钓鱼网站与 dApp：连接钱包如何导致被盗

钓鱼网站长什么样

• 知名 DeFi 服务、交易所或钱包的仿冒品，地址只差一个字母或域名后缀。
• 写着“领取奖励”“检查钱包 AML”“解冻被冻结的 USDT”的页面。
• 链接通过私信、评论、广告或山寨的“官方”频道发来。
• 倒计时、“仅剩 3 个名额”“仅限今天”——让你来不及思考。

你实际签的是什么

钱包会弹出确认窗口。注意函数名：

• approve / increaseAllowance——你允许别人的地址花费你的代币，常常是无限额度，见无限授权。
• transfer / transferFrom——立即转账。核对收款方和金额。
• 账户权限变更（AccountPermissionUpdate）——你交出了钱包的控制权。一律拒绝，见多签陷阱。
• 消息签名——可能安全，但并非总是，见通过消息签名钓鱼。

如果已经签了

1. 打开 GuardPay /revoke 并粘贴你的地址。你会看到谁可以花费你的 USDT——直接读取自合约。
2. 在你的钱包里撤销可疑授权：每个一次签名。
3. 如果账户权限已被更改，钱包已不再属于你：把还能转的都转到新地址。
4. 如果钱已经被转走，从被骗后怎么办的步骤开始。

能保护你的习惯

• 从书签打开服务，不要点链接。
• 准备一个只放少量资金的独立钱包，专门用来连接网站。
• 每月在 /revoke 检查一次授权，撤销不再需要的。