对方发来「换新收款地址」：换址诈骗的剧本结构、渗透路径与回拨确认纪律

对普通散户，地址替换靠剪贴板和假页面；对做生意的人，同一类攻击要体面得多：一封来自老客户邮箱的邮件，语气和签名档和三个月前一模一样，只是这次账单上的收款地址换成了新的，附一句旧地址即将停用，请今天内完成付款。它不威胁你，不催你冒险，只是顺理成章——这正是它能长期得手的原因。

剧本的三幕结构

第一幕是潜伏：攻击者先拿下通信渠道本身，最常见的是邮箱被盗，也可能是手机号或工作软件账号被顺手接管，此后几个月他只做一件事——读往来记录，摸清你们的合作节奏、金额区间和称呼习惯。第二幕是择时：动手日通常是某笔付款即将自然到期之前，或者你方流程最松的那天（放假前、负责人出差时）；邮件挑在旧对话里回复，主题前面带着长长的前缀，正文只有几行，重点全在那串新地址。第三幕是闭环：电话那条线同时被打点过——若你习惯性回拨确认，接电话的可能就是同一伙人用变声或抄好的话术应答。三幕打完，链上那笔转账没有任何撤回键。

两种渗透路径，一个共同特征

路径一是被动渗透：邮箱凭据泄露或木马接管，攻击者甚至设置了转发规则和收信规则，让你长期看不见对方的真实回信。路径二是主动侦察：从公开渠道拼出你们的付款周期，注册近似域名等着域名或邮箱服务商那头的失误。共同特征是攻击者赌的不是技术破口，而是你确认地址变更这个动作没有固定流程：有时回拨、有时不回、有时只在群里问一句。流程弹性就是攻击面。

纪律：把确认做成不可协商的动作

第一，任何收款地址变更，默认无效，必须通过一个未在本次通信中出现过的既有号码回拨本人确认；回拨前从自己的通讯录拨号，不点邮件里给的联系电话。第二，读码核对升级：大额转账把完整地址逐段读出比对，二维码场景先把二维码转成文本地址再核，不给截图换图留机会。第三，引入冷却与小步验证：团队场景给新地址设二十四小时冷静期与双人复核，个人大额场景先小额试转并核对到账，再走余款。第四，通信卫生：给关键邮箱开两步验证并定期复查转发规则与收信规则，这两处是换址剧本的地基；工作邮箱与私人邮箱分开，付款相关的沟通尽量留在可审计的渠道里。第五，把旧地址的停用通知当作红牌而不是黄牌——正规机构的收款信息调整有正式流程，很少以一封回信的形式出现；哪怕对方附上看似正式的通知函模板，也不改变先回拨的原则。

已经转了怎么办

立即同时做三件事：用原始渠道向对方本人求证并固定证据（邮件原文与邮件头、聊天记录、交易哈希）；若是交易所内转账，第一时间提工单说明争议地址；若涉及司法管辖区可报案的情形，按正规渠道提交材料。链上部分要有清醒预期：地址在对方手里时，追回靠的是平台与执法协作，而不是任何声称能技术追回的服务。换址剧本的全部技巧都压在确认流程的弹性上，所以你的解法也只有一条：让确认变成有固定渠道、固定话术、固定记录的动作，弹性归零，剧本就只剩下套失败这一种结局。

本文为安全知识科普，只提供防御与处置视角，不构成投资建议；提及金额与法律边界以当地法规与平台规则为准。