不要点击不明来源的NFT赠品链接
钱包里忽然多了一个NFT，封面精美，名字里带着"Airdrop""Reward""Exclusive"之类的字眼，描述里写着你获得了某个热门项目的赠品，点进附带的网站链接就能领取。不少人第一反应是惊喜，第二反应是去点那个链接。这种"惊喜"是钓鱼者最得心应手的武器，他们不攻代码不破密码，只攻人性里那一瞬间"白捡便宜"的冲动。链接一旦点开，后面的事就不在你控制范围内了。这不是危言耸听，这套攻击链已经被反复验证了无数次，每一步都踩在普通用户安全意识最薄弱的环节。
那个NFT不是天上掉的，是地上撒的网
不明NFT进入钱包，不是因为你运气好中了空投，而是你的地址被盯上了。攻击者扫描链上活跃地址，尤其是那些交互过热门DeFi协议、持有过蓝筹NFT、或者在社群里公开过地址的人，然后批量往这些地址里空投钓鱼NFT。成本极低，撒一万个网，只要有一条鱼咬钩就回本。这个NFT本身没有攻击性，它只是躺在你钱包里的一个代币，不能动你的其他资产，因为链上没有"代币主动攻击钱包"这回事。它的作用是一块诱饵，引导你去点描述里附带的外部链接。链接点开之后可能是三样东西中的一种。最直接的是假官网，页面复制了知名项目的UI，告诉你"领取奖励需要先授权钱包"。你一点授权，弹出来的不是领取确认，而是一份恶意的approve或setApprovalForAll交易，把你钱包里某个代币的无限额度开放给了攻击者地址。点完确认那一秒，你的USDT、ETH或者蓝筹NFT就已经可以被对方转走了。更隐蔽的是签名陷阱，页面弹出一个签名请求，提示很模糊，可能只写了一行"Sign to verify your wallet"。你以为是在验证身份，实际上签的是一份链下授权，攻击者拿着你的签名到Seaport或Blur这类NFT市场上挂单，用极低的价格把你的NFT卖给他自己。全过程不需要你再确认一次，因为签名已经把权限交出去了。还有一种是用漏洞页面配合浏览器或钱包的零日漏洞，这种攻击门槛较高，但一旦中招，后果不是单个币种被授权，而是钱包的私钥文件可能被直接提取。这类情况相对少见，攻击者通常更倾向于前两种低成本的钓鱼方式，因为大多数受害者在前两步就已经把资产交出去了。
链接点开了，第一反应不是"看看还有什么"，而是"马上断"
如果你已经点开了不明NFT附带链接的网站，并且只是在浏览页面，还没有点击任何授权或签名按钮，立即关闭页面，清除浏览器缓存和Cookie，然后在钱包里打开授权管理工具，检查一下有没有刚刚产生的新授权。没有的话，暂时安全。如果你已经点了"授权"或者"签名"，并且在钱包弹窗里按了确认，时间就是能不能止损的关键，尽快做三件事。第一，撤销授权。打开revoke.cash或对应的区块浏览器Token Approval工具，连接钱包，找到刚才那个交易里被授权的代币和授权地址，立即发起撤销交易。如果攻击者还没有动手转移，撤销成功，资产暂时保住。第二，如果资产已经在链上被转走，撤销授权已经来不及了，立即把钱包里剩余的其他资产转移到另一个安全地址。不要犹豫，不要期待攻击者会手下留情。安全地址可以是新创建的钱包、硬件钱包、或者你确认安全的交易所账户。转移时注意，要先转没有授权过的代币，再转可能已经被授权但尚未被转走的代币，因为转走需要消耗Gas费，确保Gas费来源的币没有被掏空。第三，如果你用的是导入助记词的钱包，并且不确定攻击是否触及了私钥层面，最安全的做法是放弃这个钱包，创建一个全新的钱包。旧地址可以继续用来接收低价空投、测试交互，但里面不要留任何值钱的资产。
混淆"签名"和"授权"是钓鱼者最爱利用的认知盲区
链上操作有两个很容易混淆的动作：一个是授权（Approval），一个是签名（Sign）。授权是链上交易，需要付Gas费，会改变链上状态。签名是链下操作，不产生链上交易，不花Gas费，但它生成的签名可以被第三方用来在特定规则下操作你的资产。很多钓鱼页面会故意把恶意签名包装成"验证身份""绑定地址""确认领取"，因为签名不需要Gas费，用户心理防线更低，觉得反正不花钱，签一下没事。但一份针对NFT交易市场的恶意签名，足以让你的NFT以0.01 ETH的价格被买走，买家就是攻击者自己，整个过程由你的签名授权完成，链上看起来完全合法。防范的方式是看签名内容。钱包弹出的签名请求，如果是一堆十六进制字符看不懂，就不要签。正经的领取流程通常是链上授权或直接空投到地址，不需要签一段你看不懂的随机数据。如果用MetaMask，可以在签名弹窗里仔细看一眼"Message"内容，如果里面有"transfer""approve""sell"之类的关键词，或者出现了陌生的合约地址，立刻拒绝。
从源头堵住钓鱼，比事后止损重要十倍
不明来源的NFT无法被阻止进入钱包，因为钱包地址是公开的，任何人往任何地址发代币都不需要接收方许可。能控制的是你自己对这类NFT的态度。最有效的防护是"不认"。钱包里出现不认识的NFT，不点详情页，不点描述里的链接，不在任何外部网站上输入私钥或助记词。直接在钱包里把它隐藏掉，各大主流钱包都支持隐藏NFT的功能。它不是没了，只是不显示了，眼不见为净。如果一定要查清楚某个NFT的来源，唯一安全的做法是去NFT交易平台上搜索该NFT的合约地址，比如OpenSea或Blur，在平台内查看它的详情，不要通过NFT描述里的链接去访问。在平台上看到的信息经过了交易平台的初步过滤，比直接点外部链接安全一个量级。钱包分级管理也是一个好习惯。用一个钱包存放主要资产，这个钱包不交互任何来历不明的合约、不领取空投、不Mint免费NFT。另外建一个"探险钱包"，里面只放少量资产，专门用来领空投、测试新协议、交互陌生项目。钓鱼者在链上撒网时，只能扫到你的探险地址，主力资产安全不受影响。还有一点容易被忽略：社群里别人转发的"免费领NFT"链接，哪怕来自熟人，也不要点。熟人可能是先被钓了，正在不自觉地把链接扩散出去。钓鱼链条最恐怖的一环，是受害者无意中变成了传播者，他们转发链接时的真诚语气，是所有安全教程都无法防御的武器。
不明来源的NFT赠品，本质上就是用技术手段包装的街头骗术：有人在你门口放了一个包裹，包裹上写着"恭喜中奖"，里面装着一张纸条让你打某个电话领奖。在物理世界里，大多数人会警惕地把包裹扔掉。但在链上，那个包裹长得像一个设计精美的代币，电话号码被替换成了链接，人们就放松了警惕。技术变了，人性没变。把那个NFT当成门口的陌生包裹，看都别多看一眼，收进隐藏夹里清掉，是对这种攻击最冷漠也最有效的回应。
免责声明
本文仅为链上安全经验分享，不构成任何投资建议。链上钓鱼手法持续进化，文中列举的攻击方式仅为常见形态，实际可能更隐蔽。请保护好私钥和助记词，对所有授权操作保持警惕。
