釣魚攻擊全解：從假空投到錢包授權，加密用戶該怎麼防

釣魚攻擊到底在騙什麼

釣魚（Phishing）這個字來自 fishing－撒網、等魚咬鉤。 攻擊者不靠技術漏洞攻破系統，靠的是冒充你信任的對象，讓你自己把東西交出去：登入密碼、銀行卡號、私鑰、助記詞。

這件事在網路安全領域已經存在了幾十年，但工具在變。 AI 寫作工具能大量產生語調自然、稱呼準確的郵件，AI 語音複製能在電話中模仿你的上司或家人。 過去我們靠「文法錯誤、措詞彆扭」來判斷可疑郵件，現在這段經驗越來越不靈了。

加密用戶面對的風險更特殊。 鏈上交易不可逆，一旦轉出去就回不來。 所以釣魚在加密圈的目標很集中：助記詞、私鑰、錢包授權。

釣魚郵件通常長什麼樣子

最常見的投遞管道還是郵件。 一封釣魚郵件可能假裝來自你的銀行、某家交易所或某個知名品牌，裡面帶一個指向假網站的鏈接，或者一個打開就裝惡意軟體的附件。

幾個值得停下來看一眼的訊號：

**網址和寄件地址不對勁。 ** 點前先看完整 URL。 釣魚站常用細微拼字差異，例如把名字多寫一個字母，或是換一個不常見的網域後綴。 滑鼠懸停在連結上可以預覽真實目標位址。 另外，一封自稱代表大公司的郵件，寄件者卻是 Gmail、Yahoo 這類公共信箱，本身就值得懷疑。

**製造緊迫感和恐懼。 ** 「你的帳戶已被入侵」「付款失敗」「不立即處理將被處罰」－這類話術是故意的，目的是讓你來不及細想。 正規機構很少透過郵件連結要求你立刻行動。

**索取敏感資訊。 ** 正規服務不會透過郵件、簡訊或聊天問你要密碼、助記詞、私鑰或完整的銀行卡號。 只要出現這種要求，無論對方看起來多官方，都按可疑處理。

加密場景裡的釣魚有什麼不一樣

普通釣魚騙的是帳號，加密釣魚騙的是資產，而且得手後往往無法追回。

錢包盜幣程式（Wallet Drainer） 是破壞力比較大的一類。 你被誘導把一個錢包連接到惡意網站，或者簽了一筆授權交易，惡意智能合約隨後把代幣轉走，有時候幾秒鐘內就把餘額清空。 這裡的關鍵點在於：連結錢包和簽章授權，本身就是攻擊面。

冒充客服也很常見。 有人自稱交易所客服，讓你提交助記詞來「驗證身分」。 沒有任何正規平台會要你的助記詞。 只要有人開口要，這個請求百分之百是欺詐，沒有例外。

假空投和假贈品則利用社群平台傳播。 攻擊者在 X、Discord、Telegram 上冒充知名人物，宣傳不存在的空投或投資機會，常見做法是盜用已認證帳號，或建造一個頭像名字幾乎一樣的仿冒號。 這類手法經常和空投騙局重疊——用假的代幣發放公告，誘導你簽下錢包授權。

在 DeFi 協議裡操作頻繁、或做 P2P 交易的用戶，錢包互動次數多，暴露面自然也更大。

釣魚的花樣不只郵件一種

魚叉式釣魚（Spear Phishing） 針對特定個人或組織。 攻擊者事先做功課，用同事姓名、近期交易、職位頭銜這些細節讓消息顯得可信。 成本較高，但成功率通常也較高。

捕鯨（Whaling） 是魚叉式釣魚的高價值版本，目標是高階主管、政府官員或資金雄厚的人。 這些人能接觸敏感系統或大額資金，一旦得手後果更重。

克隆釣魚（Clone Phishing） 是把一封真實發過的郵件複製一份，做成幾乎一樣的版本，只把裡面的鏈接或附件換成惡意的。 因為格式眼熟，收件人容易忽略差異。

簡訊釣魚（Smishing）和語音釣魚（Vishing） 分別用簡訊和電話投遞。 語音釣魚裡，攻擊者會冒充銀行代表、技術支持，甚至用 AI 克隆聲音冒充家人。 隨著語音合成技術門檻降低，這兩種方式越來越常見。

二維碼釣魚（Quishing） 用惡意二維碼把人引到釣魚網站。 這些碼可能貼在現實環境中——海報、停車計時器、餐廳菜單——也可能嵌在郵件和文件中。 二維碼對人眼是不透明的，很多人掃之前根本不知道會跳到哪裡。

網域嫁接（Pharming） 不需要你點任何惡意連結。 攻擊者污染 DNS 記錄，把你從正確網址重新導向到偽造網站。 因為網址是你自己輸的，這類攻擊更難察覺，也比一般釣魚更危險。

