买 NFT 之前最常被忽略的动作，是花十分钟核验你要交互的东西到底是不是真的。绝大多数链上资产损失不是市场波动造成的，而是把真钱交给了假合约、假域名或假签名。下面这套清单按交易流程排列，每一步都对应一类真实高发的骗局。
第一类是假合集与仿冒项目。链上任何人都能部署一个ERC-721合约并起一个相似的名字，头部合集几乎都有名字只差一两个字符的克隆体。核验的唯一硬依据是合约地址：从项目官方渠道（官网页脚、经过验证的官方社交账号简介，而不是搜索结果广告位）拿到合约地址，再和你要交互的页面上显示的地址逐字符比对，注意首尾段一致不代表中间一致。在区块浏览器上查这个地址：是否验证过源码、创建时间与项目公告是否吻合、代币总量是否与宣传一致。合约名字、合集图标、市场页样式都可以照抄，地址抄不了。
第二类是钓鱼网站与假 mint 页。攻击者会购买搜索广告、注册形似域名、在社群里投放”提前 mint”链接，页面克隆得和官网一模一样。防范办法是把官方域名做成手动书签并只从书签进站；对任何”限时免费 mint 白名单”保持警觉，因为白名单 mint 的正当流程通常走官网入口而不是第三方短链。一个实用的进阶核验是在钱包里使用交易模拟功能，看这笔交互实际调用的目标合约地址和函数名——假 mint 页显示的按钮写着 Mint，实际调用的可能是 setApprovalForAll，一旦签名整包 NFT 会被授权转走。凡是 mint 请求里出现授权类字样的，正常项目几乎不会有，直接停手。
第三类是空投与粉尘诱导。你的地址如果被挂上公开的 NFT 交易记录，就可能收到来路不明的空投 NFT，图看起来像某大牌联名，点开领取页要求你”验证钱包”，走的正是签名钓鱼流程。此前多起大型合集被盗事件中，受害者的起点都是处置一个陌生空投。正确姿势：陌生 NFT 不点开、不处置；空投信息一律以项目官方公告为准，公告里没有的不领。粉尘的另一层恶意在于心理暗示——名字越诱人（Airdrop、Free Mint、Claim）越要提高警惕，这类名字本身就是社工话术。
第四类是社群与客服诈骗。被盗的官方账号会发布”补偿领取”链接，假冒客服在私信里引导你去假页面，仿冒的 Discord 验证机器人索要助记词。原则只有一条：任何正规项目、平台、审计机构都不会索要助记词或私钥，也不会让你”把钱转到安全地址暂存”——安全地址这个说法本身就是骗局。涉及转账与签名时，把对方引导的渠道换成你手里已验证的官方渠道反向确认一遍，被盗账号发不出正确的线下验证信息。
第五类是数据与交易层面的误导。链上看成交记录要警惕自成交：同一控制人的两个地址互相倒手，制造放量与涨价假象；市场页面展示的”地板价”可能包含无人能成交的异常挂单。判断真实活跃度，可以核对成交地址集中度、同一时间段的换手频率，以及对不同市场的成交做交叉比对。这些核验不能保证赚钱，但能让你避开”数据看起来很好”编织出来的假象。
最后把清单浓缩成五个问句：合约地址与官方公告一致吗？这个域名是你手动存过的吗？这次签名是在 mint 还是在授权？这个空投在官方公告里吗？成交数据有没有左手倒右手？五个问题都过一遍再签名，能过滤掉绝大多数已知的 NFT 骗局路径。链上世界的防御没有捷径，但每一个问题背后都有真实案例，把它们变成肌肉记忆，比事后去查任何”被盗怎么办”的文章都便宜。
风险提示：本文仅提供安全防范建议，不构成投资建议。骗局手法持续演化，请保持独立核验；资产一旦因签名或授权泄露被盗，多数情况下无法追回。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。