授权钓鱼：骗子如何通过签名盗取钱包资产
授权钓鱼诈骗会诱骗钱包用户签署授权协议，从而使诈骗者能够转移代币。在批准任何请求之前，请务必了解需要检查的内容。
作者： Damon Salvatore · Senior Content Marketer 授权钓鱼是Web3安全领域最重要的风险之一，因为这种骗局可以伪装成正常的钱包提示。攻击者并非窃取密码，而是诱骗用户授予权限。
该权限可能允许恶意合约转移代币或NFT。在某些情况下，钱包余额不会立即被清空，这会让用户误以为一切正常，直到攻击者稍后利用该授权。
良好的审批审核从四个方面开始：资产、支出人、预算以及您打算执行的确切操作。
快速解答：什么是授权钓鱼？
授权钓鱼是一种诈骗手段，攻击者诱骗用户签署代币授权、许可或授权请求，从而使恶意用户能够从钱包中转移资产。用户可能以为自己是在进行认领、验证或连接操作，但实际上，该签名赋予了攻击者真正的资产转移权限。
MetaMask 代币审批说明将代币审批定义为 DApp 访问钱包中特定代币类型的权限。
MetaMask恶意授权指南和MetaMask授权撤销指南有助于理解为什么在发现风险权限时应迅速撤销该权限。
要点总结
- 代币批准是一种真正的权限，而不仅仅是登录步骤。
- 如果获批的支出者心怀恶意，无限制的审批反而会加剧损失。
- 即使签名并不代表立即发生转账，它也可能存在危险。
- 在 DeFi 交易结束后或收到可疑提示后，撤销未使用的授权。
- 使用存储钱包进行存储，使用单独的交互钱包进行高风险 DApp 的存储。
审批型网络钓鱼如何掏空你的钱包
如果您允许攻击者的合约转移资产，那么攻击者不需要您的助记词。
钓鱼页面可能会要求连接钱包，然后显示标有“领取”、“验证”、“铸造”、“质押”、“保护”或“迁移”等字样的提示。该请求可能隐藏着允许支出者转移代币的授权。
传统转账方式会立即转移资产。而审批流程则不同：它授予用户一项权限，该权限可在稍后使用。这种延迟使得审批网络钓鱼更容易造成混淆，因为用户可能不会立即察觉到损失。
许可式签名和批量交易可能会使提示信息难以辨认。更稳妥的做法是拒绝不明确的权限，并通过可信来源验证合约。
| 信号 | 更安全的应对措施 |
|---|---|
| 无限代币批准 | 除非 DApp 值得信赖且使用场景需要，否则应避免使用。 |
| 未知消费人地址 | 在官方文件核实合同内容之前，请勿接受。 |
| 签名内容含糊不清 | 拒绝该请求并进行调查后再尝试重试。 |
| 出乎意料的NFT批准 | 假定其可以转移收藏资产，除非有相反的证据。 |
| 支持链接后会出现提示 | 关闭此功能；支持功能不应需要广泛的钱包权限。 |
签署前如何审核审批文件
询问该许可允许什么内容，谁可以获得该许可，以及许可金额是否有限制。
在批准之前，请确定代币、支出合约、授权额度以及您要执行的操作。如果提示信息没有清楚地解释这些字段，请停止操作。
对于高价值钱包，应完全避免常规的 DeFi 授权。使用交互量较小的钱包，尽可能限制授权额度，并在会话结束后撤销未使用的授权。
请勿将钱包连接与代币批准混淆。连接钱包允许网站查看公共地址信息。批准代币则可以授予合约转移资产的权限。
批准网络钓鱼防范清单
- 签署前请确认待批准的代币或NFT。
- 检查消费方合约，并尽可能与官方 DApp 文档进行比较。
- 对于余额较大的钱包，应避免无限次审批。
- 拒绝与您尝试执行的操作不符的模糊签名。
- 使用较小的交互钱包进行 DeFi、铸币和实验性 DApp 交易。
- 在出现高风险会话或可疑提示后，审查并撤销之前的批准。
收到可疑的批准后该怎么办
如果在资产转移之前获得批准，请使用可信的批准管理路径（例如Revoke.cash或钱包原生批准工具）撤销或减少权限。
如果资产已被转移，请保存交易哈希、已批准的支出者地址、恶意 URL 和屏幕截图。如果清仓机器人似乎正在立即耗尽钱包中的 gas，请不要再向钱包充值。
如果您的助记词或私钥已被输入到任何地方，仅仅撤销授权是不够的。请将剩余资产转移到使用全新设置创建的新钱包中。
UKey 的适用范围
UKey 增加了一个签署限制；它并非对所有审批都予以批准。
UKey Core 26 可以更有效地防止用户跳过审批流程，因为签名是在专用设备上进行的。用户仍然需要理解所授予的权限。
对于 UKey 存储钱包，应避免将日常 DApp 审批操作与长期持有的资产关联起来。硬件钱包只有在与钱包隔离和审批流程配合使用时才能发挥最大效用。
有关连接密钥保护、恢复、交易审查、批准和网络钓鱼防御的更广泛的防御框架，请参阅如何保护加密资产。
相关资源
继续阅读这些 UKey 指南，将此威胁模型与更安全的钱包设置、审批和自托管习惯联系起来。
本文仅供教育用途，不构成财务、法律、税务、网络安全事件响应或投资建议。威胁、钱包界面和支持的安全功能可能会发生变化。在签署交易或转移资金之前，请务必核实官方来源和最新的钱包说明。
