每天有幾千個人在 Telegram / X / LINE / 微信群被騙。 被騙的不是只有新手—— 十年老韭菜也在裂開, 去年 OKX 內部統計被釣魚地址簽授權造成的損失,全球範圍全年超過 21 億美元。 這 8 種姿勢是過去 7 年裡見得最多的, 每個 case study 拆開來講—— 話術怎麼開場、技術上怎麼動手腳、為什麼聰明人也會上當。 最後再單獨拉一節講台港在地脈絡:JPEX 暴雷、165 反詐騙專線、SFC 牌照查證、LINE「投資老師」這些只有在地讀者才用得到的細節。 認識每一種,至少能少虧一年。

CASE 01

假冒交易所客服 · 遠端接管你帳戶

// 話術釣魚 + 遠端控制 · 佔被騙事件 ~22%

典型劇本

你帳戶出了點小問題——比如收到一則「提幣失敗」簡訊,或者郵箱裡冒出「帳戶被異常登入」郵件。 2024 年假客服騙局已經完全產業化,Telegram 上一週能撞見 5-8 個自稱「幣安客服」的私聊,一個都不是真的。 過幾分鐘,一個「客服」加你 Telegram 或者直接打電話過來。 聲音溫和,用你的真實姓名打招呼, 讓你下載一個「遠端協助工具」(TeamViewer 或 AnyDesk)「幫你查一下」。 你裝了。

「您好,我是 Binance 中文客服小李,工號 BN5891。您帳戶剛才有一筆異常交易已被風控攔截,需要您配合做一個 5 分鐘的快速驗證,否則帳戶可能被凍結 72 小時。請加我 TG 並下載 AnyDesk⋯⋯」

他坐在你電腦前幫你「修復」, 你眼睜睜看著鼠標自己動—— 登入你的交易所、改 API 權限、把幣轉出去。 你不敢動,因為「客服」一邊操作一邊跟你解釋每一步。 等你反應過來,資產已經清空。

技術上怎麼動手腳

防禦要點

真實事件回顧

2023 年某位台北用戶在 Dcard 發過一篇長文:晚上 10 點接到自稱「Binance 風控部」的電話, 對方報出用戶的姓名、手機後 4 位、最近一筆交易金額—— 然後說「帳戶已被烏克蘭 IP 異地登入,請協助驗證身份」。 用戶跟著對方裝了 AnyDesk, 所謂「驗證」實際上是開啟 API 寫入權限 + 關閉提幣簡訊驗證, 18 分鐘後帳戶裡 30 萬 USDT 被分批提走到 6 個不同地址, 鏈上追蹤發現最終匯集到混幣器 Tornado Cash, 到現在還沒追回。 警方立案需要 6 個月以上, 涉外案件追回率長期低於 5%——這個比例在台灣 165 警政署 2024 統計裡也大致一致。

CASE 02

「老師帶單」合約群 · 拿你當韭菜燃料

// 殺豬盤 + 心理操控 · 佔被騙事件 ~18%

典型劇本

X 或者抖音 / IG 上的「百萬操盤手」,曬交易截圖、曬法拉利、曬粉絲感謝轉帳。 讓你加 Telegram 群, 免費帶幾單—— 巧的是,前 3 單都對了, 你賺了點小錢,覺得這老師真神。 然後「老師」說「機會來了,跟這一單 10× 槓桿」—— 你重倉上,被爆。 回去看群,被踢出。

「家人們,剛剛 BTC 完美吃下我標記的支撐位,跟單的恭喜 +12% 落袋!明天有一個不能錯過的機會,我會在小群裡告訴跟得緊的兄弟,VIP 群直接進!」

這套話術的精髓是「先甜後辣」—— 前面對的幾單是真的。 老師手上有 1000 個新人, 給一半喊買、一半喊賣, 贏的一半留下, 輸的一半淘汰。 下一輪再把贏的一半再分兩份。 幾輪之後留下來的「幸運兒」 會覺得這老師是神。 然後割他們最後一刀。

