作者高孟阳在 MarsBit 发文称，一类被称为「恶意多签」的钱包风险，表面上看并不一定会立刻出现资产转出记录：钱包里的 USDT 余额还在，交易记录里也没有显示币被转走，但用户准备转账时，系统却提示签名权限不足。即便助记词和私钥仍在自己手里，也无法把币转出去。
进一步查询后，用户才会发现，钱包权限已经被人修改。原本只需要自己签名就能完成的交易，现在必须经过另一个陌生地址授权。钱没有离开原地址，控制权却可能已经不再属于原持有人。
文章指出，这类情况通常被称为「恶意多签」。它与常见的虚拟货币盗窃不同，攻击者未必第一时间转移资产，而是先利用钱包权限机制，限制原持有人对资产的支配能力。由此带来的问题是：币明明还在原地址里，算不算已经被盗；如果是因被人诱导签名而发生，又应认定为盗窃还是诈骗。
文中称，这些问题不仅关系到用户后续如何报警，也关系到应准备哪些证据，以及是否还有机会追回资产。
恶意多签的关键，不只是余额是否还在
文章认为，要理解恶意多签的法律问题，首先要区分两个概念：钱包里有没有资产，以及谁有权支配这些资产。
以波场 TRON 网络为例，其账户权限管理机制允许为不同地址分配签名权重，并设置完成交易所需的签名门槛。正常情况下，用户既可以通过自己掌握的私钥管理账户，也可以主动设置多人共同签名，用于企业资金管理等场景。
但如果有人未经允许，通过获取私钥、助记词，或者诱导用户签署恶意权限变更交易，修改了钱包的 Owner（所有者）权限或 Active（活跃）权限，性质就完全不同。
文中举例称，原本用户独自就能完成转账，权限被修改后，却需要另一个陌生地址共同签名才能操作。更严重时，对方可能已经掌握足以独立修改权限或转移资产的签名权重，而原用户只能看到账户余额，却无法单独管理资产。
从链上记录看，资产可能仍停留在原地址，没有发生任何转账；但从实际控制关系看，原持有人对资产的支配能力已经发生变化。
不过，文章也提醒，一个容易被忽视的细节是，恶意多签并不一定意味着攻击者已经能够独自转走资产。
- 有些情况下，攻击者能够独立支配钱包；
- 有些情况下，双方都无法单独完成转账；
- 还有些情况下，只是特定操作权限受到限制。
具体属于哪一种，需要检查账户的权限地址、签名权重、阈值及可执行操作。
因此，遇到钱包无法转账，不能仅凭界面提示就认定遭遇恶意多签，也不能直接得出「币已经全部被盗」的结论。文章称，真正需要查清的是：谁修改了权限，修改是否经过有效授权，现在谁能够控制钱包，原持有人是否已被实质性排除在资产支配之外。这些事实，才是后续刑事法律分析的起点。
盗窃、诈骗还是其他犯罪，不能只看结果
文章称，在司法实践中，非法获取虚拟货币可能涉及盗窃罪、诈骗罪以及计算机信息系统相关犯罪，但具体适用哪个罪名，不能仅凭「钱包被多签」这一结果判断。
未经同意修改权限并转走资产
第一种情况是，攻击者通过非法获取私钥、助记词等方式，擅自修改钱包权限，随后将资产转入自己控制的地址。
文章称，在这种情况下，如果有证据证明行为人具有非法占有目的，未经权利人同意取得资产控制并实际转移资产，就可能涉及盗窃罪的认定。
不过，文中同时指出，虚拟货币具有数据属性和一定的财产性利益特征，不同案件中，对于其刑法保护路径、犯罪数额认定方式仍存在争议。有的司法观点强调虚拟货币的财产属性，认为非法窃取行为可以构成盗窃罪；也有案件从计算机信息系统数据安全角度进行评价。
因此，即便资产已经实际转走，也不能跳过具体行为方式、资产性质和证据情况，直接确定罪名。
通过虚假说辞诱导用户签署权限变更交易
第二种情况是，行为人以账户安全升级、平台认证或者正常交易操作等理由，让用户点击链接、连接钱包并确认签名。用户以为自己完成的是普通操作，实际上签署的却是修改账户权限的交易。
文章称，表面上看，用户确实亲自点击了确认按钮；但从法律上看，点击确认是否意味着同意他人取得资产控制权，是两个不同的问题。
文中指出，盗窃罪与诈骗罪的重要区分，在于被害人是否因受到欺骗、产生错误认识而处分财产。如果用户只是被诱导完成技术操作，根本不知道该操作会使他人控制自己的资产，那么其是否具有刑法意义上的财产处分意识，还需要进一步判断。
反过来，如果行为人通过虚构事实，使用户在错误认识下主动将资产或实际支配权交由对方控制，也可能涉及诈骗罪的评价。
因此，文章认为，并不是出现欺骗话术就一定构成诈骗罪，也不是用户点过签名确认，就必然排除盗窃的可能。尤其在恶意多签场景下，权限变更能否被评价为财产处分、行为人是否已经取得刑法意义上的财产控制，仍需结合具体事实分析。
通过恶意程序或技术入侵获取控制权限
第三种情况是，攻击者通过恶意程序、技术入侵等方式获取钱包控制权限。
文章称，如果行为人还实施了非法获取身份认证信息、侵入或非法控制计算机信息系统等行为，在符合相关犯罪构成和入罪条件时，也可能涉及《刑法》第二百八十五条规定的计算机信息系统相关犯罪。
不过，链上账户权限被修改，并不等于行为人必然非法控制了刑法意义上的计算机信息系统。是否存在技术侵入、非法获取系统数据等行为，仍需单独审查。
