币安联合创始人 CZ 公开警示钓鱼风险
TREE NEWS 报道， 币安联合创始人赵长鹏（CZ）公开发文，提醒用户警惕仿冒 Trust Wallet 的钓鱼网站，并强调务必区分 .cam 与 .com 域名。该警示援引安全研究人员 Anurag 的调查，指出一个恶意站点以“审查转账”为由诱导用户连接加密钱包，进而实施盗刷。
攻击手法解析
据披露，该钓鱼脚本可同时针对 Trust Wallet、Phantom 和 OKX 钱包等多个主流钱包。用户一旦连接，恶意代码便会扫描钱包余额，并准备向一个固定的攻击者地址发起转账。值得注意的是，交易签名功能在发现时处于禁用状态，这暗示运营者可能正在搭建基础设施，为后续大规模盗刷做准备。
- 诱饵：伪造“转账审查”提示，诱导连接钱包
- 目标：Trust Wallet、Phantom、OKX 钱包用户
- 机制：扫描余额并预置盗刷地址
- 危险信号：以 .cam 域名冒充正规 .com
钱包盗刷为何屡禁不止
钓鱼与钱包盗刷一直是加密生态中造成损失最严重的攻击类型之一，在年度安全事件报告中常与跨链桥漏洞、私钥泄露并列。对攻击者而言，这类攻击经济性极佳：一个以假乱真的域名加上几条社交工程帖子，收益往往远超搭建成本。由于被盗资金通常通过自托管钱包流转，而非中心化交易所，一旦用户授权签名，资金几乎无法追回。
CZ 等头部人物亲自转发此类警示，反映出行业日益认识到用户教育是关键的防线。中心化交易所与钱包服务商正加大投入，建设钓鱼域名数据库、域名相似度提醒以及交易模拟功能，在签名前标记可疑授权。
对钱包厂商与用户的启示
单一脚本同时针对多个钱包，凸显出“通用型”盗刷工具正成为趋势，以最大化覆盖面。对钱包厂商而言，这提高了交易模拟体验的门槛——必须向用户清晰展示签名将授权的内容——同时也要求其主动监控仿冒域名。对用户而言，核实网址、收藏官方站点、并将任何未经请求的“转账审查”提示视为可疑，仍是必备习惯。
前瞻
随着加密采用度提升，钓鱼基础设施很可能变得更加自动化，并借助 AI 生成大规模且极具说服力的诱饵。相应的防御也必须同样自动化：跨钱包共享的实时域名黑名单、浏览器层面的风险提示，以及在资金到账前标记新型盗刷地址的链上监控。CZ 的警示是一次及时的提醒，但更长远的解法，在于让交易签名过程足够透明，使欺骗难以得逞。
