盗币工具（Drainer）是一套恶意基础设施，专门利用钱包签名、授权或欺骗性交易盗取资产。它可能针对代币、NFT 或链上原生资产，并在受害者连接虚假网站后优先盗走价值最高的项目。
核心原理#
恶意合约只是整个系统的一部分。钓鱼页面、推广广告、被盗账号和现成签名工具包会把受害者引向它；链下 Permit 许可还可能让攻击者在日后再采取行动。
面对加密货币盗币合约时，眼前的界面只能展示整个系统的一部分。不要因为看到了熟悉的名称或标识就认为操作可信，应先确认涉及的主体、资产、网络和权限。
分步处理流程#
- 拒绝意外出现的授权、许可和操作员权限。 应在资产或签名权限发生转移前完成这项检查，并在操作后验证实际状态。
- 检查被授权方合约以及解码后的实际效果。 继续之前，将准确的域名、地址、网络或权限与独立的官方来源逐项比对。
- 如果秘密信息可能已经泄露，把未受影响的资产转移到全新钱包。 先把救援边界写下来，避免紧迫感悄悄扩大钱包或账户允许暴露的内容。
- 通过可信界面撤销其余权限。 应在更多资产或签名权限发生转移前完成操作，并在链上验证实际状态。
- 举报域名、相关地址和交易。 保存并提交可验证的信息，同时确认举报渠道真实可靠。
需要警惕的失误模式#
- 认为仅仅连接网站就能解释所有损失。 这会从盗币合约判断中删除一项必要输入，使表面结果变得不可靠；还应检查签名、授权和密钥是否泄露。
- 为了“验证所有权”而签署无法阅读的数据。 品牌界面可以复制，因此必须通过独立核验的官方渠道重新打开请求。
- 没有救援方案就继续用已失陷的钱包发送转移交易。 这会削弱本应限制盗币合约影响范围的安全控制，也可能让攻击者抢先转走资产。
- 向声称可以撤销交易的“恢复工具”付款。 这会削弱本应限制盗币合约影响范围的安全控制，并可能造成二次损失。
何时应停止或改变方案#
疑似接触盗币工具后，首先判断泄露的是助记词或私钥，还是只授予了某项权限。密钥泄露必须迁移钱包；如果风险仅限于某项代币额度，则可能通过撤销授权处理。
如何证明处理已经完成#
处理盗币合约风险时，不要只看界面是否显示“成功”。应使用即使页面关闭后仍可核验的证据。
| 检查点 | 证据 | 停止条件 |
|---|---|---|
| 拒绝意外出现的授权、许可和操作员权限 | 与官方文档一致的准确网址或合约地址 | 认为仅仅连接网站就能解释所有损失 |
| 检查被授权方合约以及解码后的实际效果 | 与官方文档一致的准确网址或合约地址 | 为“验证所有权”签署无法阅读的数据 |
| 如果秘密信息可能泄露，把未受影响的资产转移到全新钱包 | 已隐去秘密信息、带日期的控制检查、恢复测试或设置记录 | 没有救援方案就使用已失陷的钱包发送交易 |
如果交易哈希、官方工单号或带日期的截图有助于记录盗币合约事件，应妥善保存；但绝不要在证据中包含助记词、私钥或验证码。
常见问题#
盗币工具可以在没有新签名的情况下盗走资产吗？
可以。它可能利用现有授权或已泄露的密钥；但仅仅与新网站建立连接，通常不会授权资产转移。
断开网站连接就能阻止它吗？
不能。断开连接只会移除本地会话，不会撤销链上授权，也无法让已泄露的密钥失效。
硬件钱包能阻止盗币工具吗？
硬件钱包可以防止私钥被直接提取，但仍会签署你主动批准的恶意请求，因此必须在设备屏幕上核验内容。
相关指南#
资料来源#
风险提示： 加密货币操作可能无法撤销。切勿透露助记词、私钥、密码或验证码，并独立核验每个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