技術上怎麼動手腳

防禦要點

變種 · 「跟單平台」陷阱

這兩年又冒出一種新變種:正規跟單平台(比如 Bitget Copy Trading)上面有些「高 ROI 交易員」 故意拉爆某個高槓桿帳號秀業績, 引導散戶跟單之後,自己切到另一個對手帳號做反向操作—— 跟單的人爆倉,他自己的對手帳號賺走對應倉位。 這種操作在正規平台上也防不住, 因為平台本身沒辦法判斷交易員是「真實操盤」還是「故意做局」。 跟單永遠只跟歷史 1 年以上、最大回撤 < 30%、收益曲線平滑的交易員, 不要看月度 ROI 那種短期爆款。

CASE 03

Approve 釣魚 · 一簽授權清空整個錢包

// 智能合約權限劫持 · 全球年損失 ~21 億美元

典型劇本

你看到一個 NFT 項目空投,或者一個 DeFi 收益高得離譜的產品, 點連結進網站(URL 看起來跟官方差一個字母), 連接你的 MetaMask 錢包, 點 “Claim Airdrop” 或 “Stake Now”, MetaMask 彈窗簽名,你以為是常規授權,點確認。 下一秒,你錢包裡的 USDT、ETH、WBTC 全部被轉走。

「Uniswap V4 Airdrop · 持有 ETH 用戶都可以領取 1200 UNI · 限時 48 小時」(實際連結是 uniswap-claim.com 而不是 uniswap.org)

技術上怎麼動手腳

防禦要點

真實事件 · Ledger Connect Kit 投毒(2023.12)

Ledger 官方推出的 Connect Kit JS 函式庫被前員工惡意篡改, 所有用它接入錢包的 DeFi 網站(包括 SushiSwap、Zapper、Revoke.cash 自己等知名應用) 在 5 小時內全部變成了潛在釣魚站, 用戶連接錢包並簽名就會觸發授權轉出。 累計損失約 60 萬美元。 最諷刺的是連 revoke.cash 本身都中招—— 這告訴我們:即便是「看起來可信的工具」也可能瞬間變成攻擊向量。 日常 DeFi 操作的錢包必須獨立於主倉錢包, 這是沒有第二選項的設置。

CASE 04

假空投 · 錢包裡突然多出來一些「代幣」

// 蜜罐合約 + 釣魚連結 · 幾乎所有鏈上用戶都遇過

典型劇本

某天你打開 MetaMask,發現錢包裡多了一種代幣, 叫 “Visit Site Claim Reward”,或者 “$25000_USDT_Reward”。 數量很大,看起來值不少錢。 你點進去想交易,提示「前往官網領取」, 跳到一個看起來很專業的網站,要你連接錢包 + 簽名。 簽完,你的 USDT / ETH 沒了。

技術上怎麼動手腳

防禦要點

辨識真假空投的幾個信號

Uniswap、Arbitrum、Optimism、ENS 等歷史上真實的大空投全都符合「真」的特徵。 如果你懷疑某個空投真假, 最簡單的方法是去項目官方 Discord 公告頻道搜一下, 官方會明確說「已結束」或者「未發生」。

CASE 05

假交易所 · 高仿域名 + 山寨 APP

// 釣魚網站 + 高仿 APP · 華人用戶中招最多

典型劇本

你在 Google 搜「幣安下載」,點了第一條廣告, 下載安裝一個 APP, 介面跟幣安一模一樣。 你照常 KYC、充值、交易——一切正常。 幾個月後,你想提幣, APP 提示「需要先做稅務清繳,轉 1000 USDT 到指定地址」。 你轉了,APP 還說不夠。 你再轉,直到開始懷疑—— 但這時候帳戶餘額已經查不到了。

「為完成本次提現申請,根據反洗錢法規要求,請先支付提現金額 30% 的保證金到驗證地址,審核通過後將一併退還。」

技術上怎麼動手腳

防禦要點

高仿域名常見伎倆

騙子註冊的高仿域名通常透過以下幾種方式讓人誤判:

