授权钓鱼和签名钓鱼，是骗子诱导你在链上钱包里签下一份“授权书”，让他们的合约获得动用你代币的权限，再把资产一次性转走。和盗号不同，它不需要你的助记词，只需要你在一个陌生网站点一下“确认”。核心识别要点是：看不懂的授权和签名，一律不要确认。
安全公司 Scam Sniffer 统计，2025 年以太坊等 EVM 链上通过钓鱼网站和“钱包清空器”被盗的金额约 8,385 万美元，受害地址超过 10 万个。总额比 2024 年明显下降，但单笔大案仍然频繁，全年最大一笔约 650 万美元就是通过 Permit 签名被盗的。截至 2026 年，这类攻击依然活跃。
这种骗局是怎么运作的？
- 第一步：投放诱饵。 往你钱包里空投一笔陌生代币，名称里带着网址；或者在社交平台、群组发布“空投开放”“免费 Mint”“领取奖励”的消息，有时还会盗用真实项目的官方账号发布。
- 第二步：引你到仿冒网站。 网站外观和真实项目一样，一打开就提示“连接钱包”。
- 第三步：弹出授权或签名请求。 网站说“验证资格”“领取空投”需要签名，钱包弹窗里可能是 Approve（授权）、setApprovalForAll（NFT 全部授权）或一段 Permit 签名数据。
- 第四步：你确认。 因为签名不花 Gas、看起来像登录，很多人随手就点了确认。
- 第五步：资产被转走。 骗子用拿到的权限调用合约，把你的 USDT、其他代币或 NFT 转走。有时是立即转走，有时会等你存入更多资产再动手。
常见情形是：用户在钱包资产列表里看到一笔“价值几百美元”的陌生代币，按提示打开网站想把它卖掉，网站要求先“授权”。授权后几分钟，钱包里原有的 USDT 就被转空了。那笔陌生代币本身没有任何价值，只是诱饵。
授权、签名和转账有什么区别？
钱包里常见的确认请求大致有三类。转账最好理解，就是把币直接发出去。授权（Approve） 是一笔链上交易，需要支付 Gas，作用是允许某个合约在额度内动用你的某种代币。离线签名（如 Permit） 不上链、不花 Gas，看起来最无害，但拿到签名的人可以自己把它提交上链，效果等同于授权。
所以“不花手续费”不等于“没有风险”。Scam Sniffer 还提到，2025 年以太坊升级后出现了利用 EIP-7702 的新型恶意签名，可以把整个钱包的控制逻辑交给攻击者。新的签名类型会不断出现，最可靠的原则仍然是：不在陌生网站签任何东西。
骗子常用哪些话术？
| 骗子会说 | 真实情况 |
|---|---|
| “恭喜获得空投，点击领取” | 陌生代币和“领取”链接是钓鱼最常用的诱饵 |
| “签名只是验证身份，不花手续费” | 不花 Gas 的签名同样可能授予转走代币的权限 |
| “限时 Mint，名额有限，马上开始” | 倒计时是为了让你来不及看清签名内容 |
| “授权无限额度更方便，下次不用再授权” | 无限授权意味着对方合约可以随时转走该代币的全部余额 |
| “钱包提示有风险是误报，忽略即可” | 钱包的风险提示要认真对待，宁可错过也不要硬签 |
怎么防范？
- 看不懂就不签。 钱包弹窗里出现 Approve、Permit、setApprovalForAll、increaseAllowance 等字样时，先停下来想清楚：我为什么要给这个网站这项权限？
- 只从官方渠道进入项目网站。 不点空投链接、私信链接和搜索广告，核对域名，详见 钓鱼网站识别。
- 不碰陌生代币。 钱包里莫名出现的代币，不要尝试出售、兑换或打开它附带的网址，隐藏即可。
- 授权额度设成实际需要的数量。 很多钱包允许你在授权时修改额度，不要默认“无限”。
- 分钱包管理。 大额资产放在一个不连接任何网站的钱包里；日常交互、领空投用另一个只放少量资金的钱包。
- 定期检查授权。 每隔一段时间，用 Revoke.cash 或 Etherscan 的代币授权检查页查看自己的授权，撤销不认识的和不再使用的。
- 用好钱包的风险提示。 欧易 Web3 钱包等主流钱包会对可疑网站和签名给出提醒，使用方法见 欧易 Web3 钱包教程。
已经被骗了怎么办？
- 立刻撤销授权。 打开 Revoke.cash 或 Etherscan 代币授权检查页（其他链用对应的区块浏览器），找到可疑的授权对象，点“Revoke”撤销。撤销需要少量 Gas。
- 转移剩余资产。 新建一个全新的钱包（新助记词），把原钱包里剩下的资产尽快转过去。如果怀疑助记词也泄露了，这一步比撤销更紧急。
- 记录信息。 保存钓鱼网址、骗子合约地址、资产转出的交易哈希（TxID）。
- 报告资金去向。 如果被盗资产流入了币安或欧易的充值地址，可以通过官方在线客服提交报告，并向当地警方报案。
- 检查设备。 如果曾下载过不明插件或软件，清理后再使用钱包。
链上授权的设计本身很难懂，签错一次并不说明你不够聪明。把大额资产和日常交互分开，是让一次失误不至于伤筋动骨的最好办法。不熟悉的术语可以查 术语表。
常见问题
什么是代币授权？为什么会被盗？
代币授权是你允许某个智能合约动用你钱包里的某种代币，正常的去中心化交易所也需要它。问题在于，如果你授权给了骗子的合约，对方就可以在任何时候把这些代币转走，不需要再经过你确认。
Permit 签名钓鱼是什么？
Permit 是一种“离线签名授权”，签名本身不上链、不花 Gas，看起来像普通登录。但骗子拿到这个签名后，可以自己提交上链，取得转走你代币的权限。Scam Sniffer 的 2025 年报告显示，Permit 仍是钓鱼签名中最主要的类型。
怎么查看和撤销钱包授权？
以太坊等 EVM 链可以打开 Revoke.cash 或 Etherscan 的代币授权检查页，输入或连接你的钱包地址，查看所有授权，对陌生或不再使用的点“Revoke”撤销。撤销需要支付少量 Gas，钱包里要留一点原生币。
撤销授权后被盗的币能回来吗？
不能。撤销只能阻止对方继续转走剩余资产，已经转出的代币无法通过撤销找回。所以发现异常时要第一时间撤销授权，并把剩余资产转到一个全新的钱包。
交易所账户里的币会被授权钓鱼盗走吗？
授权钓鱼针对的是你自己掌管私钥的链上钱包。交易所账户不涉及链上授权，但钓鱼网站可能骗走交易所账号密码，那是另一种风险。把币从交易所提到钱包后，就要自己管理授权安全。
需要帮助？
先止损、再报案：冻结账户、保存证据，然后联系交易所官方客服和所在地警方。各地官方报案渠道见 防骗中心 · 求助渠道，完整步骤见 被骗或被盗后怎么办。