假空投網站辨識清單：逐項檢查網址、智能合約與社群訊號，避開空投騙局

空投季節幾乎沒有停過。新的鏈、新的 L2、新的積分制度輪流開跑，社群時間軸上每天都有人喊「TGE 前最後一輪」，錢包裡的通知也一直彈。同一時間，大量假空投網站背後是一套成熟的分工流程：前端模板批量生成、域名一次註冊幾百個、機器人留言撐起熱度、惡意代碼工具按次或按比例分潤。分辨真假光靠直覺遠遠不夠，一套每次都能照著執行的 假空投網站辨識清單 才是護住資產的防線。需要留意的是，各生態底層邏輯不同，操作細節主要適用於以太坊及 EVM 相容鏈；若參與 Solana、Bitcoin 等其他非 EVM 生態，請以對應原生錢包與瀏覽器的互動規範為準。

這份檢查拆成三層防線：網址列、錢包彈窗裡的智能合約 與 社群訊號。三層都過關，才值得動手連接錢包。任何一層出現明顯疑點，就當它不存在。

網址列是第一道篩子，也是最多人直接跳過的一關

許多使用者是在手機上點進空投頁面的。行動端瀏覽器的網址列常因滑動而自動收合或截斷，不少人由頭到尾沒看過一眼，就直接按了「Connect Wallet」。釣魚方深諳這點，因此在偽造域名上投入的成本與心思，往往高於產品介面本身。前端排版、按鈕與配色都能複製，但唯獨 註冊局的唯一域名無法被完整複製。

逐個字母看域名，留意同形字陷阱

把域名複製出來貼到純文字記事本中，逐字核對。常見的置換方式包含數字 0 與英文字母 O、小寫 l 與大寫 I 與數字 1、連續字母 rn 假冒 m、兩個 v 假冒 w。這類字元在標準行動螢幕上極難靠肉眼一掃辨認，必須逐字確認或與官方發布的標準字串交叉對比。

另一種常見手法是利用非拉丁字元冒充英文字母（如西里爾字母中的 а、е、о）。主流瀏覽器處理混合編碼域名時，多數會將其轉譯為 xn-- 開頭的 Punycode 格式。若在網址列或解析結果中看到非預期的 Punycode 前綴，即屬高度異常信號。需要提醒的是，部分合法多語言網站亦可能使用國際化域名（IDN），但在主流 Web3 項目領取空投的情境下，出現非官方預期的 xn-- 網址時應立即停手。

看清真正的主域名是從右邊數過來的那一段

看到類似 claim-uniswap.org.airdrop-2026.xyz 的網址結構時，切勿看到前半段熟悉的名字就放下戒心。網址的歸屬權判斷必須 由最後一個點向前閱讀：真正決定存取主機的，是緊鄰頂級域名（如 .xyz）左邊的第一個詞組（airdrop-2026）。前面的 claim-uniswap.org 僅僅是任意自訂的子域名，任何域名持有者都能在後台隨意新增。

同理，若官方公布的頂級主域名為 project.xyz，任何諸如 project-claim.xyz、projectairdrop.xyz 等帶有橫槓或附加後綴的地址，在 DNS 解析體系中都是毫不相干的獨立註冊個體。

查詢註冊時間，別迷信安全鎖頭標記

透過 ICANN Lookup 或主流 WHOIS 查詢工具檢視網域建立日期。一個號稱「已經營運兩年、社群沉澱十萬用戶」的協議，其領取頁面域名若建立於兩週以內，這兩者在事實上無法成立。網站底部的版權年限可由前端任意編輯，但域名註冊局的建立紀錄無法竄改。

同時，網址欄前端的 HTTPS 綠色或灰色鎖頭圖示，僅代表該連線具備傳輸層加密，能夠防止中間人竊聽數據，完全不代表網站背後的運營主體經過審核或具備信用。在各類免費 SSL 憑證高度普及的環境下，架設一個帶有加密鎖頭的釣魚網站成本極低。

短連結務必還原完整目標

出現在 Telegram 群組、X（前 Twitter）回覆或 Discord 私訊內的短連結（如 bit.ly、t.co 轉址），務必先使用 URL 展開工具查看其真實轉發終點。部分攻擊者會疊加雙層轉址來繞過安全機制，遇到無法還原完整域名的短連結，一律拒絕存取。

錢包彈窗才是決定生死的地方

頁面設計做得再精美逼真，終究只是視覺表象。真正導致鏈上資產被轉移的操作，永遠發生在向錢包發送確認的那一刻。理解彈窗結構，是在 Web3 互動中最核心的自保技能。

釐清彈窗的三種互動性質

錢包彈出的請求大致可劃分為三種：

1. 普通鏈上交易（Transfer / Claim）：需消耗 Gas 費，畫面會明確展示發送數量與 Network Fee。
2. 合約授權交易（Approve）：同樣需要發布上鏈並支付 Gas 費，其目的為授予某合約調用指定代幣餘額的額度。
3. 純鏈下簽名（Off-chain Signatures）：無需消耗 Gas 費，僅由錢包私鑰對指定數據進行簽章。這類操作常被誤認為「零成本即安全」，因而成為近年釣魚腳本的主力入口。

