」，排在最前面的是广告位；群里有人甩来一个「内部版」「最新版」链接；或者嫌商店版更新慢，去 APK 站找所谓的新版。这几条渠道里钓鱼版都很常见。不是用户不警惕，是这些入口本身就靠不住。

老吴是怎么用了 9 天没察觉的

下面是一则按真实手法合成的案例，老吴是化名。2025 年 5 月 30 日，住在台北的老吴在搜索引擎里搜「币安 App 下载」，点进一个仿冒官网的下载站，下载了 Binance_v2.71_zh.apk。系统提示「允许安装未知来源应用」他点了允许。App 启动后界面完全跟真币安一样，他用 web 老账户登录，能看见 19 万 USDT 余额、能正常充提币 —— 因为那 App 是真币安 H5 套了个壳，所有数据都从真币安服务器拉，只是中间多了一层中间人。

他用了 9 天没事。第 10 天早上发现账户被划走了大半。事后查清楚：他输账密时被中间人截获，2FA 被钓鱼版自动转发给攻击者。攻击者拿到账密后用另一台设备登录、添加新提币白名单（同样靠 2FA 转发通过）、然后凌晨分多笔 0.5-1 万 USDT 划走 —— 单笔不大避免触发风控。等币安系统反应过来冻结时，已划走 9 成。

正确的下载路径

只从交易所官网进。自己在地址栏输入官网域名，或者用之前存好的书签，点官网上的下载按钮，让它跳转到你所在地区的官方商店页（Google Play / App Store）再装。不要在商店里自己搜同名 App，更不要点搜索结果里的广告。

官网提供 APK 直装包的，也只从官网的下载按钮拿，下载后先算文件的 SHA-256，与官网公布的一致才装 —— Windows 用 certutil -hashfile，Mac 用 shasum -a 256。

下载 Binance App 的 5 条避坑指南

• 第三方 APK 站、搜索引擎广告位、群聊里的「内部链接」 —— 一律当不可信
• APK 文件的 SHA-256 与官网公布的不一致 —— 直接删
• App 装完要「读取短信」「读取通讯录」权限 —— 真币安不要这些
• 余额跟官网一致也不能证明是真 App —— 本案假壳就是直连真服务器的
• 下载来源是搜索引擎广告位 —— 这些位置充斥钓鱼站

你能给自己做的最强护栏

给账户上两道锁。一是开提币白名单，只允许提到你自己控制的地址，比如硬件钱包；二是登录与提币验证改用通行密钥（Passkey）或硬件安全密钥——假 App 转发不了。这样就算 App 被人动了手脚、账密被截走，攻击者想把币提到自己的地址，也还要多过一道坎。

已经被钓了

立即在另一台干净设备登录币安网页版，先删掉不认识的白名单地址和登录设备，再重置密码、重置 2FA，提币白名单只留自己的地址；情况不明时直接在账户安全里禁用账户。已划走的资金按《私钥泄露应急 · 五步抢救流程》后半「如果没救回」流程走。

同步向当地警方报案（香港可先打防骗易热线 18222 咨询，再到警署或网上报案中心报案；台湾 165），保留 APK 文件、下载页网址和转账哈希。老吴的案子最后追到东南亚一个交易所地址，但跨境协查极难，链上分析就停在那一步。这类案子多半是这个结局 —— 链上很容易追，钱却很难追回。