NFT 诈骗通常如何运作？

网络钓鱼和虚假市场冒充

1. 诈骗者使用几乎相同的徽标、配色方案和导航布局创建反映 OpenSea 或 Blur 等合法 NFT 市场的网站。

2.这些假冒平台展示热门系列和虚假底价，以引诱用户连接钱包。

3. 一旦连接钱包，恶意脚本就会触发未经授权的批准，从而使攻击者能够完全访问该钱包中持有的所有 NFT。

4. 受害者通常只有在 Etherscan 上看到意外交易或注意到钱包界面中资产丢失后才注意到被盗。

5. 被盗的 NFT 立即在多个二级市场上市并出售，收益通过混合服务转移以掩盖追踪。

Rug 引入基于 NFT 的游戏生态系统

1. 一个项目推出了一款 NFT 游戏，承诺提供边玩边赚钱的机制，并得到精美预告片、影响者认可和超过 50,000 名成员的 Discord 社区的支持。

2. 早期采用者使用 ETH 或平台原生代币购买字符 NFT 或地块，相信长期效用和价值增值。

3. 开发者逐渐禁用核心功能——例如质押奖励、代币桥接或市场列表——同时继续推广新的铸币活动。

4. 原生代币 Uniswap 池中的流动性被耗尽，导致其价格在最终公告后 72 小时内暴跌超过 95%。

5. 创始人从社交渠道消失，与项目相关的域名过期且未续订。

通过 DM 和社区渠道进行社会工程

1. 攻击者监控公共 Twitter/X 个人资料和 Discord 服务器，以识别最近获得高价值 NFT 的活跃收藏家。

2. 他们冒充已知平台的支持代理发送直接消息，理由是“可疑活动”或“需要验证钱包”。

3. 这些消息中嵌入的链接会指向托管页面，请求对看似良性交易的签名请求，实际上授予无限的 ERC-20 或 ERC-721 批准。

4. 一些变体使用语音呼叫模拟，模仿客户服务语气，同时引导受害者完成 MetaMask 确认步骤。

5. 然后，受感染的帐户被用来向受害者的联系人列表发送相同的诈骗链接，从而加快传播速度。

伪造铸币和元数据操纵

1. 攻击者部署一个智能合约，复制已建立集合（例如 Bored Ape Yacht Club）的代币标准和元数据结构。

2. 链下元数据托管在 IPFS 等去中心化存储上，但指向已更改的图像文件 - 稍微修改过的头像，并更换了配件或调色板。

3. 这些赝品在具有相似系列名称的聚合器上列出，依靠视觉相似性和低廉的列出费用与正品一起出现。

4. 买家扫描二维码或在第三方工具上点击“验证收藏”可能会因合约地址验证逻辑不完整而出现误报。

5. 一旦购买，NFT 就会在大多数钱包界面中正确显示，从而掩盖了官方出处或版税执行机制的缺失。

常见问题解答

Q1：硬件钱包可以防止NFT诈骗吗？硬件钱包可以保护私钥，但不能阻止基于签名的批准漏洞。用户必须在设备上验证每项交易详细信息，而不仅仅是盲目批准提示。

Q2：市场上经过验证的藏品是否能保证安全？验证仅确认合约地址与官方地址相符。它不评估潜在的代码风险、经济可持续性或团队可信度。

Q3：为什么诈骗者更喜欢以太坊而不是其他链进行 NFT 欺诈？以太坊在 NFT 数量上的主导地位、成熟的工具生态系统以及广泛的钱包兼容性降低了执行攻击和货币化攻击的阻力。

问题 4：NFT 版税是否可以针对诈骗者强制执行？版税执行依赖于市场合规性和合同级逻辑。在不受监管或分叉市场上运作的诈骗者完全绕过版税机制。