永遠把官方域名加入瀏覽器書籤, 之後所有的訪問都從書籤點而不是從搜尋 / 連結進去, 這是最樸素也最有效的防禦。

「假交易所」的資金歸途

你「充值」到假交易所的 USDT 通常在 10-30 分鐘內被轉出, 去向是三步洗白:先到一個收單熱錢包, 再分散到幾十個中轉地址, 最後匯集到混幣器(Tornado Cash)或者跨鏈橋(到 Tron / Solana 之後再換幣)。 整套流程在工業化的詐騙團夥手裡能壓縮到 2 小時內完成, 留給受害者反應的時間極短。 這也是為什麼「提幣測試」必須在充值前做—— 充值之後再測試,即使發現是假平台, 錢已經在洗白鏈路上,基本不可能追回。

CASE 06

殺豬盤 · 跨境戀愛 + 「穩賺合約平台」

// 長期情感 + 投資騙局 · 單案動輒百萬美元損失

典型劇本

Tinder / Bumble / Dcard 約會板加到一個「投行女精英」, 在新加坡 / 香港 / 舊金山工作, 照片真人真好看。 她跟你聊幾週生活、工作、家庭, 慢慢提到她叔叔有個「內幕系統」能穩賺加密合約, 她自己每週賺 5-10%, 你要不要試試小額的。

你拿 1000 美元試,真的賺了 200 美元出金。 她說「看吧」, 讓你再上 1 萬、5 萬、10 萬。 到最後想全提的時候, 平台要你「補保證金」。 你不補,資產凍結。 你補了,要求更多。 你打過去的電話再也沒人接。 她從 LINE / Tinder 消失, 整套人設是 zero。

「我們家叔叔在 DeepSeek 團隊做量化的內部測試,這套合約系統就是他們留給家人朋友的福利通道,不公開的。你別告訴別人,我們一起賺就好。」

技術上怎麼動手腳

防禦要點

殺豬盤產業鏈拆解

「殺豬盤」這個詞本身就是行業黑話—— 把受害者養肥(培養信任 + 讓其投入更多)再宰殺(套現 + 消失)的全流程。 這是過去 5 年加密領域最完整、最工業化的詐騙模式, 已經形成產業鏈:

這種產業鏈多數總部在緬北、柬埔寨等執法弱區, 被騙的錢通常 90%+ 追不回。 FBI 2023 年專項打擊之下,追回率提高到 ~12%, 仍然屬於「基本拿不回」的範疇。 最有效的方法是不上鉤—— 任何陌生人主動教你「賺錢內幕」全部預設是騙子, 不需要二次判斷。

CASE 07

錢包地址投毒 · 你以為複製了自己的地址

// 鏈上地址欺騙 · 老韭菜也會中招

典型劇本

你有個常用收款地址 0xabc123...def456。 某天你想轉帳,從 Etherscan 的最近交易記錄複製目標地址(習慣上只看前 4 後 4 位)。 你貼上、看一眼、前後都對、確認、簽名、發送。 錢到了一個跟你目標地址前後 4 位一模一樣的「投毒地址」—— 錢不見了。

技術上怎麼動手腳

防禦要點

真實事件 · 大鯨投毒 6800 萬美元損失(2023.05)

2023 年 5 月一個匿名大鯨錢包想給自己 cold wallet 轉 6800 萬 USDT, 不慎從交易歷史複製了一個投毒地址(前後 4 位完全一致), 錢直接發到攻擊者地址。 鏈上幾小時後被多方關注, 攻擊者最終(可能因為輿論壓力)把錢歸還了—— 這是地址投毒史上最戲劇的一次, 但 99% 的中招者拿不回。 硬體錢包社群從那次之後開始把「轉帳顯示完整地址」當作強制功能, 現在 Ledger / Trezor 等主流硬體都預設顯示完整 40 位地址, 用戶必須翻頁確認才能簽名。

