SafePal 发布安全指南称，在加密世界里，很多风险并不是先从技术层面突破，而是先让用户自己交出资产控制权。相比复杂的链上漏洞，普通用户更常遇到的是社会工程学攻击。攻击者不一定需要破解硬件钱包或获取系统权限，他们更常见的做法是伪装身份、制造紧迫感，再利用用户对资产损失的担忧，诱导转账、点击钓鱼链接、下载恶意软件、连接钱包、签署交易，甚至主动交出助记词和私钥。
指南指出，真正高明的社会工程学攻击，往往不会让骗局看起来像骗局，反而会把危险操作包装成一次正常的「安全操作」。
五类常见社会工程学攻击
冒充身份
第一类是冒充身份。攻击者可能伪装成钱包、交易所客服、项目方管理员、KOL、物流公司、律师或其他机构，通过 Telegram、Discord、X、微信、电话等方式主动联系用户。
常见话术包括「检测到您的账户存在异常」「您的钱包需要重新验证」「我们可以帮您追回资产」。SafePal 提醒，对方知道姓名、电话、订单或账户信息，并不能证明身份真实，这些信息更可能只是被用来增加可信度。
判断重点不在于对方看起来像不像客服，而在于对方最终要求用户做什么。凡是索要资产控制权的，均应视为高风险。指南还提到，即使在官方社群中，也可能有伪装成客服的骗子，私信往往是这类骗局最容易得手的场景。遇到问题时，更适合在公共频道公开提问并寻求解答。按照文中的说法，真正的官方人员不会主动私信联系用户提供帮助。
钓鱼链接、假网站和假软件
第二类是发布钓鱼链接、假网站或假软件。邮件、短信、搜索广告、二维码和社交媒体私信，都可能成为钓鱼入口。攻击者可能制作与官网高度相似的页面，或发布假的钱包 App、浏览器插件、桌面客户端以及所谓的「固件更新」，再诱导用户输入账号、验证码、助记词，连接钱包或签署交易。
这类骗局的破绽有时非常细微，可能只是域名少了一个字母，或多了一个字符。SafePal 建议，涉及钱包下载、账户登录、浏览器扩展和硬件钱包固件时，不能因为页面看起来像官网就默认安全。
- 首次通过官方认证渠道核实网址后，可手动保存到浏览器书签。
- 后续访问尽量从书签进入，减少每次都通过搜索引擎重新搜索的做法。
- 搜索结果顶部的「赞助」或「广告」链接，往往是假网站集中的区域。
- 下载钱包 App 或浏览器插件时，应通过官网给出的跳转链接进入官方应用商店。
- 即便在应用商店内搜索，也应核对开发者信息和下载量，防止下载到同名假冒软件。
制造恐惧和紧迫感
第三类是制造恐惧和紧迫感。指南称，这是社会工程学中最常见的心理手段之一。常见说法包括「资产正在被盗」「钱包存在严重漏洞」「十分钟内不处理，账户就会被冻结」「必须立即升级，否则设备将无法使用」。
这类话术的目的，是让用户来不及核实，就按照对方给出的步骤操作。很多时候，所谓的「安全提醒」本身就是骗局的一部分。攻击者先制造「再晚一步钱就没了」的恐惧，再把恶意链接、假软件或所谓的「安全地址」包装成解决方案。因此，越是要求立即操作的信息，越需要先停下来核实。
长期潜伏并建立信任
第四类是潜伏伪装并建立长期信任关系。并非所有社会工程学攻击都会制造恐惧，有些会先给出好处。免费空投、NFT、返现奖励、高收益投资、内部名额，都可能被用作诱饵。
还有一些骗局会通过社交软件、群聊甚至交友平台，长期与用户建立关系，再逐步推荐所谓的投资机会、交易平台或代操盘服务。文中指出，这类攻击的危险之处在于并不急于得手，攻击者可能花上几周甚至几个月建立信任，直到用户自愿把资金转入指定渠道。
对于已经被骗过的人，指南还提到一种更隐蔽的「二次诈骗」：所谓律师、调查机构或资产追回团队主动联系，声称资金已经找到，但需要先支付律师费、税费或解冻费。
通过线下渠道实施攻击
第五类是通过线下渠道进行社会工程学攻击。SafePal 提醒，这类风险并不只发生在屏幕上。攻击者可能通过电话、实体信件、快递，甚至直接寄送所谓的替换设备，告知用户设备存在风险，需要扫码升级、重新导入钱包或更换硬件。