高危險函數與簽名類型逐項排查

• approve / increaseAllowance：允許特定 spender（被授權地址）劃轉錢包中的代幣。若授權額度顯示為最大值（如 2^256 - 1 或 Unlimited），且對象並非經過廣泛審計的去中心化交易所主合約，應立刻拒絕。
• setApprovalForAll：針對 ERC-721 或 ERC-1155 標準的全局授權，一旦確認，被授權地址將能隨意轉移該合約下持有的全部 NFT 資產。空投活動沒有任何合理動機要求此項權限。
• permit（EIP-2612）：利用無 Gas 簽名實現代幣授權。雖然不會在當下扣除 Gas，但其效力等同於鏈上 approve。確認前必須仔細查看結構化數據中的 spender（委託對象）與 deadline（有效期限，過長代表長期授權）。
• Permit2：通用授權協議原本旨在提升多合約互動效率，但也因此常被釣魚合約作為偽裝對象。簽署 Permit2 訊息時，需核實其內部指定轉移的目標路由合約是否可靠。
• eth_sign：允許對任意十六進位哈希進行無格式簽名，極易被用於封裝危險交易。目前各主流錢包均會彈出最高級別的紅色警告提示，遇見此類請求無條件拒絕。
• 帳戶委託授權（EIP-7702）：在支援相關標準的以太坊環境中，普通地址可透過簽名將執行邏輯委託給指定合約。若錢包彈出提示涉及帳戶執行權限變更或代碼委託，且合約地址未經驗證，切勿確認簽名。

合約地址檢驗與防範「真合約夾帶假簽名」

展開彈窗中的互動目標地址，於相應鏈的區塊瀏覽器（如 Etherscan、BscScan）核查：合約開源代碼是否已驗證（Contract Source Code Verified）、部署時間距離當下多久、歷史互動交易量是否充足。一個新近部署且互動筆數極少的合約，不可能承擔正規大規模項目的空投分發。

還需警惕「偽裝界面調用真合約，後台注入假請求」的策略。攻擊者可在網頁前端展示知名協議的正常合約資料以降低戒心，但點擊領取按鈕時，向錢包推送的卻是盜取其他代幣授權的惡意簽名。因此，審核焦點應完全落在錢包彈窗所呈現的實際操作，而非網頁上的靜態文字。

善用交易模擬與安全插件

主流擴充錢包與安全防護外掛（如 Rabby Wallet 內建模擬、Pocket Universe 等工具）均提供互動模擬預覽。若模擬結果提示「資產將轉出」或顯示不明轉移，應立即終止互動。若錢包對複雜簽名無法解析或模擬結果顯示為完全空白，在缺乏可讀資訊的情況下，放棄操作始終是更安全的選擇。

社群訊號：熱鬧不等於真實

偽造的第二層外衣是社交證明。數據、粉絲數量與互動都可以透過自動化工具批量刷出，判斷可靠性應著重於無法短期偽造的行為軌跡。

• 帳號歷史與改名軌跡：一個真實項目帳號通常具備長期且連貫的技術或營運討論歷史。若帳號雖然註冊於數年前，但近期貼文全部被清空並短時間內發布大量空投內容，多數屬於收購而來的倒賣帳號。
• 認證標記的交叉核對：社群平台的付費藍勾標記僅代表帳號訂閱了相關會員服務，不再代表項目身份已通過官方實名背書。驗證時應採取三方交叉比對：從官方文檔或代幣資訊聚合平台（如 CoinGecko、CoinMarketCap）導航至社群帳號，再由社群置頂公告比對回領取域名，確保多個信號源無縫閉環。
• 拒絕一切形式的「官方客服主動私訊」：任何在 Telegram 或 Discord 主動私訊聲稱協助領取空投、處理交易卡住或「要求驗證錢包」的對象，均屬詐騙行為。正規項目的社群管理人員不會以任何理由索取助記詞或發送未經公開的領取連結。
• 辨識制式化 KOL 宣傳矩陣：若多個帳號在同一時間節點發布格式高度一致、僅更換專屬推薦碼的推薦推文，且下方回覆皆由機器人表情符號填滿，說明該活動僅為付費推廣產物，其背景安全性未經實質檢驗。

空投互動三層檢查清單

提示：表格支援左右滑動以檢視完整排查項目。

如果不慎簽署惡意請求，緊急處置四步驟

若發現簽署了可疑授權或資產出現非預期變動，必須立刻採取自救措施，切勿拖延：

1. 立即撤銷惡意合約授權：使用鏈上授權撤銷工具（如 Revoke.cash、Etherscan Token Approval Checker 等工具），連接受影響錢包，逐一撤銷異常代幣與 NFT 權限。撤銷操作屬於鏈上交易，需在錢包內保留微量原生代幣以支付 Gas 費。
2. 迅速轉移剩餘資產至全新冷錢包：若簽署的內容涉及無上限代幣授權，且授權尚未撤銷完畢，攻擊者可隨時透過合約調用餘額。應第一時間將尚未受損的資產轉移至全新的安全地址，優先轉移高流動性代幣與高價值收藏品。
3. 檢查帳戶抽象與委託狀態：若互動環境涉及 EIP-7702 或智慧合約錢包功能，需於錢包進階設定或區塊瀏覽器中確認帳戶是否被關聯了惡意委託代碼，必要時依標準重置委託邏輯。
4. 記錄並存證威脅資訊：將涉案的釣魚域名、惡意合約地址與交易哈希妥善保存。可透過公眾安全平台或相應鏈上安全組織進行標記，若涉及較大損失，應向在地司法或網路犯罪防制機關報案（如受管轄所屬地相關執法部門或全球通報機制），以便執法機構追蹤鏈上金流。

值得強調的是：鏈上交易具備不可逆性，絕不存在能「付費快速追回被盜代幣」的外部技術機構。任何事後主動聯絡並宣稱「繳納手續費即可代為追討被盜加密資產」的個人或團隊，均屬於二次收割騙局。

常見問題（FAQ）