CASE 08

合約後門 / Rug Pull · 項目方一夜跑路

// 智能合約預埋後門 · DeFi 早期重災區

典型劇本

一個新的 DeFi 農場,APY 顯示 5000%。 你看到 KOL 轉推、TG 群很活躍、項目方「已審計」, 你 stake 了幾千 USDT 進去, 24 小時後回來看, 流動性池 0, 代幣歸零, 項目方 Twitter 帳號刪除, 所有聯絡方式消失。

技術上怎麼動手腳

Rug pull 的合約後門花樣很多,常見的:

防禦要點

近幾年標誌性 rug pull 案例

規律是:市值越大、上線時間越久,不等於不會 rug。 Mantra 之前所有人都認為它是「合規化主流項目」。 永遠把 rug pull 風險放在心上,不要因為某些項目大就放下警覺。

§ 被騙數據 · 行業看一眼

Chainalysis 2024 年報告: 全球加密相關犯罪的鏈上接收總額達到 510 億美元, 其中明顯屬於詐騙類(scam)的約 99 億美元, 駭客 / 被盜類 22 億美元, 勒索軟體類 12 億美元。 這些都是能追到鏈上數據的數字, 場外殺豬盤等無法上鏈追蹤的損失估計在 200-300 億美元區間。

分類型看:

總損失裡能追回的不到 5%, 這就是為什麼「防禦 >> 追回」—— 一旦中招,基本就是肉包子打狗。

§ 跨 case 通用法則 · 5 條防身術

上面 8 個 case 拆開來很複雜, 但底層邏輯都是利用人的兩個弱點:貪 + 怕。 高 APY 吸引貪婪, 「帳戶出問題」嚇你失去判斷, 「限時空投」激發 FOMO。 應對這 8 種姿勢,以下 5 條法則比任何具體技巧都管用:

  1. 任何主動找上門的「機會」全部預設為騙局——客服找你、投資精英找你、空投找你、群友「分享」找你,預設全是。需要 2 倍以上的證據才允許通過。
  2. 錢包做分層管理:主倉(冷錢包)、互動錢包(熱錢包,放少量 ETH 用)、空投錢包(獨立錢包,只接觸不可信合約)。三者不互通,任何一個被攻破都不影響主倉。
  3. 簽名前看清楚 function——不知道是什麼的,關掉重來。任何「快點簽否則錯過」的氛圍,100% 是騙局。
  4. 24 小時冷靜規則:任何「限時機會」等 24 小時再決定。真機會不會 24 小時就過期,假機會不讓你冷靜下來。
  5. 定期審計自己的授權:每月用 revoke.cash 撤銷不用的合約授權;每月清理錢包裡突然多出來的奇怪代幣。
⚠ 被騙後的應急流程

第一時間:把錢包裡剩餘資產轉到一個新錢包(切斷進一步損失);
立即:用 revoke.cash 把這個被攻破錢包的所有 approve 撤銷;
報案:台灣讀者撥 165 或上 165.npa.gov.tw 線上報案;香港讀者報警方商業罪案調查科;海外讀者報 FBI IC3;
追蹤:用 Chainabuse / MistTrack 等鏈上追蹤平台標記騙子地址(雖然多數追不回,但能阻止下一個人被騙);
記住:任何在事後說「我能幫你追回」的人(包括加密律師 / 安全專家)90% 是二次詐騙,跟你收「前期調查費」。

多簽 + 時間鎖 · 進階防禦

資產大的用戶可以考慮兩個進階動作:

缺點是操作變複雜, 不適合頻繁交易, 但對「長期持有的 BTC / ETH 主倉」來說是非常合適的方案。 一旦設置好,後續維護成本幾乎為零, 安全性大幅提升。

§ 為什麼聰明人也會被騙

一個反常的觀察: 被這些 scam 收割的人裡, 不少是工程師、醫師、律師、高階主管這些智商不低的群體。 原因有 3 個:

