钱包里突然多出一串代币，或者私信甩来「限时领空投」链接，第一反应常常是去点开看看。骗子要的正是这一步：把好奇变成连接钱包、签名或授权，有时还直接要助记词。
这篇笔记聚焦识别钓鱼入口和骗签套路，不讲如何撤销授权的逐步操作，也不核算空投划不划算。依据是 ethereum.org、MetaMask 和 Binance Academy 的公开安全说明。重点不在按钮叫什么，而在确认之后，对方能做什么。
假空投和钓鱼，目标通常是什么
ethereum.org 的安全页提醒，不要相信诱导转账的赠币骗局，更不能交出私钥。这不等于不存在合法空投。真正要分清的是，对方承诺送代币时，究竟要求拿走什么信息或权限。
Binance Academy 将空投骗局描述为用免费代币骗取资金或钱包控制权。合法空投不会索要助记词或私钥，任何领取页、客服都没有理由索取它们。要求填写这些信息的领取流程就是骗局，不存在先交出去再验证的必要。
MetaMask 提醒，被动收到陌生代币，本身不会授予对方转移现有资产的权限。危险常在后续：按描述前往陌生网站，再确认签名、授权或转账。钱包里出现一笔资产，不代表它有价值，更不能替附带链接作担保。
入口长什么样：域名、客服、领奖页
假域名是最常见的外壳。页面外观可以仿得几乎一样，差别藏在网址拼写、多余字符或奇怪后缀里。ethereum.org 提醒：尤其在点击社交平台链接之后，务必核对是否仍在正确域名；把常用官网收进书签、从书签进入，比临时搜索或点私信更稳妥。
假客服常出现在聊天软件。有人在公开频道提问后，会收到「官方支持」私信，要求远程操控电脑、索要助记词，或让你把币转到「安全地址」。ethereum.org 写明：工作人员不会通过非官方私聊渠道要你的私钥、助记词或密码，也不该允许陌生人远程接入电脑。
领奖页常把确认弹窗包装成普通手续。按钮写着「领取」，钱包实际请求的却可能是授权或转账。网页上怎么命名，不决定资产会怎么动，必须分清弹窗请求的具体内容。
连接、签名、授权和转账，不是一回事
连接钱包，通常让网站获知地址并建立交互入口，本身不授予资产转移权。但连接成功也不代表网站可信，后续请求仍要分别看待。陌生网站不能因为弹窗长得熟悉，就被当成安全网站。
签名可以用于身份验证，也可能包含动用代币或执行 NFT 订单的许可。它不一定是普通的链上授权交易，也不一定马上扣款；恶意签名可能在之后才被利用。没有手续费、没有立即丢币，都不能证明签名安全，签名也不等于泄露私钥。
代币授权，是允许指定对象在许可范围内动用对应代币。无限额授权扩大的是对应资产的可用额度，不是把全钱包所有资产都交出去，但仍可能导致该类代币被转走。转账交易则可能直接把资金送到对方地址，和授予许可又是两回事。
假设某人收到「百万枚」陌生代币，描述让他到某站解锁交易。他连接常用钱包，又在看不懂的弹窗里点了批准。数字只是虚构例子。风险不在收到多少，而在未经核实就确认了请求；仅仅连接钱包，与后来批准的权限，需要分开看。
动手前可以过一遍的识别清单
- 先问来源：空投或链接是否能在项目官网与已验证的官方渠道交叉核对；只有私信或陌生站在喊，就先当可疑。
- 先看域名：逐字符核对网址，优先从自己保存的书签进入，不点缩短链接和来路不明附件。
- 凡要助记词、私钥、远程桌面或「先转一笔才能解锁大奖」的，直接结束，不继续操作。
- 分清弹窗是在请求消息签名、代币授权，还是转账；看不懂内容就不确认。
- 陌生代币与 NFT 可以先忽略，不跟随描述链接操作；未知或可疑站点不碰，不能靠小额试探真假。
小额测试只适用于已经核实的正规交互，用来限制单次操作失误的损失，不是检验钓鱼网站的办法。隔离钱包和小额资金都不能证明网站或签名安全。对象与权限无法确认时，测试没有必要开始。
局限和这篇笔记的边界
骗局手法一直在变，公开文档列的是高频模式，不是完整名单。安全提示能降低中招概率，却不能保证永不受害；链上交易一旦确认，往往难以追回。本文不提供领取空投的操作教程，也不替代钱包官方的产品内警告。
本文也不展开已有授权的撤销方法，或复制地址时遇到的地址投毒陷阱。读完若只记住一条：免费诱饵加异常权限，优先当成钓鱼入口，而不是当成好运。
下次再碰到「马上领取」的按钮，不妨先停在连接钱包之前，把域名、索权内容和官方公告对一遍。免费代币的名义，不能成为批准未知权限的理由。
以上仅为个人学习记录，不构成投资建议。