识别钓鱼网站与假冒 APP 的实用清单
绝大多数资产损失并非来自技术攻击，而是来自社会工程学。掌握识别方法，就能挡住 99% 的骗局。
常见攻击手法
- 域名变体：用相似字符替换官方域名中的字母，肉眼极难分辨。
- 假客服：在社交平台主动私信，以「帮你处理」为由索要验证码。
- 假空投：宣称免费领取奖励，引导你连接钱包并授权。
- 假 APP：仿冒官方界面，诱导输入账号密码与助记词。
- 搜索引擎广告：竞价排名到仿冒站点，页面与真站几乎一致。
九条自查规则
- 只从自己收藏或手输的官方域名进入，不点他人分享的链接。
- 核对证书与域名拼写，逐字检查是否有替换字符。
- 客服不会主动私信你，更不会索要验证码、助记词或资金密码。
- 任何形式的远程协助请求一律拒绝。
- APP 只从官方域名或系统自带商店安装，不接受安装包文件传输。
- 授权前查看合约权限，无限授权要格外警惕。
- 对「限时」「内部名额」「包赔」类话术保持条件反射式怀疑。
- 开启官方的防钓鱼码，让真邮件可验证、假邮件一眼识破。
- 大额操作前先做小额测试。
铁律：只要对方在催促你、要求保密、要求转账或索要验证码，无论身份看起来多真实，都按诈骗处理。
邮箱与短信钓鱼的特征
| 特征 | 说明 |
|---|---|
| 发件地址异常 | 域名拼写有细微差异 |
| 制造紧迫感 | 催促你立刻操作 |
| 链接与文字不符 | 悬停显示的真实地址不同 |
| 要求提供凭据 | 正规平台绝不会这样要求 |
遇到可疑情况的正确处置
- 立即停止操作，不要继续输入任何信息。
- 若已输入密码，立刻修改密码并冻结账户。
- 若已提交过二次验证，立即重置相关验证工具。
- 检查授权列表，撤销可疑合约授权。
- 保留聊天记录与截图，向官方渠道举报。
事后加固清单
- 更换全部相关账户密码，且不要重复使用。
- 重新绑定谷歌验证器，旧密钥作废。
- 清理设备中的可疑描述文件与应用权限。
- 启用登录提醒，任何异地登录都能第一时间获知。
小结
安全习惯比安全工具更重要。把上面的 9 条规则当作日常操作的默认流程，配合谷歌验证与短信验证一起加固账户。
风险提示：数字资产价格波动剧烈，合约交易存在强制平仓可能。本文仅作知识科普，不构成任何投资建议。