安全实战与案例库入门881 次阅读
假空投骗局：免费的东西最贵
假空投用一个免费诱饵换你一次签名或授权，随后把资产划走。看懂它的诱导路径，以及遇到陌生代币该怎么处理。
#安全#假空投#签名#授权风险
一句话结论
假空投的套路是固定的：用一个免费的诱饵，换你一次签名或授权。空投是真的，代价也是真的。
典型诱导路径
- 触达：随机向你的地址转入一个没见过的代币，或在群里、私聊里发「恭喜你获得空投资格」的链接
- 制造稀缺：页面显示倒计时、「仅剩几分钟」、「未领取将作废」
- 要求连接钱包：这一步本身无害，但它把你引向了下一步
- 要求签名或授权：话术是「验证钱包所有权才能领取」，实际是让你签一份不透明的签名或授权
- 资产被划走：授权生效后，攻击者转走对应代币；如果是 SetApprovalForAll，整个 NFT 集合都可能被拿走
还有更直接的变体：链接指向一个假站点，页面要求你输入助记词来「认领空投」——那已经不是骗授权，而是直接骗走整个钱包。
怎么判断空投是真是假
- 看来源：真空投会有正式公告，且能在官方账号、官方文档里同时找到
- 问自己「为什么给我」：你从没用过这个协议、也没有相关持仓，凭什么给你空投
- 看它要什么：领取只需签一笔上链交易（付 Gas）通常合理；一旦要求签名、授权或输入助记词，立刻停下
- 查那个代币：刚创建、持有者极少、只有你收到，多半是「投毒代币」
- 不理会它：收到不等于需要处理，放着不动是最安全的做法
遇到了怎么处理
- 不点链接、不领取、不交互
- 如果已经签过，立刻去授权查询工具撤销授权，并把剩余资产转到新钱包
- 不要急着在钱包里「卖出」这些代币，除非你已确认它的合约没问题
给你的教训
- 免费的东西最贵：空投要的是你的授权或签名，不是你的零花钱。
- 领取空投不需要助记词，任何要助记词的页面都是钓鱼。
- 对陌生代币保持沉默：不查、不换、不卖，最省事。
- 用小额钱包参与空投，大额资产放单独地址或硬件钱包。
- 看到倒计时和「即将作废」就当红灯，它在压缩你的思考时间。
延伸阅读
动手教程
把这个概念用起来的分步实操，跟着做一遍比再读十篇都记得牢
密码学基础：哈希、公私钥与地址
用零基础也能跟上的方式讲清区块链的三块密码学基石：哈希函数为什么单向、抗碰撞、有雪崩效应，<code>SHA-256</code> 与 <code>Keccak-256</code> 分别用在哪里；公钥与私钥的非对称关系、<code>secp256k1</code> 椭圆曲线、数字签名的签发与验签全流程；再一步步推导「私钥 → 公钥 → <code>Keccak-256</code> → 取后 20 字节 → 校验和地址」这条完整链路，讲透 <code>BIP-39</code> 助记词与 <code>BIP-32 / BIP-44</code> 派生路径，并分清签名≠交易、地址≠账户、私钥泄露=资产清零这些致命区别。
预计 25-35 分钟 →
中心化交易所注册与账户安全设置
从选平台、核实官网、注册账号、KYC 实名，到 2FA、反钓鱼码、提现白名单和 API 权限，一次性把 CEX 账户的安全设置做全，避免以后被盗号或钓鱼。
预计 20-30 分钟 →
硬件钱包与钱包安全加固：冷存储、多签与分层策略
把钱包安全从「小心别被骗」升级为「即使被骗也伤不到根本」：为什么硬件钱包是资产安全的分水岭——私钥永不接触网络、签名在设备内完成、电脑中木马也拿不到密钥；硬件钱包选型与<strong>只从官方渠道购买</strong>（拒绝二手与第三方改装）的原因；设备初始化时助记词必须在设备屏幕上生成与抄写；与 MetaMask 联动的配置流程与屏幕双重核对纪律；多签钱包（Safe）的原理、阈值配置与团队共管场景；社交恢复与智能钱包如何消除「助记词丢失即终局」；分账户策略的落地方法；家庭与团队场景下的备份分片、共同持有人与继承方案；最后是一份安全加固总清单与年度安全复盘流程。
预计 40-50 分钟 →
合约安全：重入、预言机操纵等高频漏洞与防范
以攻击者视角系统拆解导致史上巨额损失的智能合约漏洞类别：建立「所有外部输入与外部调用都是恶意的」安全第一性原理；重入攻击的三种形态与 Checks-Effects-Interactions、重入锁；整数溢出/下溢与 0.8 内置检查；访问控制缺失与 tx.origin 钓鱼；外部调用失败导致的拒绝服务；闪电贷如何无成本放大价格预言机操纵风险，以及 Chainlink 喂价与 TWAP 的正确姿势；无限授权与签名重放；可预测随机数；最后用 The DAO、Parity 多签、Ronin 桥、Euler 等真实案例时间线建立直觉，并给出项目方的应急响应预案框架。
预计 50-60 分钟 →
相关问题
读者在这类操作前后最常搜索的问题
免责声明与合规提示内容更新日期：2026-10-28
- 本站全部内容仅用于技术学习与科普，不构成任何投资建议、要约或招揽。 数字资产价格波动剧烈，请独立判断并自行承担决策结果。
- 教程记录的是撰写时的产品界面与规则，相关产品更新频繁， 实际操作请以官方当前界面与公告为准。发现内容过时，欢迎在对应页面反馈。
想系统排查自己的安全习惯？从安全自查清单开始。