钱包盗币器是一种恶意脚本,通常藏在假冒的铸造页、空投页或客服页背后,它掏空加密钱包的方式不是窃取助记词,而是让钱包主人亲手签下一份授权。它的套路始终一样:用紧迫感把你钓过来,让你连接钱包以便扫描余额,然后抛出一个伪装成领取或验证的签名请求 —— 通常是无限额度的 ERC-20 授权、一条链下的 Permit 或 Permit2 消息,或者针对整个 NFT 收藏集的 setApprovalForAll。你的私钥始终没有离开设备,你交出去的是支配权,攻击者可以在几小时甚至几天后再来兑现。因此全部防线都落在签名这一步:逐字核对域名,认真读钱包实际显示的内容,拒绝无限额度的花费金额、setApprovalForAll 请求,以及你无法识别的 spender 地址。WATS 完全非托管 —— 密钥由你持有,WATS 从不持有任何一把 —— 所以在它支持的八条链上,没有你亲自批准的请求,任何资产都无法离开 WATS 钱包 —— 而那一刻,正是你该放慢速度、先读后签的时候。
钱包盗币器究竟是什么(以及它不是什么)
钱包盗币器(wallet drainer)是一种恶意脚本,通常嵌在网站里,诱骗你授权交易或签名,从而把资产拱手交给攻击者。关键在于它不是什么:它不是区块链被黑,不是钱包软件的漏洞,而且在大多数情况下它根本接触不到你的助记词。盗币器完全通过钱包的正常签名流程运作 —— 它只是让你批准了一个你并没有看懂的请求。
如今大多数盗币器以现成套件的形式出售,运营钓鱼网站的人不需要任何技术能力。套件会检测你持有哪条链、哪些代币,挑出最有价值的目标,并生成量身定制的请求。这也是盗币器与地址投毒之类骗术的区别:后者操纵的是你复制的内容,而不是你签署的内容。
盗币攻击的完整流程:诱饵、连接、签名
几乎所有盗币攻击都遵循同样的三步。第一步是诱饵:限量铸造、空投领取、假冒的客服页面 —— 任何制造紧迫感的东西都行。第二步,网站要求你连接钱包。仅仅连接并不会转移资金,但会暴露你的地址,让盗币器扫描你的余额并选定攻击方案。第三步是签名:网站发出一个或多个伪装成领取、验证或铸造的请求。一旦你批准了错误的那一个,盗币器要么直接转走资产,要么获得可以日后随时动用的长期权限。
盗币器最想要的几类签名
盗币器很少直接索要普通转账,因为向陌生地址转账看起来太可疑。它们瞄准的是权限。一笔无限额度的 ERC-20 授权,可以让攻击者的合约无限期地从你的地址花费某个代币。Permit 或 Permit2 签名能达到同样的效果,却只是一条链下消息:受害者不用付任何 gas,攻击者可以之后悄悄兑现。而 setApprovalForAll 只需一次点击,就把整个 NFT 收藏集的控制权交了出去。这些机制在正当场景下如何运作、又为什么存在,可参阅我们的代币授权与 Permit 详解。在 Solana 上,对应的伎俩是代币 delegate 授权,甚至是把账户所有权变更打包进一笔看似无害的交易。
常见的投放渠道
盗币器本身只是一个载荷,真正的功夫在于把你引到那个页面。截至 2026 年,最常见的途径包括:克隆真实项目品牌的假冒铸造和空投网站、被盗的项目方或创始人社交账号发布“惊喜领取”链接、把仿冒域名排在真站之上的投毒搜索广告,以及在 Discord 或 X 回复区里、等你发帖求助后发来“验证”链接的假冒客服。它们有一个共同点:链接主动找上门,并且给你一个必须赶紧行动的理由。
为什么一次错误签名就能掏空钱包,而无需你的助记词
人们通常以为只要助记词保密,资金就是安全的。授权机制打破了这个假设。当你签署一笔授权或一条 Permit 消息时,你的私钥从未离开设备 —— 但你把特定资产的支配权委托给了某个合约地址。如果该地址属于攻击者,他们就可以在任何时间、任何地点转走已授权的代币,不需要你再做任何操作。这也是为什么盗币可能发生在访问网站的几小时甚至几天之后:攻击者会在对自己最有利的时机兑现存下来的权限。
连接或签名之前要核查的危险信号
几个习惯就能挡住大多数盗币器。逐字核对域名 —— 仿冒域名是钓鱼站点的行业标配。任何附带截止时间、不请自来的链接,在证明无害之前都应视为敌意。批准之前,认真阅读钱包实际显示的内容:无限额度的花费金额、setApprovalForAll 请求、或一个你无法识别的 spender 地址,都是拒绝的充分理由。对要求你签署无法读懂的原始十六进制数据的请求要格外警惕。如果你的钱包提供交易模拟或人类可读的预览,每次都用上 —— 一个“需要”代币授权的领取页面,索要的是领取根本不需要的东西。
如果签了恶意内容该怎么办
