常见加密骗局以及如何避开它们

2023 年，加州一位退休老人在一款交友软件上与一位迷人的陌生人配对成功。四个月里，他们交换了数百条消息——菜谱、家庭照片、终于要见面的约定。然后投资建议来了：一个「私密」的加密交易平台，收益稳定又漂亮。她存入了 $10,000，看着仪表盘上的数字一路上扬。她又存了更多。等到她想提取自己的「利润」时，网站已经消失，消息再无回音，她一生 120 万美元的积蓄就这样蒸发进了一个她永远也追查不到的钱包里。根本就没有什么迷人的陌生人。有的只是一整间仓库的骗子，同时对一千个人套用同一套剧本。

这并不是什么罕见的恐怖故事。FBI 的互联网犯罪投诉中心记录到 2023 年加密货币诈骗损失达 56 亿美元——同比增长 45%——而 Chainalysis 估算更广义的加密相关犯罪超过 140 亿美元。而这些还只是有人上报的案件。羞耻感让大多数受害者保持沉默，所以真实数字几乎可以肯定要更大。

加密骗局利用的还是和史上每一场骗局相同的古老杠杆——贪婪、恐惧、孤独和信任——但它们被这项技术独有的三个特性大大放大了：交易是不可逆的，地址是假名的，而且这种文化是真心在追捧那些一周内涨 100 倍的资产。当一个代币真的能在一夜之间一飞冲天时，「难得的机会」和「明显的诈骗」之间的界限就被故意搅浑了。这种模糊地带，正是骗子全部的商业模式。

接下来要讲的不是一本面面俱到的百科全书。它讲的是那少数几种真正卷走最多钱的攻击——讲解得足够细致到机理层面，让你能在每一种攻击触及你的钱包之前就认出它，再附上一套你今天下午就能搭好的具体防御组合。

钓鱼攻击造成的个人损失比加密领域任何其他攻击途径都多，而它的机理简单得近乎残忍：一个看上去和真站点一模一样的假网站——同样的 logo、同样的字体、同样的布局，URL 只差一个字符。你连接上你的钱包，批准了一笔你以为只是例行公事的交易，于是一个恶意智能合约就把你刚刚授权它去碰的每一个代币都掏空。

业余版本会有错别字和裂图。危险的版本则毫无破绽。Google Ads 曾投放过排在真实结果之上的「Uniswap」和「MetaMask」钓鱼链接。X 上的账号假冒 Vitalik Buterin 或官方协议账号，向数百万粉丝发布假的空投链接。你一加入某个 NFT 服务器，Discord 机器人就立刻向你发出带着「专属铸造」链接的私信。2024 年初，一场假冒「平台迁移」邮件的钓鱼活动从 OpenSea 用户那里窃取了超过 $1.7 million 的 NFT——这些人还以为自己只是在确认一次账户更新。

最阴险的进化形态是钱包盗刷程序（drainer）——这种预先写好的恶意代码如今以「Drainer 即服务」的形式出租，所以连不懂技术的罪犯也能部署一套专业级的盗窃工具包。盗刷程序并不需要你的助记词。它只需要你在一个以假乱真的页面上签署一笔交易，剩下的事这个签名就全替它办了。

防御方法很无聊，而这恰恰是它有效的原因：

• 把真实 URL 加入书签，并且永远只从你的书签进入——绝不从搜索广告、私信或社交帖子进入。
• 在连接钱包之前，逐个字符地核对 URL。留意被调换的字母（rn 对 m）、多出来的连字符，以及形似的域名。
• 看清楚你在签什么。一个要求「approve all」、或对一个你并没有在主动交易的代币授予动用权限的钱包弹窗，就是一面红旗。
• 为加密操作专门用一个浏览器或配置文件，并为任何有价值的东西配上硬件钱包或 MPC 钱包。

一个开发者发行了一个代币。他在 X 和 Telegram 上不遗余力地造势。随着买家蜂拥而入，价格节节攀升。然后，在一笔交易里，开发者把 DEX 池里的所有流动性抽走，转身就走。价格瞬间归零。每一个买家都被留下，手里攥着一个他们实际上卖不出去的代币，因为根本没剩下流动性可以卖出去。这就是从你脚下被抽走的那块「地毯」（rug）。

Chainalysis 追踪到仅 2021 年一年，卷款跑路的所得就超过 28 亿美元。鱿鱼游戏代币（SQUID）是教科书般的案例：它在开发者带着 $3.3 million 消失之前暴涨了 75,000%，而他们写的代码一开始就让普通持有者根本无法卖出。大多数卷款跑路要小得多、快得多——启动平台上的 meme 币只活几个小时，部署者就把池子拔走了。

