您的收件匣正成為 Web3 資產的安全破口

初級更新時間 2026年7月31日

在 Web3 世界中，大多數人已經對「授權」和「助記詞」保持警惕。但您可能沒有意識到，最危險的攻擊往往並非來自鏈上合約漏洞，而是來自您每天都會開啟的地方：電子郵件收件匣。

本文剖析 Web3 領域最常見的釣魚郵件手法，並結合真實案例，幫助您在點擊前識破陷阱。

與傳統金融不同，Web3 建立在「去中心化」和「自托管」之上——這意味著：一旦您的私鑰或助記詞洩露，攻擊者便可透過通常無法撤銷、難以凍結或恢復的交易轉移您的資產。釣魚郵件的目標就是讓您「自願」交出該密鑰。

此外，電子郵件在「合法性偽裝」方面具有優勢：它們可以模仿官方版式、複製品牌標誌，甚至偽造發件人名稱。在許多情況下，受害者並非粗心大意，而是在「驗證」看似必要時放鬆了警惕。

2020 年，Ledger 遭遇客戶郵件資料庫洩露事件。在隨後的幾個月裡，大量用戶收到假冒 Ledger 官方團隊的郵件，內容大致如下：

您的資產面臨風險，請立即點擊此處更新 Ledger Live 以確保安全。

這些郵件中的連結將用戶導向一個幾乎與真實頁面無異的偽造 Ledger Live 頁面。一些用戶在該頁面上輸入了他們的由 24 個單字組成的助記詞——幾秒鐘內，他們的錢包就被完全清空了。

安全提醒：任何要求您輸入助記詞的郵件或網頁都是100%的詐騙。Ledger 永遠不會要求您輸入助記詞，也不存在任何需要您這樣做的「緊急更新」。

這些郵件在版式、標誌和配色方案上幾乎與官方郵件完全相同。內容通常為：

我們檢測到來自 [some location] 的異常登入 / 正在處理大額提款。若非您本人操作，請立即點擊此處進行驗證並取消。

這些郵件中的連結指向以下網域：

點擊後，用戶會被導向一個與官方交易所登入頁面完全相同的偽造登入頁面，在該頁面輸入其帳戶憑證和 2FA 驗證碼。攻擊者即時轉發這些資訊，登入真實的交易所並完成資產轉帳。

安全提醒：切勿在郵件中點擊連結來登入、驗證帳戶或取消提現。請改為開啟官方應用程式或手動輸入官方網站地址。所有帳戶操作都必須在官方網站或應用程式內進行。

電子郵件聲稱用戶有資格參與一個熱門項目的空投，並附有「立即申領」按鈕。點擊後會導向一個偽造的 DApp 頁面，要求進行「錢包連接」。

連接後，頁面會要求用戶簽署一項看似常規的交易。

然而，此簽名的實際內容可能是：

一旦簽署，攻擊者可隨時從錢包轉帳資產，無需進一步用戶確認。

安全提醒：空投申領無需授予未知合約權限。任何要求「簽名」的空投頁面，應先使用模擬工具（如 Tenderly）分析簽名內容。

這些郵件有明確的目標對象：項目團隊成員、KOL 或持有大量資產的 DeFi 用戶。內容通常如下：

我們是一家知名投資機構，對您的項目感興趣。請查閱附件中的合作提案。

附件可能是一個包含宏病毒的 Word 文件，或指向假冒會議軟體下載頁面的連結。一旦執行，惡意軟體會嵌入裝置中，搜尋本地儲存的私鑰檔案、助記詞的截圖，或記錄鍵盤輸入。

Web3 中多起高價值竊盜事件均源於此類社交工程釣魚郵件。

安全提醒：請勿下載未經請求的合作郵件中的附件或點擊連結。如需驗證，請透過項目的官方渠道（Twitter、Discord）單獨聯繫對方。

在點擊任何連結或下載任何郵件附件前，請完成以下檢查：

檢查點	安全指標	危險信號
發件人網域	實際寄件者網域與官方網域完全一致（例如 @kucoin.com）	類似網域（@kucoin-verify.com）、嵌入品牌名稱的子網域（support.kucoin.security.com）
郵件語氣	冷靜、專業，不製造恐慌	立即行動，您的帳戶將被凍結，請在 24 小時內回覆
所要求的資訊	僅提供資訊，不要求提供任何敏感資料	要求提供助記詞、私鑰、登入密碼或二次驗證碼
實際連結網址	目標網域為 kucoin.com 或以 .kucoin.com 結尾的官方子網域	連結指向非官方網域，或使用網址縮短服務（例如 bit.ly）隱藏真實路徑
附件與按鈕	無意外附件或下載提示；任何預期檔案均經獨立驗證	可疑的擴充名稱如 .docm、.exe、.scr 或「立即驗證」按鈕