  1. 越聰明的人越相信自己能識別—— 然後在某個疲憊的下午, 一個看起來「專業」的彈窗, 他下意識點了「確認」。 自負是最大的入口。
  2. 騙術不斷升級,你的認知是一次性的—— 你 2020 年知道 Approve 釣魚, 2024 年的 Permit2 釣魚是個全新的機制, 你可能完全沒聽過。 防禦要持續更新, 看這類文章不是看一次就完了。
  3. 情緒驅動會繞過理性—— 殺豬盤前期培養的「信任」、 「老師帶單」的群體狂歡、 「空投快錯過」的緊迫感, 都會讓大腦切到非理性模式。 認識到這一點, 在任何「高情緒」操作前強制自己冷靜 24 小時, 你已經躲掉 80% 的騙局。

§ 新型攻擊 · 2024-2026 增長最快的 3 種

詐騙手法每年都在變, 以下 3 種是 2024-2026 增長最快的新型攻擊,值得特別留意:

1. AI 視訊換臉 + 語音克隆冒充熟人

騙子從你社群媒體爬取你朋友 / 家人的照片跟短影片, 用 AI 模型生成一段「求救影片」—— 「我現在被警察查了,急需 5000 USDT 轉一下,事後還你」。 打來的視訊電話面部表情口型基本看不出破綻, 聲音也是克隆的。 防禦:任何「急需轉錢」的視訊 / 語音請求, 用你們之間事先約定好的暗號核實 (比如「我家狗叫什麼名字」這種 AI 無法預知的私人問題)。

2. 鏈上 MEV 三明治攻擊 + Sandwich 釣魚

在 Uniswap / PancakeSwap 這類 DEX 做交易的時候, 機器人會監測你的 pending 交易, 在你前面買入(推高價格)、在你後面賣出(收割你的滑價)。 這不是「騙局」是「鏈上掠奪」, 但效果一樣——你支付的滑價直接進 MEV 機器人口袋。 防禦:用 MEV 保護的 RPC(MEV Blocker / Flashbots Protect), 或者直接用 CowSwap、1inch Fusion 這類「私有結算」DEX。

3. 假「加密律師」二次詐騙

被騙後最痛苦的時刻, 經常會有人在 X / Twitter 上私訊你: 「我看到您發的被騙經歷,我們律所專門追回加密資產, 成功率 70%+,只需先支付一筆調查費 2000 USDT⋯⋯」 交了調查費之後他會消失, 或者繼續要求「翻譯費、跨境費、保證金」。 防禦:被騙後任何主動找你的「專家」全部預設是二次詐騙。 真要追,透過官方渠道找: Chainalysis、CipherTrace、TRM Labs 這些公司不會私訊普通用戶, 都需要警方協議合作。

§ 台港讀者視角 · JPEX 暴雷、165 反詐騙、SFC 牌照查證

上面 8 個 case 是全球普適的姿勢。但對在台灣或在香港讀這篇文章的你來說, 還有幾個只有在地讀者才用得到的細節—— JPEX 暴雷的後續、台灣 165 反詐騙專線實際能做什麼、SFC 持牌平台清單怎麼查、LINE / Telegram 上「投資老師」的常見話術—— 這一節單獨拉出來講。

2023-09 香港 JPEX 暴雷 · 第一宗加密刑事大案

2023 年 9 月香港爆發史上規模最大的加密貨幣詐騙案——JPEX(日本交易所 Japan Exchange 名義,實際與日本無關)。 這家平台主打「持有 SFC 牌照」、找余文楽、張智霖、莊思敏等本地藝人代言、在中環大規模戶外廣告, 宣稱年化收益 20%+。2023-09-13 SFC 公開將 JPEX 列入「無牌可疑平台警告名單」, 隨後幾天平台凍結用戶提款,引爆擠兌。 截至 2024 年初,受害者報案金額累計超過港幣 16 億元(約 2 億美元), 報案人數超過 2,600 人,主犯張永良逃離香港,香港警方商業罪案調查科聯合 SFC 跨部門偵辦。 這是香港史上第一宗加密刑事大案,直接推動了 2023-06 上路的 VATP 持牌制執行加嚴, 後續 2024 年又有HOUNAX(損失港幣 1.5 億)、BitForex等模仿犯陸續暴雷。

