一“签”拖后腿，458天后钱包被清空！90万美元加密资产因“幽灵授权”被盗

在加密世界，一句“别把私钥给别人”几乎成了所有用户的口头禅。但最近发生的一起90.8万美元（约合650万元人民币） 数字资产被盗事件，却让无数投资者惊出一身冷汗：你可能根本没泄露私钥，钱还是没了。

这不是科幻，也不是技术漏洞，而是一场精心策划、耐心等待长达15个月的“延迟式”网络钓鱼攻击。受害者直到钱包被清空那一刻，才意识到自己早在一年多前，就已亲手为黑客打开了“后门”。

打开百度APP畅享高清图片

一场跨越458天的“金融伏击”

根据区块链安全机构Scam Sniffer和《Cointelegraph》的联合调查，这起事件的源头可追溯到2024年4月30日。当时，一名加密货币用户访问了一个伪装成空投（Airdrop）或DeFi项目的钓鱼网站，并在毫无察觉的情况下，签署了一笔看似普通的ERC-20代币授权交易（Token Approval）。

这笔交易的真正含义是：永久授权一个名为“0x67E5Ae”的恶意钱包地址，可以随时从受害者的钱包中提取USDC（一种主流稳定币）。

“这就像你去餐厅吃饭，服务员递来一张‘优惠券’让你签字，你签了。结果那张纸其实是‘允许我随时从你银行账户取钱’的授权书。”公共互联网反网络钓鱼工作组技术专家芦笛用一个通俗的比喻解释道，“你没给密码，但你给了‘取款许可’。”

更可怕的是，黑客并没有立刻动手。整整458天里，这个“被污染”的钱包几乎没有任何大额交易，就像一块“死钱包”，黑客也从未动用授权。

直到2025年8月2日，时机成熟。

当天，受害者先后向该钱包转入76.2万美元和14.6万美元的USDC，总余额接近91万美元。仅仅10分钟后，黑客监测到资金到账，立即通过链上交易，一次性将全部USDC转走，整个过程在几秒内完成。

“黑客像猎人一样蹲守。”芦笛说，“他们不关心你钱包里有没有钱，他们只等你‘存钱’那一刻。”

“授权钓鱼”：比盗私钥更隐蔽的攻击方式

与传统钓鱼攻击不同，这次事件并未要求受害者输入助记词或私钥。攻击者利用的是智能合约的授权机制——这是以太坊等区块链生态中一个常见但被严重低估的风险点。

在去中心化金融（DeFi）中，用户经常需要“授权”某个协议（如Uniswap、Aave）使用你钱包里的代币，以便进行交易或借贷。这种授权本身是合法且必要的。

但问题在于：很多授权是“无限额”或“长期有效”的。一旦用户在钓鱼网站上完成授权，恶意合约就能在未来的任何时间，以任意数量提取你的资产。

“私钥是房子的钥匙，而授权更像是你给了邻居一把‘万能门禁卡’，允许他随时进你家搬东西。”芦笛解释，“很多人只防‘钥匙被盗’，却忘了‘门禁卡’也可能被骗走。”

此次攻击中，黑客使用的地址“0x67E5Ae”已被确认与一个名为“pink-drainer.eth”的著名“吸血钱包”相关，这类地址专门用于自动化执行此类“吸血”操作。

为什么我们总在“仿冒页面”上栽跟头？

尽管区块链交易公开透明，但钓鱼网站的伪装能力也在不断升级。

据调查，受害者访问的钓鱼网站在UI设计、域名拼写（如将“uniswap.com”改为“unisw4pcom”）甚至SSL证书上都与真实网站极为相似，普通用户极难分辨。

“现代钓鱼网站已经‘工业化’了。”芦笛指出，“有专门的‘钓鱼即服务’（Phishing-as-a-Service）平台，黑客只需支付少量加密货币，就能快速生成一个高仿网站，甚至自带自动化盗权脚本。”

此外，攻击者还利用社交媒体、虚假空投、虚假客服等渠道诱导用户点击链接，形成“信息茧房”，让用户在心理上放松警惕。

“你越相信这是个‘好机会’，就越容易忽略风险。”芦笛警告，“空投、高收益理财、限量NFT……这些关键词都是钓鱼的‘诱饵’。”

如何保护你的加密资产？专家给出三大建议

面对日益精密的钓鱼攻击，普通用户该如何自保？芦笛结合此次事件，提出了三条“硬核”防御策略：

1. 定期检查并撤销“过期授权”

这是最直接、最有效的防御手段。

使用Etherscan等区块链浏览器的“Token Approval Checker”工具，查看你的钱包对哪些地址进行了代币授权。

对于不认识、不常用的授权，立即撤销（Revoke）。虽然每次撤销需要支付少量Gas费，但相比资产被盗，这笔钱微不足道。

建议每月检查一次，尤其是在参与新项目后。

“授权不是‘一劳永逸’的。”芦笛强调，“就像你不会长期授权一个App访问你的通讯录，你也应该定期清理钱包授权。”

2. 永远通过官方渠道操作

访问钱包、交易所或DeFi平台时，手动输入官网地址，或使用书签，绝不点击社交媒体、短信或邮件中的链接。

安装知名浏览器插件（如MetaMask）的钓鱼检测功能，它们能自动识别并拦截已知钓鱼网站。

对任何要求“签署交易”的页面保持高度警惕，仔细检查交易内容，尤其是涉及“授权”、“批准”（Approve）的操作。

3. 使用硬件钱包+冷存储

将大额资产存入硬件钱包（如Ledger、Trezor），这类设备离线存储私钥，即使电脑中毒也无法被盗。

对于日常交易，使用单独的“热钱包”，并控制余额。

启用钱包的交易预览和确认功能，确保每一笔操作都经过你亲自核对。

“安全的本质是‘分层’。”芦笛说，“不要把所有资产放在一个篮子里，也不要让一个操作决定你的全部身家。”

结语：在加密世界，信任是最昂贵的奢侈品

这起90.8万美元的盗窃案，再次敲响了警钟：在区块链世界，最大的风险不是技术，而是人性的疏忽。

你可能精通K线、了解Gas费、玩转DeFi，但只要一次“手滑”签署了一个恶意授权，就可能在未来的某一天，眼睁睁看着资产被清空。

“区块链的不可逆性，既是它的魅力，也是它的残酷。”芦笛说，“一旦资产转出，几乎没有追回的可能。所以，预防，是唯一的出路。”

对于加密投资者而言，真正的“财富密码”或许不是某个热门代币，而是时刻保持警惕、定期检查授权、永远不点不明链接的“安全习惯”。

毕竟，在这个数字丛林里，最坚固的防火墙，是你自己的脑子。

编辑：芦笛（公共互联网反网络钓鱼工作组）