空投（Airdrop）是加密货币项目的标配营销手段。项目方向早期用户或社区成员免费发放代币，既回馈用户又制造话题。但空投的免费属性和 FOMO 心理，让它成为了诈骗者的理想武器。

据公开报道，假空投钓鱼攻击在 2023-2024 年间从全球用户钱包中骗取了超过 1 亿美元的加密资产。

核心要点： 假空投利用”免费领取”心理，通过钓鱼网站、恶意签名、投毒代币等手段盗取资产。验证空投真实性的唯一标准是项目官方渠道公告。不要相信钱包里凭空出现的代币，不要在任何”领取空投”网站签署你不确定的请求。

钓鱼网站空投

最直接的假空投形式。攻击者搭建一个仿冒知名项目的空投领取页面，通过社交媒体、Discord 群和 Telegram 群传播链接。网站要求你连接钱包，然后弹出签名请求——可能是”领取”所需的 permit 签名，也可能是 SetApprovalForAll 授权。

一旦你签名，资产就被清空了。你等来的不是空投代币，而是钱包清零。

识别方法： 检查 URL 是否与项目官方域名完全一致。不要从社交媒体评论区或私信中的链接进入空投页面。进入项目的官方 Twitter、Discord 或文档页面，找到公告中的官方链接。

Permit 签名空投诈骗

这种攻击利用 EIP-2612 permit 签名机制。你在假空投网站上点击”领取”，钱包弹出一个签名请求。你以为自己在签名领取代币，但实际上你签的是一个 permit 消息，授权攻击者花费你钱包里的 USDC 或其他代币。

这种攻击的特殊之处在于不需要链上交易。你只签了一个链下消息，没有花任何 Gas 费。但攻击者拿着这个签名，可以在未来任何时候调用合约的 permit 函数，转走你授权的代币。

识别方法： 如果签名请求的消息体中包含 permit、spender、value 等字段，而你只是在”领取空投”，立即拒绝。正常的空投领取要么是无签名的直接转账（项目方直接向你的地址发送代币），要么是你在项目方的合约上调用 claim 函数（一笔普通的链上交易，需要 Gas 费）。

恶意代币投毒

这种不是攻击者搭建网站，而是直接向你的钱包发送伪造的代币。攻击者用脚本向大量地址发送名为 “USDC-Claim”、“UNI-Reward” 或类似名字的假代币。代币在区块链浏览器上的页面通常带有一个钓鱼网站链接。

你看到钱包里出现不明代币，好奇地搜索代币信息，找到钓鱼网站，连接钱包——然后就上钩了。

识别方法： 钱包里出现你不知道从哪来的代币，99% 是投毒。在区块链浏览器上查看该代币的转账记录。如果它向成百上千个地址同时发送了相同金额的代币，那就是投毒无疑。正确做法：完全不与该代币交互，不搜索它的合约地址，不访问任何相关链接。

假 NFT 铸造

攻击者以”免费铸造 NFT”为诱饵，吸引用户连接钱包并签名。有些假 NFT 铸造网站确实会让你获得一个 NFT，但签名请求里夹带了 SetApprovalForAll 授权。你拿到一个毫无价值的 NFT，却把整个 NFT 系列的操控权交给了攻击者。

识别方法： 正常的免费 NFT 铸造只需要支付 Gas 费，不需要授权操作。如果签名请求中出现 setApprovalForAll 或类似的授权函数，立即拒绝。

冒充官方渠道

社交工程是假空投的重要分发渠道。攻击者会创建假的 Twitter 账号、Discord 服务器或 Telegram 群，使用与真实项目几乎相同的名字和 Logo。

在 Discord 上，攻击者经常在官方服务器里发消息（或通过机器人自动发送），声称”项目方发布了紧急空投”，附上钓鱼链接。由于消息出现在官方服务器里，用户的警惕性会降低。

识别方法： 检查消息发送者的角色和注册时间。官方公告通常由管理员或机器人发送，而不是新注册的普通用户。任何让你”立即领取”或”限时”的空投消息都值得怀疑。真正的空投通常有明确的时间窗口和领取条件，不会催促你立即行动。

如何验证真实空投

验证一个空投是否真实，遵循以下步骤：

从官方渠道确认。 进入项目的官方网站（通过你知道的官方链接进入，不是通过搜索或社交媒体）。查看是否有空投公告。官方 Twitter、Discord 公告频道和项目文档是最可靠的信息源。

检查合约地址。 如果公告中提供了空投合约地址，在区块链浏览器上检查它。真实的空投合约通常有经过审计的源码，有项目方控制的 admin 地址。

理解空投规则。 真实的空投有明确的领取规则：谁有资格、能领多少、领取窗口时间。如果一个空投声称”所有人都可以领取”或”无限量”，它很可能不真实。

永远不要相信钱包里凭空出现的代币。 这是投毒的第一信号。项目方的真实空投不会要求你”连接钱包来查看是否有资格”——你只需要在项目方提供的页面上输入地址查询。

空投诈骗利用的是人面对”免费”时降低的警惕性。记住一个原则：在加密货币世界里，如果某样东西看起来太好了以至于不像是真的，它通常不是。