助記詞詐騙的受害者中，有很多是使用了一段時間加密資產的人，而非新手，為什麼有經驗的用戶也會中招？這個問題觸及了社交工程最本質的設計：它針對的不是知識的不足，而是判斷力在特定情境下的崩潰。幾個讓有經驗用戶也容易中招的情境。第一，緊急情境：你的帳戶顯示異常、你的資產顯示被凍結、或者你的交易一直沒有確認——在這種焦慮的情境下，你的判斷力會下降，更容易接受「幫助者」的引導。攻擊者往往主動製造這種緊急感。第二，累積信任：攻擊者可能在詐騙前已和你在群裡互動了幾周，建立了基本的信任。在你印象中已是「熟悉的臉孔」的情況下，你對其請求的警覺性會降低。第三，用戶界面的模仿精度：現代的釣魚網站和假客服界面的逼真程度遠超過去，若你沒有逐字確認 URL，視覺上幾乎無法區分。第四，注意力分散：在疲勞、情緒激動或多任務處理的情況下，人類的注意力容量顯著下降——這也是為什麼攻擊者偏好在市場大幅波動時（所有人的注意力都在盯著價格）發動攻擊。
釣魚攻擊中，「簽署惡意交易」和「輸入助記詞」有什麼不同，為什麼連接錢包本身是安全的？這個區分對防禦釣魚攻擊至關重要。連接錢包（Wallet Connect / Sign-in）：讓網站「看到」你的錢包地址——等同於告訴對方你的公開地址，不洩露任何秘密，本身是安全的操作（就像告訴別人你的帳號號碼）。「Approve」授權交易（ERC-20 Approval）：授權某個智能合約可以在未來動用你特定代幣的一定數量——這是敏感操作，若你不理解你在授權的對象和金額，可能授權了惡意合約無限量提取你的代幣。「簽署（Sign）」消息：有些操作要求你用私鑰對一個消息「簽署」——若簽署的是一個合約調用（Call data），這可能觸發資金轉移；若簽署的只是一個文字消息（用於身份驗證），通常不涉及資金。釣魚攻擊最常見的機制是：讓你連接錢包後（安全），立刻彈出一個看起來正常但實際上是「授權惡意合約無限額提取代幣」的 Approve 請求——若你習慣了「連接後直接確認彈出的請求」，你就是攻擊的目標。正確習慣：在確認任何錢包彈出的請求前，先閱讀它在授權什麼、授權對象的合約地址是否是已知的合約。
除了 SMS 雙重驗證不安全，Authenticator App 也有被盜的風險嗎，最安全的 2FA 方式是什麼？是的，Authenticator App 比 SMS 安全很多，但本身也有一定的風險。Authenticator App（如 Google Authenticator、Authy）的風險：若你的手機被惡意軟體感染或被物理取走，App 裡的 2FA 種子（TOTP Secret）可能被提取；若你在設置 Authenticator 時沒有備份恢復碼，手機遺失後 2FA 帳戶會無法恢復；Authy 支持雲端備份，方便但也意味著備份本身成為攻擊目標。硬體金鑰（Hardware Key，如 YubiKey）：目前最安全的 2FA 方式——硬體金鑰是一個物理設備（USB 或 NFC），驗證必須物理接觸設備才能完成，即使你的電腦被遠端控制，攻擊者也無法遠端使用你的硬體金鑰完成 2FA。支援 FIDO2/WebAuthn 標準的硬體金鑰讓釣魚攻擊也幾乎無效（因為驗證過程綁定了正確的網域名，假網站無法觸發正確的 YubiKey 響應）。建議：Authenticator App 是對大多數人的最低安全要求，適合中等價值帳戶；持有大量資產的用戶，強烈建議投資一個 YubiKey（約 50-100 美元）作為重要交易所和加密相關帳戶的 2FA。
若你已經在不知情的情況下洩露了助記詞或簽署了惡意交易，現在應該怎麼做？動作要快。助記詞一旦洩露，攻擊者可能隨時清空你的錢包——你有一個短暫的時間視窗，在攻擊者有機會行動之前把資產轉移走。若你輸入了助記詞：立刻用同一個助記詞在另一個設備上登入，把所有資產盡快轉移到一個全新的、攻擊者不知道助記詞的錢包地址。若你能在攻擊者的搶先交易（Front-Running）前完成，你的資產有可能得到保全。之後，這個助記詞對應的錢包應該永久廢棄。若你簽署了可疑的授權交易（Approve）：立刻去 Revoke.cash，連接你的錢包，找到並撤銷那筆可疑的授權——若授權尚未被攻擊者執行，撤銷可以防止損失。若攻擊者已執行，資金轉移通常已無法追回。若你點擊了釣魚連結但尚未簽署任何交易：關閉那個頁面，不要簽署任何彈出的請求，用 Revoke.cash 確認是否有未授權的授權，未來從書籤而非連結進入相關協議。加密市場的現實是：大多數情況下，一旦資金被轉移出你的控制，技術上已幾乎無法追回——最有價值的行動是在損失發生前的預防，而非損失發生後的追回。
