手機震了一下，短訊寫着「您的錢包存在異常登入，請即驗證」，或者「您有一筆 2,480 USDT 的空投待領取，24 小時內失效」。你點進去看，頁面做得跟平常使用的交易平台幾乎一樣，甚至連 Logo、字體、載入動畫都完全對得上。你按了「連接錢包」，再按一次「確認」，畫面轉了兩秒，隨即顯示「驗證成功」。

大約半小時後你再次打開錢包，裡面的 USDT 餘額全部歸零，價值六位數的 ETH 也被轉移，只剩下幾枚無價值的代幣。整個過程沒有輸入過帳號密碼，沒有手動轉賬給任何人，手機甚至沒收到任何扣款或提幣通知。

這類個案的手法高度一致，執法機構與反詐騙部門亦持續就此發出警示。將多宗典型個案中反覆出現的環節串聯起來，可以完整重組出一條由取得電話號碼、發送短訊，到最後在鏈上把資產提走的完整攻擊鏈，並標明在哪些關鍵節點能夠及時切斷威脅。

一則短訊到錢包清空：完整劇本的時間軸

許多人以為遭受損失的關鍵在於操作不慎或受利益誘惑。實際上，釣魚短訊盜幣之所以猖獗，在於其技術門檻極低且容易規模化複製，而受害者的防禦焦點往往放在「不向陌生人轉賬」，剛好避開了騙徒真正索取授權的位置。

以下時間軸展示了一宗典型個案的推進節奏。實際情況可能在某些環節停留數日，也可能在幾十分鐘內迅速走完全程。

時間階段 事件過程 防禦截斷點
T-90 日 電話號碼經由歷史外洩資料庫、社交平台問卷或投資群組名冊流出，與大量聯絡名單被打包轉移。 此環節難以主動感知，關鍵在於預設號碼已非私密，對所有未經驗證的來訊保持零信任。
T-0，14:02 釣魚短訊送達。發送方名稱被偽冒為知名交易平台，內容製造時效緊迫感，催促於 24 小時內完成「安全核驗」。 不點擊短訊內任何超連結，直接開啟官方 App 查證，整條攻擊鏈在此中止。
14:05 點選短網址後跳轉至高度仿冒的釣魚網站，網址僅與官方網域相差一至兩個相近字母。 仔細比對完整網域名稱，不單憑前端介面外觀下定論。
14:06 網站提示「連接錢包」，或誘導 Android 用戶側載非官方應用商店審核的 APK 安裝檔。 堅決拒絕側載安裝包，僅從官方應用程式商店下載錢包工具。
14:07 錢包彈出包含代碼的簽名請求，介面被包裝為安全認證，受害人誤按確認。 這是最後一道防線。凡是無法明確解讀具體內容的簽署請求，直接點擊拒絕。
14:09 鏈上合約監聽腳本捕捉到該筆授權，隨即調用轉移函式，將代幣餘額抽離原地址。 此階段鏈上交易已確認，必須立刻採取緊急撤銷與轉移應對。
14:12 被盜資產在去中心化交易所被兌換為主流代幣，並經由跨鏈工具轉移至其他公鏈。 —
14:35 受害人再次檢查錢包時發現資產歸零，此時釣魚網站已停機或封鎖訪問。 立即進行鏈上授權撤銷、轉移殘留資產、截圖存證並通報報案。

整個流程中最核心的防禦節點在於 14:07 的簽名彈窗。先前的偽造短訊、同形字網域均是為了鋪墊這一刻。只要在彈出確認框時選擇拒絕，整個攻擊便無法造成任何資產損失。

釣魚短訊盜幣案例解說中由偽造訊息引導至惡意簽名彈窗並執行終端攔截的流程示意
釣魚攻擊鏈條的核心防禦關鍵在於簽名確認節點，在彈出授權視窗時果斷拒絕即可終止資產轉移風險。

騙徒如何獲取精準聯絡名單

接收短訊的電話號碼通常來自地下數據交易市場。發起攻擊者往往批量採購名單，再評估成本進行分層發送。

常見的資料外洩管道包括：社交網絡上的虛假填表抽獎活動、非正規加密投資社群的手機登記驗證、歷史電子商務平台外洩資料，以及在公開技術社群、二手買賣平台中直接公開的手機號碼。

獲取名單後，攻擊團隊通常會進行基礎篩選：比對號碼是否曾出現在加密貨幣交易相關的外洩記錄中，或關聯的公開地址在鏈上是否有過資產活動。被標註為活躍持幣者的號碼會收到高度定製的釣魚短訊，其餘號碼則採用廣泛撒網的話術。整個過程並不涉及對手機設備本身的入侵，而是利用公開流傳的碎片化資訊進行精確投遞。

