Web3 与加密领域的钓鱼诈骗
近期评估显示，钓鱼攻击仍是全球性威胁。有组织的诈骗团伙使用日益廉价的工具来扩展骗局，执法部门和行业报告都指出，网络钓鱼活动数量在上升，手法也愈发复杂，甚至开始借助人工智能。下面我们将详细说明钓鱼诈骗如何针对加密货币用户，以及如何保护自己。
什么是钓鱼诈骗？
钓鱼是一种社会工程手段，骗子通过欺骗方式诱使人们泄露敏感信息或执行危险操作。目标可能包括个人身份信息、登录凭据、银行账户详情，甚至钱包助记词。最终目的通常是获取账户访问权，从而盗取资金。
与直接的技术入侵不同，钓鱼依赖的是欺骗和制造紧迫感，而不是直接攻破设备。攻击者会假冒可信组织（银行、雇主、电信公司、交易所），通过精心伪装的电子邮件、短信、即时消息、社交媒体账号或电话联系受害者。消息中的链接会指向仿冒网站，这些网站专门用来收集用户输入的凭据。
钓鱼既可以是定向攻击（例如针对某家公司员工或某平台用户，在数据泄露后进行），也可以是撒网式攻击（例如向批量手机号或邮件列表发送信息）。这些攻击可能服务于短期目标，如植入勒索软件或清空账户；也可能为了长期目的，如持续访问企业内部系统，用于监视或勒索。
钓鱼诈骗的常见类型
钓鱼攻击通过多种渠道进行，最常见的包括：
- 电子邮件
- 短信（通常称为“短信钓鱼”）
- 社交媒体和即时通讯
- 电话/语音通话（通常称为“语音钓鱼”）
权威机构将短信钓鱼和语音钓鱼定义为通过文字或语音进行的社会工程方法，用以获取敏感数据或金钱。
1. 电子邮件：“点击此链接以避免……”
攻击者会发送与真实通知非常相似的电子邮件，通常带有行动号召，例如“验证您的账户”“支付逾期账单”或“重新激活访问权限”。邮件的品牌标识、语气和格式可能和真实机构一模一样，以此降低你的警惕。
仔细检查发件人
骗子可能会伪造发件人地址（如 support@crypto.com.somethingelse.com），或者将恶意网址隐藏在看似正常的锚文本后面。
更高级的手段包括使用同形异义字符——来自其他字母表中看起来像拉丁字母的字符，来模仿知名域名（例如用西里尔字母替代拉丁字母）。这样一眼看去，地址似乎是正确的。
提示：悬停鼠标（不要点击）预览链接。检查是否有拼写错误、异常的子域名或看起来不对劲的字符。
2. 短信容易被仿冒
短信钓鱼不需要那么精美的视觉包装，因此信息可能很简短但充满紧迫感。常见的套路是利用恐慌、不确定和怀疑情绪，比如“检测到未授权交易”“立即行动”或“最后机会获取特别优惠”。
不管是哪种方式，链接都会指向收集凭证的页面。权威警告指出，这类消息是快速获取敏感数据的常见手段。
3. 社交媒体上的钓鱼诈骗
在社交平台或私信中，攻击者可能伪装成客服或工作人员，催促你“验证详细信息”或“领取奖励”。其目的通常是诱导你点击短链接或重定向链接。
要警惕那些模仿官方用户名（例如加下划线、多余标点或空格）的账号。如有疑问，最好自己前往品牌已验证的页面，通过官方渠道联系客服。
4. 提防陌生来电
语音钓鱼利用电话（有时是自动语音）来施加压力，要求你分享详细信息或进行付款。
来电显示可以伪造，所以仅凭显示号码并不能证明对方身份。语音钓鱼可能引导受害者回拨某个指定号码，或立刻“验证”信息。
一旦存疑，请挂断电话，然后通过公开的官方号码回拨给该机构。
还要记住：合法机构和银行绝不会要求你用礼品卡付款。这是众所周知的诈骗信号。
如何识别钓鱼并保护自己
