如何避免常见的 NFT 诈骗和钓鱼链接？ （安全检查表）

识别假冒市场域名

1. 合法的 NFT 平台使用经过验证的、一致的域名——诈骗者经常注册相似的 URL，但拼写略有不同或交换了字符。

2. 连接钱包前务必仔细检查地址栏；一个拼写错误就可以将用户引导至恶意克隆。

3. 为官方网站添加书签，而不是依赖搜索引擎结果或社交媒体链接，这些内容经常被劫持以进行假冒活动。

4. 将鼠标悬停在 Discord 或 Twitter DM 中的超链接上以预览目的地 - 恶意链接通常通过隐藏网络钓鱼端点的 URL 缩短程序进行重定向。

5. 验证SSL证书和挂锁图标；缺席或浏览器警告表示不安全或欺骗的环境。

验证钱包连接请求

1. 切勿批准来自未经请求的弹出窗口、电子邮件横幅或第三方广告的钱包连接提示，即使它们模仿熟悉的界面。

2. 在浏览器扩展中检查 dApp 的来源；不匹配的来源表示注入的脚本或受损的前端。

3. 当查看或列出仅需要只读或有限交易批准时，拒绝任何要求完全钱包访问的请求。

4、使用硬件钱包进行签名；具有自动签名功能的软件钱包增加了未经授权批准的风险。

5. 在确认之前，通过 Etherscan 或 Solscan 在链上查看交易详细信息——异常的 Gas 费用或未知的合约调用需要立即取消。

发现假冒社区频道

1. 诈骗者创建虚假的 Discord 服务器或 Telegram 群组来反映真实的项目品牌，通常通过付费推文或垃圾评论进行推广。

2. 交叉引用服务器邀请链接与项目官方网站上发布的链接或经过验证的 Twitter 简介——切勿信任随机回复中共享的链接。

3. 查找丢失的验证徽章、不一致的审核或类似机器人的活动突然激增（例如重复的赠品消息）。

4、官方团队很少先DM用户；任何承诺免费 NFT 或紧急钱包恢复的私人消息几乎肯定是欺诈性的。

5. 检查成员计数历史记录和加入日期分布 - 新创建的服务器有数千个最近加入，通常表明有协调的诈骗操作。

识别欺诈性空投陷阱

1. 真正的空投从来不需要发送 ETH、SOL 或代币来接收资产——任何“汽油费”或“激活押金”需求都是恶意的。

2. 合法项目同时通过多个可信渠道宣布空投，而不仅仅是通过 DM 或未经验证的影响者。

3. 托管在非 HTTPS 域上或缺乏区块链浏览器上的智能合约验证的空投领取页面应被视为敌对。

4. 虚假空投通常要求用户连接钱包，然后触发隐藏交易，将现有 NFT 的所有权转移到攻击者控制的地址。

5. 如果空投需要安装未知的浏览器扩展或授予屏幕共享权限，则违反了基本的安全卫生。

常见问题解答

问：我可以恢复发送到网络钓鱼钱包的资金吗？一旦在链上确认，恢复几乎是不可能的；区块链交易在设计上是不可逆转的。

问：Discord 版主总是值得信赖吗？不会——骗子经常贿赂或妥协低级版主以获得验证角色并分发虚假链接。

问：MetaMask 的内置网络钓鱼检测器是否可以捕获所有恶意站点？不，它依赖于社区报告的域，无法检测新注册的或零日网络钓鱼基础设施。

问：为什么有些骗局使用真实的 NFT 预览？它们嵌入静态图像或缓存的元数据来模拟合法性，而底层合约则指向伪造或空的代币标准。