JPEX 留給台港讀者的教訓非常具體:

SFC 持牌平台 · 怎麼一秒查證

香港讀者最該背下來的一條反詐 SOP——任何聲稱「香港持牌」的平台,直接上 SFC 官網查:

台灣 165 反詐騙專線 · 真實能做什麼、不能做什麼

台灣讀者第一個應該背下來的數字是165——警政署反詐騙專線,7×24 接通,也可以上 165.npa.gov.tw 線上報案。 根據警政署 2024 年統計,加密相關詐騙報案年增 60%,單筆平均損失新台幣 200 萬左右, 全年加密相關詐騙累計金額突破新台幣 80 億。 165 能做的事跟不能做的事必須先搞清楚:

台灣常見的加密騙術變體

把全球 8 個 case 套到台灣本地,具體會長成這幾種樣子——這也是 165 報案統計裡最常見的型態:

香港常見的加密騙術變體

法律救濟渠道 · 給真實預期

被騙之後追回的可能性,要先有真實預期才不會被二次詐騙:

三條台港讀者紀律

  1. 任何聲稱香港持牌的平台,先上 apps.sfc.hk 與金管會官網查證——這一步 30 秒,能擋掉 80% 的 JPEX 級詐騙。
  2. LINE / Telegram / WhatsApp 上任何「投資老師」一律拉黑——真正的本地專業投顧不會主動加你 LINE。
  3. 承諾「高息 / 保本 / 穩賺」= 100% 詐騙——OSL、HashKey、MAX、BitoPro 這些合規所從不這樣行銷。看到這三個關鍵字,直接關掉。

JPEX 暴雷之後的香港。 我有個香港朋友,2023 年 7 月在中環走過 JPEX 戶外廣告,看完心動,想開戶。 他是個謹慎人,先在 SFC 官網查了一下——名單上找不到 JPEX,網站只顯示「視為持牌申請中」這幾個字。 他覺得不對勁,沒開戶。兩個月後 JPEX 暴雷。 他後來跟我說:「那 30 秒查名單,救了我可能 50 萬港幣。」 你做不做這 30 秒查證,結果差距就是 50 萬。

反詐騙不是知識問題,是動作問題—— 你知道要查 SFC 名單跟你真的去查 SFC 名單之間,差了一個被騙的距離。

§ 寫到這裡

這 8 種姿勢不是完整的—— 新的攻擊手法每個月都在出新, AI 視訊換臉 / AI 語音克隆這些 2024 年才開始大規模出現。 但底層邏輯變化不大: 利用貪婪、利用恐懼、利用緊迫感、利用信任。

新手在幣圈活下來, 不是靠「找到牛市」, 是靠「沒被騙光」。 你賺到的錢, 要先能保住, 才有意義。 一次大騙局的損失, 可能要 3 年牛市才能賺回來—— 多數人沒那個機會等下一個牛市。

順帶一提: 被騙這種事不丟人。 我自己 2018 年也被一個「私募內推」騙過 2 ETH, 那時候 ETH 才幾百塊, 放到現在也是個不小的數字。 重要的是承認 + 不再犯, 而不是死扛著覺得「再投點本能賺回來」—— 這種自我欺騙, 幾乎是所有殺豬盤最後一刀的成功關鍵。 被騙後能及時承認,把倉位收一收、做總結, 比第二次被騙強 100 倍。 把每次教訓寫在自己的筆記裡, 包括對方的話術、自己心裡那一秒的盲點、當時為什麼沒多查一句—— 這些複盤比看 100 篇防騙文章都管用, 因為是你自己親身驗證過的認知。

把這篇收藏起來, 每 3 個月翻一次。 每次都會有新的「原來這事 6 個月前就有跡象,我沒注意」的體會。 安全感是堆出來的, 一次性建立不了。 多讀、多看、多警惕, 在這個行業裡沒有第二條路。