怎么识别假钱包 App 与钓鱼
骗子盯上你的钱包，几乎从不靠"破解"。他们靠的是让你自己装一个假 App、自己走进一个假官网、自己把助记词交出去。换句话说，钓鱼攻的不是技术，是注意力。这篇把几种最常见的假钱包和钓鱼套路摆出来，目标只有一个：下次它出现在你面前时，你能在点下去之前停住手。
应用商店里的山寨钱包
很多人以为"在官方应用商店下载就一定安全"。大体上商店有审核，但山寨钱包仍然时不时混进去：图标和正版几乎一样，名字加个空格或换个相似字符，截图也照着扒。你一搜钱包名，可能跳出来好几个，真假混在一起。
装上假钱包的后果很直接：它要么在你创建钱包时把生成的助记词偷偷传走，要么在你导入已有钱包时直接收走你输入的助记词，要么把你的收款地址替换成骗子的。等你发现，币早没了。
怎么防：不要在商店里直接搜名字下载，而是先去钱包的官网（域名要核对清楚），从官网上提供的官方下载链接跳转过去。同时看一眼开发者名称对不对、评价和下载量是否异常（山寨货往往评价少、上架时间短）。从官网入口进商店，比在商店里凭名字赌运气可靠得多。
假官网与相似域名
假官网是钓鱼的老把戏，但一直有效，因为它真的很像。常见的几种花样：把字母换成形近字符、加个连字符、换个后缀。粗看一眼，和真站没差别。
你在假官网上下载的是带毒的 App，或者被引导连接钱包、签下恶意授权。防的办法是养成"核对完整域名"的习惯——不是看页面长得像不像，而是逐字看地址栏。重要站点用书签固定，下次直接从书签进，不靠每次手输或搜索。地址、域名这种逐字核对的功夫，可以用我们的地址校验辅助养成对照的习惯。关于钓鱼与安全的通用原则，以太坊官方的安全页（ethereum.org/zh/security）也反复强调"核对你访问的网址"这一条，值得一看。
搜索广告位陷阱
这一类特别坑，因为它利用了你对"排第一"的信任。你搜某个钱包或交易所的名字，结果最上面那条带着"广告"标记的，可能是骗子买的位置，链接指向假官网。很多人习惯点第一条，正好中招。
私信你"验证助记词"
这是所有钓鱼里最该一眼识破的，因为它触碰了那条绝对红线：助记词。任何让你"输入助记词验证身份""把助记词发过来帮你解锁""到某网站同步钱包"的，无一例外是骗局。
原理上你要记死一句话：助记词是私钥的明文备份（它遵循 BIP39 这套公开标准，一串单词就能还原出你的私钥），谁拿到它谁就能掏空你的钱包，而真正的官方永远不需要、也永远不会向你索要助记词。钱包出问题不需要助记词来"验证"，客服解决不了的事更不会靠你交出助记词来解决。所以判断极其简单——开口要助记词的，就是骗子，不用再分析它的话术多专业。
假客服、假工作人员
假客服通常这样出现：你在社群里发了句求助，立刻有人私信你"我是官方客服，帮你处理"；或者你压根没求助，对方主动来"提醒你账户有风险，需要验证"。营造的都是"有人在帮你"的错觉，接着一步步把你引向交助记词、或连上假网站签授权。
防的核心认知是：自托管钱包没有能替你动钱的客服。正规项目的官方支持不会主动私信你，不会要你的助记词，也不会让你去某个链接"验证"。遇到主动私信的"工作人员",默认当骗子。真有问题，自己从官网的官方支持入口去找，别接陌生人递过来的手。怕自己一时上头被话术带走，可以做一遍防钓鱼测验，看看自己在哪种情境下容易松懈。
剪贴板劫持
这个套路不靠骗你点什么，靠一个潜伏的木马。它监视你的剪贴板，发现你复制了一串加密货币地址，就在你粘贴的瞬间，把地址悄悄换成骗子的——格式很像、头尾可能还故意凑得接近，你不细看根本发现不了。结果你以为转给了自己，其实转给了别人，而链上转账不可逆。
防它的办法很具体：粘贴地址后，逐字核对头尾几位（最好中间也扫一眼），确认无误再发送。以太坊系地址自带大小写校验和（EIP-55），钱包能借此识别一部分被改动的地址，但它防不住被替换成另一个"合法但是骗子的"地址——所以人工核对头尾这步不能省。大额转账先小额试一笔，确认到账无误再转剩下的。设备本身也要干净，别乱装来路不明的软件。地址这种又长又难记的东西，核对时可以借助地址校验对照，养成不"想当然"的习惯。
防钓鱼要记住的几条规矩
套路千变万化，但守住下面这几条，绝大多数钓鱼都奈何不了你：
- 助记词、私钥永不外泄、永不联网、永不发给任何人——开口要的就是骗子。
- 下载钱包从官网入口进，逐字核对域名，常用站加书签。
- 不点搜索广告位、不点别人私信/社群里塞来的链接。
- 主动私信你的"客服/工作人员"，默认当骗子。
- 转账粘贴地址后核对头尾，大额先小额试。
- 遇到"限时、紧急、错过就没"的话术，更要停下来——制造紧迫感是钓鱼的标配。
这些规矩看着朴素，但每一条都对应着真实发生过的损失。钓鱼防的不是技术对抗，是把"随手一点"换成"停一下、核一下"的习惯。万一真的中招、资产被划走了，第一时间该做什么、还能不能补救，看钱包被盗了怎么办；想把防钓鱼放进自托管的整体防线里理解，去读自托管完全指南。授权类的钓鱼有它专门的机制，单独看代币授权的风险与撤销。