因此，任何并非用户主动购买或申请、却突然收到的钱包设备，都不应直接使用，更不能向其中导入原有钱包的助记词。
一场攻击通常如何完成
虽然社会工程学攻击形式很多，但大多数都可以拆分为几个相似步骤。
第一步是建立可信度。攻击者可能冒充钱包、交易所、客服、项目方、物流公司，甚至利用真实个人信息，或通过长期交流建立信任。指南强调，「对方知道我的真实信息」并不能证明其身份真实。
第二步是创造一个必须处理的理由。这个理由可能来自恐惧，例如资产被盗、账户将被冻结；也可能来自利益，例如空投、退款、资产已追回；还可能来自所谓帮助，例如「我来帮你解决」。无论包装方式如何，目的都是压缩用户独立判断的时间，把用户推进到下一步。
第三步才是真正实施攻击。攻击者最终通常会要求用户访问指定网站、扫描二维码、下载软件、共享屏幕、连接钱包、输入验证码、签署交易、提供助记词或私钥，或者直接向某个地址转账。SafePal 认为，这是判断风险最关键的一步。与其只问「这个人像不像官方」，更应该问「他最终希望我做什么」。如果一条所谓的安全通知，最后要求用户交出资产控制权，那么前面的包装再真实，也仍然是骗局。
面对社会工程学攻击的四条底线
SafePal 在指南中列出四条安全底线，认为诈骗方式会变化，但安全原则并不复杂。
- 第一，不向任何人提供助记词、私钥、PIN 码或钱包密码。 文中指出，助记词不是验证码，不是身份认证资料，不是退款凭证，也不是所谓的「安全升级代码」。正规的自托管钱包，只有在用户自行恢复钱包时，才可能需要在可信设备或官方软件中输入助记词，这与把助记词发送给客服、管理员或输入陌生网页完全不同。
- 第二，不用对方提供的入口验证对方自己。 收到所谓官方邮件，不要再点击邮件里的「官网」确认真假；接到可疑电话，也不要继续使用对方提供的客服电话。更稳妥的做法是退出当前信息来源，自己重新找到平台官网、官方 App 或认证账号，再做核实。
- 第三，看不懂的签名和授权，不要确认。 指南提醒，没有泄露助记词，并不代表一定安全。恶意授权、Permit 签名、Token Approve，甚至一笔普通转账，都可能造成资产损失。如果用户不知道自己正在授权什么，就不应因为所谓客服要求验证而点击确认。
- 第四，越是催促，越要停下来。 「必须马上升级」「资产正在被盗」「十分钟内不处理就被冻结」这类说法，本身就是典型的心理施压。正常的安全流程经得起多花几分钟确认，骗局才最希望用户没有时间思考。
已经进行了可疑操作后怎么办
对于不同阶段的风险暴露，SafePal 给出了不同处理建议。
如果只是收到可疑邮件、短信、电话或私信，但没有点击、签名或转账，停止联系并保留相关证据即可。
如果已经输入账户密码、验证码，或者下载了可疑软件，应尽快修改相关账户密码、重置 2FA，并检查邮箱、交易所等重要账户的登录记录。
如果已经连接陌生 DApp、进行了可疑授权或签名，应及时检查钱包近期交易和授权情况，撤销不认识或不再使用的权限。
如果助记词或私钥已经泄露，则应直接把原钱包视为已经失陷。此时应使用可信设备创建一套全新的钱包和助记词，并尽快将原钱包中仍然存在的资产转移到新钱包。已经泄露的助记词，不应继续使用。
SafePal 的提醒
SafePal 在文末表示，社会工程学最危险的地方，不在于技术有多复杂，而在于它会利用人的心理。面对任何涉及资产的异常联系，关键不在于记住多少诈骗套路，而是不要在恐惧、贪念和催促中做决定。按照文中的表述，越让人着急，越要慢一点；越让人心动，越要多确认一步。
文末同时附有免责声明称，市场有风险，投资需谨慎。本文不构成投资建议，用户应考虑文中的任何意见、观点或结论是否符合其特定状况，并自行承担据此投资的责任。
