假錢包

簡明定義

假錢包（Fake Wallet）是指冒充真實加密貨幣錢包的 App、網站、瀏覽器外掛或客服工具。它通常誘導使用者輸入助記詞、私鑰、密碼，或簽署高風險的鏈上授權，進而竊取使用者資產。

在加密貨幣市場中，錢包本身並不「存放」幣，而是管理私鑰並與區塊鏈互動。一旦助記詞或私鑰外洩，攻擊者通常可以控制對應地址中的資產，且鏈上轉帳在多數情況下不可撤銷。

假錢包如何運作

假錢包常見的核心目標，是取得使用者對資產的控制權，方式包括：

常見出現管道

假錢包不一定只出現在不知名網站，也可能透過看似正常的管道散布。新手交易者尤其需要留意以下情境：

• 搜尋引擎廣告或排名靠前的仿冒網站。
• 社群媒體、群組聊天、私訊中發送的「官方錢包下載連結」。
• 第三方 APK、非官方瀏覽器外掛商店或壓縮檔安裝程式。
• 冒充空投、質押、挖礦、套利平台的錢包連接頁面。
• 「客服」要求提供助記詞、螢幕共享或遠端控制裝置。

簡潔範例

假設某使用者在社群媒體看到「領取新代幣空投」的連結。頁面要求連接錢包，並提示「為驗證資格，請輸入 12 個助記詞」。這就是高風險訊號：合法錢包或專案通常不需要使用者在網頁中輸入助記詞。若使用者提交助記詞，攻擊者可能立即匯入該錢包並轉走資產。

另一個常見例子是山寨錢包 App。它的名稱和圖示與知名錢包相似，但下載來源不是官方網站或官方應用商店頁面。使用者匯入錢包後，資產很快被轉出。這類事件通常難以透過區塊鏈交易本身追回。

辨識假錢包的關鍵訊號

• 要求將助記詞、私鑰或 keystore 檔案輸入網頁表單。
• 聲稱「必須入金才能提領」「先繳稅費／保證金才能解鎖餘額」。
• 下載連結來自陌生私訊、群組檔案或短網址。
• 網域名稱與真實專案只差一個字母、連字號或後綴。
• 頁面承諾固定高收益、無風險套利或內部通道。
• 錢包連接後要求簽署看不懂的授權，尤其是無限額度授權。
• 所謂客服拒絕透過官方管道核驗身分。

新手可採取的基本防範措施

1. 只從官方管道下載：優先透過專案官網、官方文件或應用商店的官方開發者頁面取得錢包。
2. 不要向任何人透露助記詞或私鑰：包括客服、群組管理員、空投頁面和所謂安全驗證工具。
3. 核對網域與應用程式發布者：不要只看圖示和名稱，應留意拼字、憑證、開發者資訊和歷史評價。
4. 謹慎簽署授權：連接錢包不等於轉帳，但簽署授權可能讓合約動用你的代幣。看不懂的交易不要確認。
5. 小額測試不能取代安全驗證：小額成功轉帳不代表平台或錢包可信，假平台也可能先讓小額提領成功，以降低警覺。
6. 使用硬體錢包或分層錢包管理：長期持有資產、日常互動、空投測試可使用不同地址，降低單點外洩風險。
7. 定期檢查並撤銷不必要授權：對曾經連接過的 DeFi、NFT 或空投頁面，應定期查看授權狀態。

如果懷疑已經使用假錢包

• 立即停止繼續入金或簽署交易。
• 如果助記詞或私鑰可能已外洩，應盡快把仍可控制的資產轉移到全新的錢包地址；新錢包應使用新的助記詞。
• 對已授權的代幣，盡快透過可信工具或官方錢包功能撤銷授權。
• 保存證據，例如網址、交易雜湊、聊天紀錄、App 下載來源和收款地址。
• 向相關交易所、錢包官方支援、區塊鏈瀏覽器檢舉入口或當地執法／監管機構提交資訊。

需要注意：鏈上交易通常不可逆，任何聲稱「保證追回資產」的個人或機構都應謹慎看待，二次詐騙並不少見。

與真實錢包的區別

相關術語

• 助記詞：用於恢復錢包的一組單字，等同於資產控制權的核心憑證之一。
• 私鑰：控制區塊鏈地址資產的關鍵資料，外洩後資產可能被轉走。
• 釣魚網站：偽裝成真實平台的網站，用於騙取登入資訊、私鑰或授權。
• 惡意授權：誘導使用者簽署允許合約轉移代幣的鏈上權限。
• 殺豬盤：透過情感或社交關係建立信任，再誘導受害者進入虛假投資或交易平台。

參考資料

• https://consumer.ftc.gov/articles/what-know-about-cryptocurrency-and-scams
• https://www.finra.org/investors/insights/cryptocurrency-scams
• https://www.cftc.gov/LearnAndProtect/AdvisoriesAndArticles/fraudadv_digitalasset.html
• https://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-frauds-and-scams/cryptocurrency-investment-fraud
• https://ethereum.org/en/wallets/