链探 / 知識讀本 · 錢包安全 · 2 分鐘閱讀
釣魚不一定要求輸入助記詞，也可能誘使使用者簽出有效授權、安裝假軟體或把付款送到被替換的地址。防線應從辨認請求開始。
運作原理
攻擊者常以空投、帳戶異常、緊急更新或客服協助製造時間壓力，讓人跳過原本的核對流程。外觀精美、網址有加密連線、甚至搜尋結果排名靠前，都不足以證明網站或下載檔可信。
錢包請求大致可分為連接、訊息簽署、代幣授權、資產轉移及帳戶規則變更。風險取決於實際內容，不只取決於按鈕名稱。看起來像登入的簽章，可能包含可被提交使用的權限；看起來像驗證的交易，也可能改變擁有者或委派對象。
假設案例：把數字放回流程
假設小許收到「限時領取」訊息，網站要求簽署一份無需立即支付網路費的結構化資料。其內容卻允許陌生花費者在很長期限內使用特定代幣。若只憑「沒有扣費」判斷安全，便可能授出危險權限。這是虛構場景，用來說明簽章可以延後生效，與當下是否出現付款無關。
判讀與實務
操作入口最好來自事先保存的可信資料，並獨立核對完整網域及合約地址。遇到客服主動私訊、要求共享螢幕、安裝遠端工具或提供恢復資料時，應停止當前流程，再從原本可信入口另行查證。不要使用對方提供的另一個「驗證網站」證明自己。
硬體錢包能隔離私鑰，但仍需要在可信螢幕核對交易。若只顯示無法理解的資料而進行盲簽，使用者可能在金鑰未外洩的情況下批准惡意操作。模擬工具與風險提示有幫助，但不能取代對授權對象、額度及帳戶變更的檢查。
已發生可疑操作時，先分類：只連接網站、簽了授權、送出交易，還是洩漏金鑰。不同情況可能需要中斷連線、撤銷額度、取消可用簽章或移轉資產。若秘密已曝光，單純撤銷一個代幣額度不足以恢復整個帳戶安全。
保留網址、交易與簽章資訊，讓後續分析能重建事件。處理時也要提防二次詐騙，尤其是聲稱先付費即可保證追回資產的陌生服務。公開帳本能協助追蹤，不代表任何人都能逆轉已完成的轉移。
操作前檢查清單
- 從可信入口核對網域、下載來源與合約地址。
- 逐項閱讀權限、額度、期限與帳戶變更內容。
- 可疑事件先分類處理，保留證據並避免二次受騙。
常見問題
取消網站連線能阻止所有後續花費嗎？
不能。已存在的鏈上授權或有效簽章可能繼續可用，應依具體權限採取對應撤銷或資產移轉。
只要沒有交出私鑰就不會損失嗎？
不一定。有效的惡意交易或授權也能造成損失。保護秘密之外，還需要確保簽署的內容符合原本意圖。