首要防线是对任何催促你快速行动的意外信息保持健康的怀疑。请参照以下清单：
- 仔细检查发件人地址或账号名。 域名是否正确，是否被篡改（例如 @crypto.com.somethingelse.com）？
- 使用反钓鱼码，如果平台提供该功能。开启后，每封官方邮件都会显示你设置的个人代码；缺失或不匹配就是警告信号。（Crypto.com 在其 App、交易所和 NFT 市场中提供反钓鱼码。）
- 悬停鼠标查看链接，确认它是否指向正确的真实域名。
- 留意拼写或语法错误。虽然并非绝对，但很常见。
- 注意被联系的方式。正规团队通常不会主动私信用户；如需支持，请通过已验证的账号主动联系。
- 提防“好得离谱”的提议，以及要求立即行动的压力战术。
- 不确定时，停下来。只通过官方渠道联系相关机构：自己输入网址或使用应用内客服。
针对加密用户的钓鱼案例：七个实战示例
以下是假设场景，但展现了常见的危险信号。
1. 公司很少主动私信你
诈骗者以客服身份主动联系你。多数信誉良好的团队不会未经请求就私信用户。只有两种例外：竞赛奖品发放和征求用户生成内容的授权。即便如此，也要核实账号和上下文。避免简化的或不熟悉的链接。
2. 正规团队不会提供“快速致富”方案
假冒账号可能提供“独家投资机会”或“保证回报”。将这些视为高风险信号，不要参与。怀疑时，可在平台举报该账号。
3. 你不会被自动加入“官方”频道
骗子会克隆社群群组（常见于 Telegram），批量加入用户，然后索要登录信息或助记词。真正的项目方会发布官方链接，期望你主动加入，而不是反过来。
4. 只使用官方网站
仿冒网站可能模仿配色和标志，要求提供助记词或私钥——这些信息永远不能共享。留意网站结构简陋、品牌标识缺失或质量低下，以及急促的行动号召。有些攻击甚至购买相似广告，使其排在真实结果之上；这种现象已在现实中观察到。
5. 验证社交媒体账号
网络钓鱼者可以伪造知名项目（如 NFT 系列）的账号，推广虚假空投。寻找官方验证徽章，与项目官网交叉核对，并谨慎对待未经请求的关注回推。你能从下面两张图中找出钓鱼账号吗？
6. 仔细检查网址
留意网址和广告结果中的拼写错误、多余字符或同形异义字母。例如，一个来自其他字母表的字符可能让恶意域名一眼看去像合法的。
7. 小心第三方优惠码
“优惠码”的搜索结果经常被滥用。请只使用官方网站和已认证渠道。
钓鱼攻击不断演变，但核心不变
钓鱼手段在不断进化，但大多数攻击仍然基于同样的要素：制造紧迫感、冒充可信赖方、使用看似真实的链接。对细微的不一致保持警惕，通过官方渠道验证信息，并在提供反钓鱼码等功能的服务中启用它们。一旦感觉不对劲，立即暂停——然后独立而彻底地核实。
尽职调查与自行研究
本文所有示例仅供参考。您不应将此类信息或其他材料解释为法律、税务、投资、财务、网络安全或其他建议。本文中任何内容均不构成 Crypto.com 对投资、购买或出售任何代币、通证或其他加密资产的招揽、推荐、认可或要约。在您所在司法管辖区，买卖加密资产的回报可能需要纳税，包括资本利得税。对 Crypto.com 产品或功能的任何描述仅用于说明目的，并不构成认可、邀请或招揽。
过往表现并非未来表现的保证或预测。加密资产的价值可能涨跌，您可能损失全部或大部分购买金额。在评估加密资产时，务必自行研究和尽职调查，以便做出最佳判断，因为任何购买行为均由您自行承担责任。