域名搶注（Typosquatting） 是註冊和正規網站高度相似的域名，靠拼字錯誤、字元替換或不同頂級域名實現。 你手滑打錯一個字母，可能就落在一個外觀一模一樣的假站上。

水坑攻擊（Watering Hole） 先找出目標族群常造訪的網站，往裡面注入惡意腳本。 目標下次造訪這個被感染的網站時，腳本運行，可能靜默安裝惡意軟體或竊取憑證。

釣魚和網域嫁接的區別

有人把網域嫁接歸為釣魚的一種，但兩者的運作方式不同。 釣魚需要受害者犯錯：點了一個假鏈接，或者在仿冒站上輸入了憑據。 網域嫁接只需要受害者存取一個看起來正常的網址，因為 DNS 記錄本身已經被竄改。

這個差異有實際意義：網域嫁接在個人層面更難防，你能做的核驗動作更少。

日常怎麼降低中招機率

最可靠的一條：不要點意外訊息裡的連結。 需要登入時，直接在瀏覽器網址列輸入官方網址，或用自己儲存的書籤。

帳號層面，給所有重要帳號開啟雙重驗證（2FA）。 這樣即使密碼洩露，還有第二道門。 能用驗證器 App 就別用簡訊驗證碼－簡訊碼可能透過 SIM 卡劫持被攔截。

企業面可以考慮部署 DKIM（DomainKeys Identified Mail）和 DMARC（Domain-based Message Authentication, Reporting, and Conformance）這類郵件認證標準，用來驗證來信是否真的來自它所聲稱的網域名稱。

個人層面，把知道的手法講給家人朋友聽，本身就是一種防護。 企業定期做安全培訓，能明顯降低員工上鉤的機率。

沒有哪一種措施是百分之百有效的。 技術工具加上持續的安全意識，才是把風險壓下來的組合。

萬一已經中招了怎麼辦

先改密碼，從最重要的帳號開始改。 還沒開 2FA 的帳戶，現在補上。

如果你把加密錢包連接到了可疑網站，去撤銷之前授予的授權。 這一步很多人會忘，但授權不撤銷，風險就一直掛著。

然後向被冒充的平台舉報，也向所在國家或地區的網路安全機構報告。

關於手續費和返佣，讀者該自己檢查什麼

釣魚話題經常夾帶另一類損失：你以為自己在正常交易，實際成本結構和你理解的不一樣。 這部分只能定性提醒，具體數字請以平台官方頁面為準。

需要自己確認的包括：現貨和合約的掛單方（maker）與吃單方（taker）費率分別是多少、VIP 等級按什麼口徑劃分、BNB 抵扣是否適用於你所在的帳戶類型、以及返佣或推薦獎勵的結算規則和到賬方式。 這些條款會調整，第三方教程裡的數字往往落後。

更重要的是，任何聲稱能給你「內部費率」「特殊返佣通道」的私聊，都應按釣魚處理。 正規的成本優惠在帳戶後台就能查到，不需要透過陌生人走流程。

常見問題

**釣魚是什麼？ ** 一種網路攻擊手法，犯罪者冒充可信任機構或個人，誘騙你交出密碼、付款資訊或加密助記詞。 它是最常見的網路詐欺形式之一。

**最常見的釣魚類型有哪些？ ** 郵件釣魚、魚叉式釣魚（定向攻擊）、簡訊釣魚、語音釣魚、克隆釣魚。 在加密領域，錢包盜幣程式和假贈品騙局尤其普遍。

**怎麼辨識釣魚郵件？ ** 可疑或拼錯的寄件地址、緊急索取個人資訊或密碼、意外的連結或附件、製造恐懼或緊迫感的內容。 點之前把滑鼠懸停在連結上預覽 URL，並對意外請求透過官方管道另行核實。

**懷疑自己已經被釣了該怎麼辦？ ** 立即改密碼，從最重要的帳戶開始。 給還沒有 2FA 的帳號開啟 2FA。 如果連接過可疑網站，撤銷已授予的授權。 向被冒充的平台和所在國家或地區的網路安全機構舉報。

**釣魚能偷走加密貨幣嗎？ ** 能。 加密釣魚可以套取助記詞、私鑰或錢包授權，由於鏈上交易不可撤銷，資金損失是永久性的。 常見手法包括假交易所登入頁、錢包盜幣智能合約，以及冒充客服索取助記詞驗證。

參考：幣安學院《What Is Phishing? Types, Examples, and How to Stay Safe》 https://academy.binance.com/en/articles/what-is-phishing

本文為一般性資訊整理，不構成投資建議，也不代表幣安官方立場。 數位資產價格波動較大，請自行判斷並承擔相應風險。