市場常見釣魚短訊模式分析

短訊話術雖然經常變化，但核心機制高度一致：透過製造時間壓力迫使受害人點擊連結，進而引導授權。

短訊類型 常見誘導話術 真實攻擊目的
帳戶安全風險 「系統監測到未授權異地登入，請於 24 小時內完成身份核驗以防封禁」 誘導登入偽冒網頁並授權錢包權限。
福利空投領取 「恭喜獲得新季代幣空投資格，獎勵將於 24 小時後失效」 以「領取」為名觸發無限額代幣轉移授權。
交易失敗復原 「您有一筆鏈上轉賬因網絡擁堵失敗，請立即接入節點退回」 引導進入假介面索取助記詞或私鑰。
出金審核攔截 「提現申請觸發風控機制，請點擊連結聯絡在線專員處理」 轉移至即時通訊軟件進行社交工程操控。

在短訊識別層面，攻擊者常利用短信通道發送人偽造技術展示官方標籤。根據香港通訊事務管理局辦公室（OFCA）實施的「短訊發送人登記制」，已認證機構的短訊發送人名稱會帶有 「#」號前綴。若短訊自稱官方機構卻無「#」號，或來源為帶有「+」號的境外號碼，均為高危信號。需要注意的是，即使帶有認證標籤，亦不可直接盲信短訊內的任何外部連結。

偽冒網頁與惡意應用的心理攻防

點擊連結後的 30 秒是防線最易瓦解的時刻。偽造平台通常運用三重手段降低警惕：

1. 視覺同形網域（Typosquatting）

註冊與正規平台極為相似的網域名稱，例如將字母「l」替換為數字「1」，或將「rn」組合成類似「m」的視覺效果，並使用 .app、.io 等非傳統頂級域名。在手機瀏覽器頂部網址欄自動收縮的情況下，極難一眼辨識。

2. 客戶端動態適配

伺服器會解析用戶的 User-Agent。iOS 設備會被引導至界面相仿的 Web 應用；Android 設備則常被強制推送側載 APK。此類 APK 往往包含讀取短訊通知權限的木馬，專門用於攔截雙重認證（2FA）驗證碼。

3. 混淆「連接」與「簽名」

點擊「連接錢包」僅是透過標準協議向網頁共享你的公開錢包地址，相當於出示名片；然而釣魚網站會在連接成功的下一毫秒立即調用簽署請求，將「索取資產操作權」偽裝成「登入驗證」。兩者在前端介面上均表現為彈窗確認，極易造成混淆。

三種簽名陷阱：資產流失的鏈上本質

資產被劃走的本質，是用戶在鏈上或鏈下主動簽署了某項授權協議。最常見的攻擊形式分為以下三種：

1. 鏈上代幣授權（Approve 濫用）

在以太坊及各類相容 EVM 的網絡中，智能合約調用代幣需要用戶預先執行 Approve 操作。攻擊者部署的惡意合約會請求對特定代幣（如 USDT）的 無限額（Unlimited）支配權限。一旦確認，合約可在無後續交互的情況下，隨時調用 transferFrom 函式劃走代幣。此類授權長期留存在鏈上，即使隔數月仍可被利用。

2. 鏈下無 Gas 簽名（Permit 與盲簽）

針對支援 EIP-2612 等擴展標準的代幣，用戶可以透過簽署一段結構化數據（Permit 簽名）來完成授權，而無需預先支付鏈上手續費。釣魚網站常利用錢包介面無法完整解析數據結構的漏洞，發起「盲簽」請求。用戶以為在確認登入，實質上簽署了一張可由攻擊者代為提交至區塊鏈的授權許可。

3. 助記詞與私鑰直接索取

釣魚頁面直接彈出偽造的「錢包升級」或「密鑰同步」表單，要求輸入 12 或 24 個助記詞。助記詞是錢包所有權的終極憑證，一旦提交，所有鏈上防護機制全部失效，攻擊者可在幾秒內全盤接管錢包資產。

釣魚短訊盜幣案例解說：無限額合約授權、離線無Gas盲簽與助記詞失守三種鏈上資產被盜路徑示意
智能合約無限額授權、鏈下盲簽憑證與助記詞直接外洩是用戶在無意識中交出資產控制權的三大主要途徑。

