虚假加密网站可能复制真实交易所、钱包或代币领取页面，却使用外观相似的域名。登录、下载软件、连接钱包或签署任何内容前，应通过独立的官方来源核对完整域名。浏览器显示小锁图标，并不能证明网站真实可信。
先判断虚假页面想从你这里获得什么#
不同加密钓鱼页面有不同目的。有些会收集交易所登录凭据和一次性验证码；有些以“同步钱包”为借口索要助记词；Web3 盗币页面则可能允许你正常连接钱包，随后弹出能够授权资产转移的批准或签名请求。
页面做得是否精美，并不是可靠证据。攻击者可以复制标志、文字、设计系统，甚至整篇帮助中心文章。真正需要核验的是域名、软件发布者、交易载荷，以及你通过什么路径到达该页面。
从右向左读取主机名#
在 support.example.com 中，可注册域名是 example.com，“support”只是子域名。而在 example.com.security-check.net 中，真正控制网站的域名是 security-check.net，不是 example.com。
应特别留意：
- 拼写错误、替换字符和额外添加的单词；
- 陌生的国家和地区代码域名或通用后缀；
- 品牌名称出现在无关网站的子域名中；
- 隐藏真实目标地址的短链接；
- 排在真实搜索结果上方的搜索广告；
- 外观接近拉丁字母的国际化字符。
HTTPS 只表示你与地址栏所示域名之间的连接经过加密。诈骗者也能为自己的假域名申请有效 TLS 证书。证书警告必须重视，但没有警告并不等于网站获得了官方认可。
通过独立路径核验官方网站#
不要使用发送链接的同一条消息中的信息来验证该链接。应打开之前保存的书签、手动输入已经核验过的地址、使用官方移动应用，或从多个成熟的项目渠道交叉确认域名。
如果收到所谓交易所安全提醒，应单独打开交易所，在账户内部查看通知。美国联邦调查局（FBI）建议，收到紧急的交易所来电或消息时，应先结束沟通，再通过官方电话或网站主动联系公司，而不是点击发送方提供的链接。
网站索要本不该提供的秘密时立即停止#
正常的去中心化应用不需要你的助记词或原始私钥。这些秘密用于恢复或控制钱包，不是连接凭据。
其他高风险提示包括：
- 以“客服协助”为由要求安装远程桌面软件；
- 要求关闭杀毒软件或忽略浏览器警告；
- 从网盘或文件分享服务下载没有签名的钱包更新；
- 连续输入多组 MFA 验证码；
- 为“保护账户”而发送所谓验证转账；
- 以避免账户暂停为由，要求立即签署无法阅读的消息。
制造紧迫感本身就是攻击的一部分。正规的安全流程不会因为你花时间进行独立核验而失效。
将钱包请求与网站外观分开检查#
真实域名也可能遭到入侵，虚假界面同样可以发送技术上有效的交易。签名前应阅读钱包提示，确认区块链、合约、资产、金额和权限。
拒绝意料之外的 Approve、Permit、SetApprovalForAll、所有权变更或范围过大的签名请求。连接陌生网站时使用低余额交互钱包。如果目的只是查看余额，应优先使用不需要连接钱包的区块浏览器。
访问疑似钓鱼页面后应该怎么办#
仅加载网页通常不会自动转移资产，但下载文件、提交凭据、签名和授权会形成不同程度的风险。
- 关闭页面，不要再次通过可疑链接进入。
- 如果输入过账户凭据，应先保护恢复邮箱，再从官方网站修改密码并撤销登录会话。
- 如果输入过 MFA 验证码，应将会话视为可能已失陷，并联系官方客服。
- 如果钱包签署过授权，应检查并撤销对应额度。
- 如果输入过助记词，应使用新助记词创建钱包并转移剩余资产。
- 保存 URL、消息记录、交易哈希和接收地址，以便报案或举报。
常见问题#
HTTPS 是否代表加密网站安全？
不是。HTTPS 只保护数据传输到地址栏所示域名的过程，不能证明该域名属于真实公司。
仅连接钱包会不会导致资产被盗？
连接通常只会暴露公开地址。发生损失一般还需要签名、授权、密钥泄露或钱包、软件漏洞。不过，如果网站可疑，仍应断开连接并检查权限。
搜索结果第一名一定是官网吗？
不一定。广告、操纵排名和复制的摘要都可能让虚假页面排在显眼位置。必须独立核验主机名。
是否应该使用域名年龄查询工具？
域名年龄可以作为一项参考，但旧域名也可能被入侵，新项目也可能使用刚注册的合法域名。不要让域名年龄取代直接核验和交易检查。
资料来源#
风险提示：域名检查可以降低风险，但不能证明网站、前端或智能合约一定安全。应同时核验进入路径和请求的权限。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
