授權釣魚和簽名釣魚，是騙子誘導你在鏈上錢包裡簽下一份“授權書”，讓他們的合約獲得動用你代幣的權限，再把資產一次性轉走。和盜號不同，它不需要你的助記詞，只需要你在一個陌生網站點一下“確認”。核心識別要點是：看不懂的授權和簽名，一律不要確認。
安全公司 Scam Sniffer 統計，2025 年以太坊等 EVM 鏈上通過釣魚網站和“錢包清空器”被盜的金額約 8,385 萬美元，受害地址超過 10 萬個。總額比 2024 年明顯下降，但單筆大案仍然頻繁，全年最大一筆約 650 萬美元就是通過 Permit 簽名被盜的。截至 2026 年，這類攻擊依然活躍。
這種騙局是怎麼運作的？
- 第一步：投放誘餌。 往你錢包裡空投一筆陌生代幣，名稱裡帶著網址；或者在社交平臺、群組發布“空投開放”“免費 Mint”“領取獎勵”的訊息，有時還會盜用真實專案的官方帳號發布。
- 第二步：引你到仿冒網站。 網站外觀和真實專案一樣，一開啟就提示“連線錢包”。
- 第三步：彈出授權或簽名請求。 網站說“驗證資格”“領取空投”需要簽名，錢包彈窗裡可能是 Approve（授權）、setApprovalForAll（NFT 全部授權）或一段 Permit 簽名資料。
- 第四步：你確認。 因為簽名不花 Gas、看起來像登入，很多人隨手就點了確認。
- 第五步：資產被轉走。 騙子用拿到的權限呼叫合約，把你的 USDT、其他代幣或 NFT 轉走。有時是立即轉走，有時會等你存入更多資產再動手。
常見情形是：使用者在錢包資產列表裡看到一筆“價值幾百美元”的陌生代幣，按提示開啟網站想把它賣掉，網站要求先“授權”。授權後幾分鐘，錢包裡原有的 USDT 就被轉空了。那筆陌生代幣本身沒有任何價值，只是誘餌。
授權、簽名和轉帳有什麼區別？
錢包裡常見的確認請求大致有三類。轉帳最好理解，就是把幣直接發出去。授權（Approve） 是一筆鏈上交易，需要支付 Gas，作用是允許某個合約在額度內動用你的某種代幣。離線簽名（如 Permit） 不上鍊、不花 Gas，看起來最無害，但拿到簽名的人可以自己把它提交上鍊，效果等同於授權。
所以“不花手續費”不等於“沒有風險”。Scam Sniffer 還提到，2025 年以太坊升級後出現了利用 EIP-7702 的新型惡意簽名，可以把整個錢包的控制邏輯交給攻擊者。新的簽名類型會不斷出現，最可靠的原則仍然是：不在陌生網站籤任何東西。
騙子常用哪些話術？
| 騙子會說 | 真實情況 |
|---|---|
| “恭喜獲得空投，點選領取” | 陌生代幣和“領取”連結是釣魚最常用的誘餌 |
| “簽名只是驗證身份，不花手續費” | 不花 Gas 的簽名同樣可能授予轉走代幣的權限 |
| “限時 Mint，名額有限，馬上開始” | 倒計時是為了讓你來不及看清簽名內容 |
| “授權無限額度更方便，下次不用再授權” | 無限授權意味著對方合約可以隨時轉走該代幣的全部餘額 |
| “錢包提示有風險是誤報，忽略即可” | 錢包的風險提示要認真對待，寧可錯過也不要硬籤 |
怎麼防範？
- 看不懂就不籤。 錢包彈窗裡出現 Approve、Permit、setApprovalForAll、increaseAllowance 等字樣時，先停下來想清楚：我為什麼要給這個網站這項權限？
- 只從官方渠道進入專案網站。 不點空投連結、私信連結和搜尋廣告，核對域名，詳見 釣魚網站識別。
- 不碰陌生代幣。 錢包裡莫名出現的代幣，不要嘗試出售、兌換或開啟它附帶的網址，隱藏即可。
- 授權額度設成實際需要的數量。 很多錢包允許你在授權時修改額度，不要預設“無限”。
- 分錢包管理。 大額資產放在一個不連線任何網站的錢包裡；日常互動、領空投用另一個只放少量資金的錢包。
- 定期檢查授權。 每隔一段時間，用 Revoke.cash 或 Etherscan 的代幣授權檢查頁檢視自己的授權，撤銷不認識的和不再使用的。
- 用好錢包的風險提示。 歐易 Web3 錢包等主流錢包會對可疑網站和簽名給出提醒，使用方法見 歐易 Web3 錢包教程。
已經被騙了怎麼辦？
- 立刻撤銷授權。 開啟 Revoke.cash 或 Etherscan 代幣授權檢查頁（其他鏈用對應的區塊瀏覽器），找到可疑的授權物件，點“Revoke”撤銷。撤銷需要少量 Gas。
- 轉移剩餘資產。 新建一個全新的錢包（新助記詞），把原錢包裡剩下的資產儘快轉過去。如果懷疑助記詞也洩露了，這一步比撤銷更緊急。
- 記錄資訊。 儲存釣魚網址、騙子合約地址、資產轉出的交易雜湊（TxID）。
- 報告資金去向。 如果被盜資產流入了幣安或歐易的充值地址，可以通過官方線上客服提交報告，並向當地警方報案。
- 檢查裝置。 如果曾下載過不明擴充功能或軟體，清理後再使用錢包。
鏈上授權的設計本身很難懂，籤錯一次並不說明你不夠聰明。把大額資產和日常互動分開，是讓一次失誤不至於傷筋動骨的最好辦法。不熟悉的術語可以查 術語表。
常見問題
什麼是代幣授權？為什麼會被盜？
代幣授權是你允許某個智能合約動用你錢包裡的某種代幣，正常的去中心化交易所也需要它。問題在於，如果你授權給了騙子的合約，對方就可以在任何時候把這些代幣轉走，不需要再經過你確認。
Permit 簽名釣魚是什麼？
Permit 是一種“離線簽名授權”，簽名本身不上鍊、不花 Gas，看起來像普通登入。但騙子拿到這個簽名後，可以自己提交上鍊，取得轉走你代幣的權限。Scam Sniffer 的 2025 年報告顯示，Permit 仍是釣魚簽名中最主要的類型。
怎麼檢視和撤銷錢包授權？
以太坊等 EVM 鏈可以開啟 Revoke.cash 或 Etherscan 的代幣授權檢查頁，輸入或連線你的錢包地址，檢視所有授權，對陌生或不再使用的點“Revoke”撤銷。撤銷需要支付少量 Gas，錢包裡要留一點原生幣。
撤銷授權後被盜的幣能回來嗎？
不能。撤銷只能阻止對方繼續轉走剩餘資產，已經轉出的代幣無法通過撤銷找回。所以發現異常時要第一時間撤銷授權，並把剩餘資產轉到一個全新的錢包。
交易所帳戶裡的幣會被授權釣魚盜走嗎？
授權釣魚針對的是你自己掌管私鑰的鏈上錢包。交易所帳戶不涉及鏈上授權，但釣魚網站可能騙走交易所帳號密碼，那是另一種風險。把幣從交易所提到錢包後，就要自己管理授權安全。
需要幫助？
先止損、再報案：凍結帳戶、儲存證據，然後聯絡交易所官方客服和所在地警方。各地官方報案渠道見 防騙中心 · 求助渠道，完整步驟見 被騙或被盜後怎麼辦。