卷款跑路在机理上有三种花样，搞清楚谁是谁会很有帮助：

• 盗取流动性（硬跑路）。团队注入一个流动性池让项目看上去正规，放任买家把钱加进来，然后一次性把一切都抽走。瞬间归零。
• 抛售代币（软跑路）。团队暗中持有绝大部分供应量，把叙事炒起来，悄悄地往你的买单里抛售，直到 K 线崩塌。慢一些，但同样是绝路。
• 无法卖出的代币陷阱。合约里包含一个隐藏函数——一个「蜜罐（honeypot）」——它阻止除开发者以外的所有人卖出。你可以买上一整天；你永远出不来。

这些警示信号往往扎堆出现。单独任何一个都不算铁证，但出现两三个就该让你彻底止步：

• 匿名团队，没有任何可核实的过往记录。
• 流动性没有锁定在时间锁合约里（所以开发者随时可以抽走）。
• 合约里有一个增发函数（mint function），让开发者可以无限印出新代币。
• 持仓集中——少数几个钱包占据了大部分供应量。
• 只卖价格、不卖产品的营销——满嘴「100x」造势，没有任何能用的实际功能。

这些大多数你自己五分钟就能查清。在 Etherscan 这类区块浏览器上，确认合约已经verified（源代码公开），并检查持仓前列地址（top holders）。把代币放进 Token Sniffer 或 Rug Doc 这样的筛查工具里跑一遍，以标记出蜜罐代码和未锁定的流动性。如果一个代币撑不过这五分钟的审计，它就不配拿走你的钱。

这个令人作呕的名字来自它的手法：骗子用感情和小额的假盈利把受害者「养肥」，然后再「宰杀」——一次性卷走一切。它如今是加密领域按营收计单一最大的骗局类别，币安报告称杀猪盘案件从 2022 年到 2023 年翻了一番（增长 100.5%）。与几秒钟就得手的盗刷程序不同，这种攻击会在几周甚至几个月里慢慢展开，而这正是它如此毁灭性的原因：等到涉及金钱时，受害者是真心信任对面那个人的。

它分四个阶段运行，而认清它的形状就是你最好的防御：

• 1. 接触。一条「发错号码」的短信、一次交友软件的配对、一条友好的私信。开场白总是热情的，而且从不涉及钱。
• 2. 培养感情。几周的真实交谈——每天问候、人生故事、情感上的亲密。骗子有耐心、会支持你、让人觉得很有共鸣。还没有任何关于金钱的话题。
• 3. 养肥。他们不经意地提起一个对他们一直很不错的「私密」投资平台。你存入一小笔钱，仪表盘就显示出漂亮的收益。他们甚至让你提取一点点来证明它是真的。那一次成功的提现，就是钩子。
• 4. 宰杀。胆子壮起来后，你把积蓄都存了进去。当你想提现时，被告知你得先欠着「税」或「手续费」——拿更多的钱去追那笔从来就不存在的钱。然后平台和那个人一起消失了。

这个平台从第一屏起就是一场虚构。那些「收益」不过是骗子控制的数据库里的数字。整套架构的设计目的，就是制造出信任，然后再把它当作武器反过来对付你。

有些骗局并不藏在智能合约里——它们藏在一张电子表格里。庞氏骗局用新投资者的钱去支付老投资者，而不是用任何真实利润。只要存款持续增长，早期的「回报」看上去就是真的，好评也一片灿烂。一旦流入放缓，整个东西就会崩塌，所有还留在里面的人都会输得精光。

加密把这一招大大放大了，因为离谱的收益听起来竟然像是合理的。当一个 meme 币真的涨了 50 倍，一句「每日 2% 回报，保证」的承诺并不会立刻被识破为天方夜谭——尽管它复利下来一年超过 137,000%，这是地球上没有任何一家诚实的企业能够维持的速率。迄今为止最大的加密庞氏骗局 BitConnect，承诺每天约 1%，吸纳了数十亿美元，并在 2018 年引爆，把数以万计的人的积蓄化为乌有。

破绽是数学层面的，而数学不会说谎：

• 「保证」回报。所有真实投资都带有风险。在一个收益数字旁边出现「保证」这个词，就是金融领域里最大的一面红旗。
• 平滑得可疑的回报。真实市场会上下波动。一条每天都涨完全相同幅度的曲线，是编造出来的数字，而不是交易的结果。
• 拉人头的压力。如果你的奖励取决于拉别人进来，那么这个「收益」不过是下一个受害者的存款。那是一个金字塔（传销），不是一款产品。
• 含糊的策略。「专有的 AI 套利机器人」却没有任何可核实的链上活动，就意味着根本没有什么策略——只有你的钱在支付那个比你先进来的人。

给每一个收益机会套上一个过滤器：这份回报实际上是从哪来的？如果你说不出真实的经济来源——交易手续费、借贷利息、可在链上核实的质押奖励——那么来源很可能就是下一个投资者，而你就是那个退出流动性（exit liquidity）。

并非每个骗局都精心设计。有些既吵闹又粗糙，却照样奏效，因为它们瞄准的是你分心的那一瞬间。冒充身份和白送活动骗局是经典款：一个看上去已认证的账号承诺，只要你「发 1 ETH 到这个地址，就能拿回 2 ETH」。没有人会免费给你的钱翻倍——永远不会。这个数学就是整个骗局。AI 只是把它磨得更锋利了：用深度伪造做出的 Elon Musk 或加密创始人的视频，如今「主持」着看上去制作精良的直播白送活动。