大多數加密資產的盜竊，不是靠入侵你的電腦或破解你的密碼。最常見的攻擊路徑，是攻擊者操縱你自己做出了把資產拱手送出的動作——在不知情的情況下輸入助記詞、點擊了釣魚連結並簽署了惡意交易、或讓攻擊者劫持了你的手機號碼繞過了雙重驗證。這就是「社交工程（Social Engineering）」：不攻擊你的技術系統，而攻擊你的判斷、信任和注意力。
這是加密社群裡最常見的詐騙之一。你在某個 DeFi 協議的 Discord 或 Telegram 官方群裡留言說你遇到了問題，隨後有「客服人員」主動私訊你說「我是官方客服，我看到你有問題，我可以幫助你」。整個對話看起來非常專業，對方可能有帶有協議 logo 的頭像、顯示為「Admin」或「Support」的身份標籤——然後引導你到一個「解決問題的連結」，或者直接問你要你的助記詞或私鑰，說「他們需要驗證你的帳號」。鐵律：任何真正的協議客服，永遠不會主動私訊用戶，永遠不會要你提供助記詞或私鑰。助記詞是錢包的終極控制權，任何場合下把它輸入任何地方（除了在設置你的硬體錢包時的初始設置流程），都是絕對錯誤的行為。這種攻擊的技術含量很低——攻擊者甚至不需要入侵任何系統，只需要加入你所在的社群並假冒管理員。
釣魚攻擊（Phishing）是用一個幾乎和真實網站一模一樣的假網站，誘使你連接錢包並簽署惡意交易的攻擊方式。攻擊者的工具箱包括：域名混淆：註冊和正版網站幾乎相同、但有細微差別的域名（如 uninswap.io 代替 uniswap.io、0替換字母O等），你若不逐字核對 URL 很難發現；搜尋引擎廣告：在 Google 搜索「Uniswap」，排在第一的結果可能是付費廣告，而那個廣告的網址是釣魚網站；空投詐騙：「你的錢包被選中免費領取 1,000 USDC，點擊連結確認」——連結是釣魚網站，連接錢包後的簽名請求會批准一個無限量提取你代幣的惡意授權。防禦的最有效方式：把所有你常用的協議官方網站加入瀏覽器書籤，每次都從書籤進入，而非從搜尋引擎或 Twitter 的連結點進去。在連接錢包並簽署任何交易前，仔細閱讀你的錢包彈出窗口——若你看到「Approve unlimited spending」或任何你不理解的授權請求，直接拒絕。
SIM 卡劫持是一種高度針對性的攻擊，通常針對有大量資產的高價值目標。攻擊者通過幾個步驟接管你的手機號碼。首先，攻擊者通過社交媒體、數據洩露或付費購買的個人信息，掌握你的姓名、生日、部分身份證號等個人數據。然後，攻擊者打電話給你的電信運營商，假裝是你，說「我的手機遺失了，我需要把號碼轉移到新的 SIM 卡」，並用已掌握的個人信息通過客服的身份驗證。一旦號碼被轉移，你的手機失去訊號，攻擊者的手機開始接收你的所有短訊——包括你在交易所帳戶的 SMS 雙重驗證碼（2FA）。攻擊者接著用「忘記密碼」重置你的交易所帳戶密碼，接收驗證碼，登入帳戶並取走所有資金。唯一有效的防禦：永遠不要用 SMS（短訊）作為任何加密帳戶的雙重驗證方式，改用 Authenticator App（如 Google Authenticator、Authy）或硬體金鑰（YubiKey）。Authenticator App 的驗證碼是在你的設備本地生成的，不通過電信網路傳輸，SIM 卡劫持無法獲取。
一、助記詞只在硬體錢包初始化時輸入，其他任何場合任何地方都不輸入。二、所有常用 DeFi 網站加入書籤，從書籤進入，不從搜尋引擎或 Twitter 連結進入。三、把所有加密帳戶的 SMS 雙重驗證，換成 Authenticator App 或硬體金鑰。四、定期用 Revoke.cash 或 Etherscan 查詢並撤銷不再需要的代幣授權。五、對任何主動聯繫你的「客服」、「管理員」或「合作方」，預設懷疑——真實的協議不需要主動找你。
社交工程攻擊之所以難以防禦，不是因為它們技術上複雜，而是因為它們利用了人類最自然的心理反應：對幫助的信任、對錯失機會的焦慮、對複雜信息的注意力疲勞。在加密市場，資產的唯一保管者是你自己——不像銀行帳戶被盜可以掛失和申請賠付，一旦你的資產被社交工程詐騙轉走，沒有任何客服電話、沒有任何監管機構可以幫你追回。五個防禦原則不需要任何技術知識，只需要養成一個默認的習慣：在加密市場，任何要求你提供私鑰、助記詞或簽署你不理解的交易的請求，預設為詐騙，直到你用獨立管道驗證它確實是真實的。