请默认这份权限一定会被使用 —— 并让你签署的内容决定处置顺序。如果签的是尚未被兑现的链下 Permit 或 Permit2 消息,链上此时并没有可撤销的授权额度,提前把代币授权清零也保护不了你:攻击者之后兑现消息时,会直接写入一笔新的授权额度覆盖它(Permit2 的撤销同样发生在 Permit2 合约上,而不是代币合约上)。对于已签署但未被兑现的 Permit,可靠的第一步是把涉及的资产转移到一个用全新私钥生成的新钱包。对于链上授权和 setApprovalForAll,撤销是有效的:使用信誉良好的撤销工具或钱包自带的授权管理器,把恶意 spender 对每一个受影响代币和收藏集的额度归零,然后把高价值资产转移走。如果你只是签了权限,你的助记词仍然是保密的,清理干净后旧钱包还能继续用 —— 但如果你曾经把助记词输入过任何网站,那个钱包就已永久沦陷,所有资产必须立即转移。
WATS 在其中的位置
WATS Hot Wallet 的设计正是围绕本文贯穿始终的同一条原则:签名就是安全边界。WATS 完全非托管 —— 密钥由你自己持有,WATS 从不持有任何密钥 —— 因此没有你亲自批准的请求,任何资产都不会离开你的钱包,也不存在任何第三方能代你联合签署,或者事后撤回一笔已经生效的授权。一个 WATS 钱包即可覆盖 Ethereum、Arbitrum、Optimism、Base、Polygon、BNB Chain、Solana 和 TON,所以“先读请求、再决定批准”的习惯在这八条链上完全一致,不必换一个应用就换一套做法。
手续费机制也和大多数钱包不同,而这一点在这里之所以重要,原因其实很朴素。网络手续费可以只用一种代币 ATS 支付,而不必备齐每条链的原生 gas 代币 —— 在 EVM 链上通过 ERC-4337 账户抽象实现,跨链流转则依靠 LayerZero OFT,收取的 ATS 会从 1 亿总供应量中销毁,朝着 3,000 万的下限推进。这不是打折:它改变的是由哪种代币支付手续费,而不是费用本身。日常层面真正的变化是,你不必在一条不熟悉的链上操作到一半时手忙脚乱地去补充原生 gas 代币 —— 而这种手忙脚乱,恰恰就是盗币器所要利用的仓促状态。
有两个局限需要直说,因为一篇讲安全的文章不该夸大其词:WATS 没有内置自己的授权撤销工具,所以对于你已经授出的权限,请使用信誉良好的第三方撤销工具。另外,WATS NFC Metal Card 不存储任何私钥 —— 它通过触碰认证来解锁存放在 WATS 应用内的密钥 —— 因此它保护的是设备访问权,而不能替你挡下一笔你自己选择批准的签名。
结语
钱包盗币器并没有攻破密码学。它借走了你的同意,然后在日后花掉。本文所有的防御手段最终都归结为一个习惯:在签名之前弄清楚自己在签什么,并把无限授权、setApprovalForAll 和读不懂的十六进制数据当作停止信号,而不是走个过场。具体的一步,是把密钥放在一个你会审慎签名的地方:从下载页面安装 WATS,离线抄下它生成的助记词并且永远不要输入到任何网站,然后认真阅读 WATS 在 Ethereum、Arbitrum、Optimism、Base、Polygon、BNB Chain、Solana 和 TON 上向你展示的每一个授权请求。钱究竟是保住还是丢掉,真正的分水岭就在那个弹窗上。
常见问题
钱包盗币器能在没有助记词的情况下偷走我的加密资产吗?
能。盗币器靠的是签名,而不是窃取助记词。如果你为一个攻击者控制的地址签署了代币授权、Permit 消息或 setApprovalForAll,即使私钥从未离开你的设备,你也已经把转移这些资产的权限委托了出去。
把钱包连接到网站本身危险吗?
仅仅连接并不能转移资金,它只会共享你的地址并让网站看到你的余额。危险从签名那一步才开始。不过,盗币网站会利用连接来扫描你的持仓并炮制量身定制的恶意请求,所以只连接你已核实过的网站。
如果我签署了恶意授权,第一步该做什么?
取决于你签了什么。如果是尚未被兑现的链下 Permit 或 Permit2 消息,先把涉及的资产转移到一个全新生成的钱包:此时链上还没有可撤销的授权额度,提前清零也会在攻击者兑现消息时被覆盖。如果是链上授权和 setApprovalForAll,用信誉良好的撤销工具把恶意 spender 的额度归零。如果你曾在任何网站上输入过助记词,请彻底弃用那个钱包。
使用 WATS 这样的非托管钱包能保护我免受钱包盗币器侵害吗?
WATS 完全非托管:密钥由你持有,WATS 从不持有任何一把,而且没有你在 WATS 手机应用、Chrome 扩展或 Hot Wallet 中亲自批准的签名,任何资产都无法离开你的钱包。这既是它的保护,也是它诚实的局限 —— 因为盗币器的整套手法就是让你自己去批准某样东西,而任何钱包都无法撤销你主动授出的权限。WATS 用一个钱包覆盖 Ethereum、Arbitrum、Optimism、Base、Polygon、BNB Chain、Solana 和 TON,所以每条链上都适用同一条规则:读清楚请求,拒绝无限授权、setApprovalForAll 以及你无法识别的 spender 地址。对于已经授出的权限,请使用信誉良好的第三方撤销工具;WATS 本身不提供撤销器。