有两个更安静的「亲戚」会造成更持久的伤害：

• 恶意空投。你一觉醒来，钱包里多了些来历不明的代币。领取它们会把你引到一个网站，要求你连接并签名——而那个签名就是陷阱。一个正规的空投绝不会要求你为了「解锁」它而付费或签署一个可疑的授权。把意外出现的代币当作诱饵，而不是礼物。
• 地址投毒。骗子从一个经过精心设计、看上去与你常用地址几乎一模一样的地址——开头和结尾的几个字符相同——给你发来一笔极小的交易。之后，当你从历史记录里复制一个最近的地址去给某人付款时，你会错抓成他的地址，把资金直接发给攻击者。永远核对完整地址，而不只是首尾两端。

然后是此刻正坐在你钱包里的那个慢动作威胁：代币授权。每次你在 DEX 上交易，你都会授予一个智能合约代你转移某个代币的权限——而大多数界面默认的是无限额授权。那个权限不会过期。如果那个合约日后被攻击，或者一开始就是恶意的，它就能在你早已忘了曾经有过这次交互的几个月之后把被授权的代币掏空。那些留在已废弃或已被攻陷合约上的旧授权，就是埋在你资金底下、休眠着的活板门。

对策是定期维护，而不是天才般的灵光一现：用 revoke.cash 或 Etherscan 的授权检查器这样的工具定期审查你的授权，并撤销任何你不再主动使用的授权。在可能的地方，只授权你需要的那个具体额度，而不是授予无限额访问权。

你击败骗子，靠的不是在那一刻比他们更聪明——他们专门制造那些没人处于最佳状态的瞬间。你靠的是提前搭好的结构，这样即便是你最糟糕的那次点击也花不了你多少钱。下面就是这套组合，按影响力排序。

1. 把你的钱包分开。留一个资金极少的「热」钱包用于日常交互——连接 dApp、领取空投、铸造 NFT。把你投资组合的大头放在一个硬件钱包或一个永远不碰随机智能合约的 MPC 钱包里。如果你的热钱包被钓鱼了，你损失的是零钱，而不是你的全部身家。这一个习惯对你下行风险的封顶作用，胜过其他任何方法。

2. 养成 URL 纪律。把你用的每一个真实站点都加进书签，并且只从书签进入。绝不通过搜索广告、私信，或别人发给你的「客服」链接去到一个加密平台。在连接之前逐个字符地核验域名。

3. 保持你的授权清单干净。定期撤销旧的代币授权，并且优先选择具体的动用上限，而不是无限额。一份干净的授权清单意味着即便一个合约被攻击，它也没什么可抓的。

4. 读懂每一个签名。签名之前慢下来。如果一个弹窗要求「approve all」、对一个你并没在交易的代币授予访问权，或者带着一个倒计时出现，那就停下来核验。紧迫感是被制造出来的。

大多数灾难性的加密损失都可以追溯到两种故障之一：一份被盗、被泄露或被钓鱼骗走的助记词——或者一个像 FTX 那样悄悄挪用资金的中心化托管方。GaiaEx 的架构设计就是要把这两个单点故障都从桌面上拿掉。

MPC 密钥安全——没有助记词可被盗。你的私钥从不在某一处被拼装出来。借助多方计算（MPC），它被拆分成由独立各方持有的加密分片，因此没有任何单一服务器、设备或个人会完整持有这把钥匙。没有一份主助记词供钓鱼页面去骗取，也没有一个单一文件供攻击者去窃取。最常见的彻底损失原因——一份被攻陷的助记词——在这个模型里干脆就不存在。

设计上即非托管——不会有 FTX 那一幕。你保有对自己资产的控制权。GaiaEx 不是一个某位高管能在紧闭的门后挪走客户资金的中心化金库，因为根本没有那扇紧闭的门——结算发生在链上，任何人都能核验。

可供你审计的链上执行。交易在 Hyperliquid L1 上结算，具备亚秒级最终性，记录在一个公开账本上。这份信任不在于 GaiaEx 这家公司是否诚实地记着内部账本；它在于链本身的数学保证。

这一切都不会让你刀枪不入。没有任何交易所、没有任何技术能阻止你去签署一笔恶意交易，或把你的积蓄汇给一个「恋爱」陌生人的投资平台。上一节里那套防御组合仍然是你自己的责任——钱包分离、URL 纪律、授权卫生，以及「$0 测试」。GaiaEx 所做的，是把灾难性故障的表面收缩到你真正能掌控的那些决定上，并移除那些你本就不该去操心的部分。这就是诚实的交易：平台负责处理密码学，让你弄丢不了一份你从来就没有过的助记词，而你负责处理那些没有任何软件能替你做出的判断。