换句话说，恶意多签只是技术层面的结果，刑事责任评价还要继续回答几个问题：行为人究竟做了什么，通过什么方式取得权限，取得了何种利益，以及造成了什么后果。
币没有转走，不等于一定没有损失
文章称，这是恶意多签案件中较为棘手的问题。
在传统盗窃案件中，财物从被害人控制下被他人拿走，财产占有关系的变化通常较为直观。但数字资产并不完全一样。
如果一个钱包原本由用户独立管理，后来被人恶意修改权限，导致用户无法转账，此时链上余额没有变化，资产也没有进入攻击者的新地址，那么用户到底失去了什么，成为判断中的核心问题。
从实际使用角度看，用户已经失去了原本享有的部分甚至全部资产支配能力。即使余额仍然存在，也可能无法进行正常转账、支付或其他合法处置操作。
但文章指出，在刑法评价上，控制权受到侵害与财产犯罪已经既遂，并不当然等同。
还需要继续区分几种情形：行为人是否已经获得排他性控制，用户是否仍可以通过其他有效权限恢复操作，双方是否均无法单独转账，攻击者是否已经实际转走资产，以及是否存在进一步非法占有资产的行为。
这些事实会影响对财产占有变化、犯罪既遂与未遂、实际损失及犯罪数额的判断。
文中特别提醒，不能简单地将钱包中显示的全部虚拟货币余额，直接作为已经实际损失的犯罪数额。资产控制情况、实际转移情况以及价值认定依据，都可能需要进一步核实。
但这也不意味着，只要资产没有离开原地址，行为就不存在刑事风险。如果行为人通过欺骗、非法获取权限等方式，有计划地夺取他人钱包控制权，即使尚未完成资产转移，也可能需要结合相关犯罪构成及实行阶段，分析其是否已经涉嫌犯罪。
因此，「币没有转走」不能直接等于「没有犯罪」，「钱包无法操作」也不能直接等于「全部资产已经被盗」。文章认为，这两种判断都过于简单。
报警前应尽快固定控制权和权限变更证据
文章称，遇到恶意多签后，很多人的第一反应是找对方理论，或者在各种社群里寻找能够解除多签的人。但从维权角度看，比争论更重要的是尽快查明权限变化，并固定证据。
先证明钱包原本由谁控制
文中指出，钱包地址本身并不能直接证明现实中的权利归属。如果希望通过刑事程序维护权益，需要尽可能整理钱包创建及使用记录、历史转账记录、资产取得来源、交易凭证，以及能够证明此前实际控制钱包的其他材料。
特别是在他人代为保管、共同管理或企业钱包等情况下，还需要区分谁是资产权利人，谁只是技术管理人，以及双方原本约定了怎样的授权范围。
找到权限被修改的具体链上记录
文章称，在支持链上权限查询的网络中，可以通过官方区块浏览器检查账户权限，重点查看异常权限变更交易的交易哈希（TxID）、发生时间、区块记录、变更前后的签名地址、权重以及签名阈值。
这些信息有助于解释钱包为什么无法操作，也有助于证明异常状态是在何时形成的。
如果条件允许，可以由具备相应专业能力的技术人员协助分析权限变更过程，并保留可供核验的原始链上记录，而不是只有一张余额截图。
尽量还原对方如何取得操作机会
文章指出，如果事发前曾有人要求查看手机、提供操作链接、协助使用钱包，或者以安全认证为由要求签名，应尽量保存相关聊天记录、网页链接、交易现场资料以及电子设备记录。
文中还特别说明，链上记录通常能够证明某笔权限变更交易发生过，但不一定能够直接证明现实中究竟是谁操作了钱包。要将一个链上地址与具体人员关联起来，往往还需要设备痕迹、聊天记录、交易关系、现场证据等其他材料相互印证。
评估资产是否仍有安全处置空间
文章提醒，发现异常后，不宜继续向可疑钱包充值或支付所谓的「解锁手续费」，也不要轻易向陌生技术人员提供私钥、助记词。
如果账户仍保留合法、有效的操作权限，应尽快由可信赖的专业人员核实可行的安全处置方式，并同步保留必要证据。若权限已经无法恢复，则需要结合具体情况评估后续链上追踪、刑事控告及其他救济路径。
对于涉嫌犯罪的情况，用户可以携带初步材料向公安机关报案。文章称，公安机关应依法接收、审查相关报案或控告材料，但案件能否刑事立案，仍取决于是否符合相应条件。
即使暂时没有完成资产转移记录，也可以如实说明权限遭非法变更、控制能力受损及潜在资产风险等情况，而不是把尚未发生的转币行为描述为已经完成的盗窃。
比余额更重要的是谁真正掌握控制权
文章最后指出，恶意多签之所以容易让用户忽视风险，正是因为它未必立即改变钱包余额。表面上看，币还在那里；从实际操作上看，原持有人却可能已经无法支配。
在刑事法律分析中，这类案件不能只盯着最后有没有发生转账，还应关注权限如何被改变、控制关系是否已经发生实质变化，以及行为人取得控制权限时采用了怎样的手段。
如果在发生恶意多签后，直接将全部余额认定为盗窃损失，可能会忽视不同权限结构带来的实际控制差异；如果仅因为资产没有转走，就认为不存在违法犯罪问题，也可能忽略已经发生的非法获取权限等行为。
文章认为，对受影响用户来说，最重要的不是马上给事件贴上「盗窃」或「诈骗」的标签，而是先把钱包原有控制关系、异常权限变更过程、实际资产状态和相关人员行为查清楚。
只有事实和证据足够完整，才有可能进一步判断刑事责任，选择合适的维权路径，并评估资产追回的现实可能性。
文末写道，钱包里的币还在，并不意味着风险还没有发生。真正需要确认的是，控制资产的权力，是否还掌握在自己手里。
