种子短语和钱包骗局

📖 10 最小阅读量

✍️ 撰写及审阅者 Karel Havlíček已更新 2026🛡️ 编辑独立

Quick Answer

自我托管的承诺简单而有力：持有自己的密钥，任何交易所都不会冻结或丢失您的代币。但它只是转移了风险，而不是消除了风险。银行金库不见了；取而代之的是一个十二或二十四个字的短语，整个骗子行业的存在就是为了诱骗您透露它或签署它。大多数自我保管损失并不是复杂的黑客攻击。他们是人，聪明的人，被社会工程改造，交出控制一切的秘密。

⚠️ 钥匙就是房子

您的助记词不像可以重置的密码。它更像是你房子的契约、钥匙和备用钥匙都融合在一张纸上，在地球上的任何地方都可以使用。任何读过它的人都会立即无声地拥有这所房子。骗子不会撬锁；他们说服您大声朗读契约，或者签署一份文件，在您认为自己正在做其他事情时悄悄地转让所有权。

防止大多数损失的唯一规则

一切都从这里开始：您的种子短语（恢复短语）永远不应该被输入到任何网站、应用程序、聊天、表格或“支持”工具中，并且永远不应该被拍照、通过电子邮件发送或存储在云中。任何合法的钱包、交易所或支持代理都不会以任何理由要求它。它的存在只是为了在您控制的设备上恢复您的钱包。如果任何东西或任何人要求您输入或分享它，那就是骗局，句号。内化这一单一规则，您就可以击败大多数自我保管盗窃行为。

假钱包支持和种子短语网络钓鱼

经典的攻击：你在论坛、Discord 或应用商店评论中发布问题，然后“支持代理”向你发送消息，很有帮助，看起来很官方，很紧急。他们会将您引导至虚假的“钱包验证”或“同步”页面，要求您输入恢复短语，或者直接询问。其他人运行假钱包应用程序和浏览器扩展程序，在设置时捕获该短语，或者冒充 MetaMask、Ledger、Trust Wallet 等网络钓鱼网站。一旦你的短语触及他们的屏幕，你的钱包就会自动清空，通常在几秒钟之内。

钱包流失和恶意批准

更微妙的威胁根本不需要您的助记词。将你的钱包连接到恶意网站、假空投、假薄荷、假 DeFi 应用程序，并批准看似例行公事但实际上授予攻击者移动你的代币的权限的交易。 “钱包耗尽”套件使这成为一种交钥匙犯罪。您没有透露您的密钥；您签署了访问权限。这就是为什么你必须阅读你签署的内容：对代币“无限制”支出的批准，或者奇怪的签名请求，就是耗尽钱包的方式。如有疑问，请拒绝。

地址中毒和剪贴板恶意软件

还有两个安静的。地址中毒：攻击者从看起来与您使用的地址几乎相同的地址向您发送一笔小交易，希望您从历史记录中复制该交易以进行下一次转账并向他们发送资金。剪贴板恶意软件会悄悄地将您复制的加密地址交换为攻击者的加密地址。两者的防御都是相同的原则：永远不要盲目信任复制的地址，每次都验证第一个和最后几个字符，并在进行大额转账时先发送少量测试金额。

自我托管安全堆栈

将其整合为习惯。使用硬件钱包存储有意义的金额，以便在恶意软件无法到达的设备上进行签名。仅从制造商处购买硬件，切勿购买二手硬件。将您的助记词写在纸或金属上，离线存储，切勿将其数字化。逐个字符验证每个接收地址。在签名之前阅读每笔交易和批准，并定期撤销旧的令牌批准。为官方钱包网站添加书签，而不是搜索它们。自我监护是安全的，但它让你更有安全感，而这些习惯就是工作。

🔑 要点

自我托管将风险从交易所转移到您的助记词上，而诈骗者专门窃取它。牢不可破的规则：永远不要在任何地方输入或共享您的恢复短语，任何合法服务都不会要求这样做。除了网络钓鱼之外，钱包流失者还通过恶意交易批准（读取您签署的内容；拒绝无限批准）来窃取钱包，同时地址中毒和剪贴板恶意软件交换地址（验证每个字符，发送测试金额）。安全堆栈：直接购买的硬件钱包、离线种子存储、仔细签名、撤销批准、添加官方网站书签。