核心鐵律：正規 Web3 應用絕不會在瀏覽器或短訊連結中要求輸入助記詞；錢包彈出任何包含一長串十六進制亂碼且無明確額度說明的簽署視窗時，必須全數點擊拒絕。

洗錢路徑與鏈上追討現實

資金在被轉離錢包後，洗錢網絡通常會迅速啟動多層分散操作：

  1. 即時兌換：第一時間在去中心化交易所（DEX）將被盜代幣兌換為 ETH、SOL 等流動性極高的原生代幣。
  2. 跨鏈轉移：利用跨鏈橋將資產分散導入多條公鏈，切斷單一主網的直接追蹤軌跡。
  3. 隱私混淆：透過隱私協議或混幣工具打散關聯，最後流入監管寬鬆的場外交易（OTC）渠道套現。

雖然特定中心化穩定幣發行商在接獲執法機構正式法律文書後，具備對黑名單地址進行鏈上凍結的能力，但跨鏈與洗錢操作通常在 15 至 30 分鐘內完成，行政介入的時間差導致實際追回資金的難度極高。因此，防守必須完全聚焦於事發前的阻斷。

不幸遭遇盜取後的緊急處置流程

若已不慎完成惡意簽名，應依序執行以下步驟進行止損與存證：

  1. 立即撤銷代幣授權：使用安全的獨立設備，透過專業授權管理工具（如 Revoke.cash 或區塊鏈瀏覽器自帶的 Token Approval 頁面），撤銷受污染地址的所有對外授權。
  2. 轉移剩餘資產：立即在全新設備上生成一套未曾聯網暴露的全新助記詞，將未被轉移的其他鏈或未授權代幣迅速轉移至新錢包。原受害地址必須永久廢棄。
  3. 完整保存鏈上與鏈下證據：完整截圖保留釣魚短訊、發送號碼、涉案網址、瀏覽記錄，並記錄錢包內的惡意交易哈希（TxHash）與合約地址。
  4. 聯絡交易平台與執法部門：若監控到涉案資金流入中心化交易所，立即向該平台安全團隊提供哈希證據爭取攔截；同時前往警署或透過電子報案系統報案（香港可聯絡反詐騙協調中心 18222 熱線尋求即時指引）。
  5. 警惕二次詐騙：市場上任何聲稱「只需付費即可保證全額鏈上追回」的個人或黑客機構，全數屬於針對受害者的二次詐騙，切勿再次轉賬。

終身受用的資產防護清單

防護行為 安全原理與防禦效果
短訊連結堅決不點 直接切斷釣魚網頁入口，防禦 99% 的短訊偽冒攻擊。
冷熱錢包嚴格分離 儲存主要資產的錢包永不連接任何 DApp 網頁；日常操作僅使用放置小額資金的熱錢包。
定期清理歷史授權 每月檢查並撤銷閒置合約授權，消除歷史殘留的無限額支配隱患。
交易所改用 Authenticator / 實體 Key 全面停用 SMS 簡訊作為第二重驗證，免疫 SIM 卡劫持與短訊攔截攻擊。
善用防詐驗證庫 收到任何可疑資訊時，先至香港警務處「防騙視伏器」（Scameter）等資料庫進行網址與電話排查。

常見問題（FAQ）

Q1：我只是在網頁上點擊了「連接錢包」，沒有輸入密碼，資產會被盜嗎？

單純的連接錢包操作（Connect Wallet）僅僅是將公開地址共享給網頁讀取，並不會開放資產支配權。然而釣魚網站通常會在點擊連接後，連續彈出要求授權的簽署視窗。只要沒有在後續的簽署或授權視窗中點擊確認，資產仍然是安全的。為確保萬無一失，可在錢包設定中手動斷開該網站的已連接記錄。

Q2：錢包資產已經被全部清空，原地址還需要做授權撤銷嗎？

如果打算徹底廢棄該地址，則無需浪費手續費撤銷；但如果未來仍打算向該地址轉入同種類代幣，則必須先進行撤銷。因為鏈上授權是綁定在合約上的長期規則，只要未手動撤銷，日後轉入的同類代幣仍會立即被監聽腳本自動劃走。

Q3：使用硬件冷錢包（Hardware Wallet）是否就能徹底免疫釣魚短訊？

不能完全免疫。硬件錢包的核心作用在於保護私鑰絕不接觸聯網環境，防止黑客直接盜取密鑰。但如果用戶在冷錢包設備上親自按鍵確認了針對惡意合約的轉賬或 Approve 授權，鏈上資產同樣會被合法授權轉移。硬件錢包用戶同樣需要養成嚴格審視簽名內容的習慣。

Q4：助記詞只拍了一張照片存放在手機相簿，沒有發給任何人，安全嗎？

極不安全。各類雲端備份同步、惡意 App 的相簿讀取權限、甚至手機維修過程都可能導致照片外洩。助記詞唯一的安全記錄方式是純物理介質（如手寫在紙質卡片或鋼製助記詞板上），嚴禁以截圖、文字形式存放在任何能聯網的設備中。